ISO/IEC 27001:2022

Kuruluş, bilgi güvenliği yönetim sisteminin (BGYS) amaçlanan sonuçlarına ulaşma kabiliyetini etkileyen iç ve dış hususları tayin etmelidir.

BGYS ile ilgili taraflar ve bu tarafların bilgi güvenliği ile ilgili gereksinimleri belirlenmeli; hangilerinin yasal ve sözleşmeye dayalı yükümlülük olduğu tayin edilmelidir.

Sistemin sınırları ve uygulanabilirliği; bağlam, ilgili taraflar ve kuruluşun gerçekleştirdiği faaliyetler dikkate alınarak belirlenmeli ve dokümante edilmelidir.

Kuruluş, bu standart uyarınca bir BGYS kurmalı, uygulamalı, sürdürmeli ve sürekli iyileştirmelidir.

Üst yönetim; politika ve amaçların stratejik yönle uyumunu sağlayarak, kaynakları tahsis ederek ve sistemin etkinliğine hesap verilebilirlik göstererek liderlik etmelidir.

Üst yönetim, bilgi güvenliği amaçlarını içeren, uygulanabilir şartlara uyum taahhüdü veren ve sürekli iyileştirmeyi destekleyen bir politika oluşturmalıdır.

BGYS ile ilgili tüm roller için yetki ve sorumluluklar atanmalı ve kuruluş içinde iletilmelidir.

6.1.2 Bilgi Güvenliği Risk Değerlendirmesi: Gizlilik, bütünlük ve erişilebilirlik (C-I-A) kayıplarına ilişkin riskler tanımlanmalı, analiz edilmeli ve değerlendirilmelidir.

6.1.3 Bilgi Güvenliği Risk İşleme: Belirlenen riskler için işleme seçenekleri seçilmeli ve Ek-A kontrolleri ile karşılaştırılarak bir Uygulanabilirlik Bildirgesi (SoA) hazırlanmalıdır.

Amaçlar; ölçülebilir olmalı, risk değerlendirme sonuçlarını dikkate almalı ve dokümante edilmelidir.

BGYS'de değişiklik yapılması gerektiğinde, bu değişiklikler planlı bir şekilde gerçekleştirilmelidir.

7.1 Kaynaklar sağlanmalı, 7.2 Personel yeterliliği güvence altına alınmalı ve 7.3 Çalışanlar BGYS politikasının ihlal edilmesi durumundaki sonuçların farkında olmalıdır. 7.4 İletişim ve 7.5 Dokümante edilmiş bilgi yönetimi sağlanmalıdır.

8.1 Planlama yapılmalı ve risk işleme planları uygulanmalıdır. 8.2 Bilgi güvenliği risk değerlendirmesi planlanan aralıklarla (veya önemli değişikliklerde) tekrarlanmalıdır. 8.3 Risk işleme planının sonuçları dokümante edilmelidir.

9.1 BGYS performansı ve kontrollerin etkinliği ölçülmelidir. 9.2 İç tetkikler tarafsız bir şekilde yapılmalıdır. 9.3 Yönetimin gözden geçirmesi çıktılarla birlikte gerçekleştirilmelidir.

10.1 Sürekli iyileştirme sağlanmalıdır. 10.2 Uygunsuzluk görüldüğünde kök neden analizi ile düzeltici faaliyetler başlatılmalıdır.