ISO/IEC 27001:2022 yapısı

Önceki modülde tek tek riskleri değerlendirmeyi öğrendin. Bu modülde bu çalışmayı kurumsal bir sisteme bağlayacaksın. ISO/IEC 27001:2022, bir bilgi güvenliği yönetim sistemi kurmanın gereksinimlerini tanımlar; kısaca BGYS denir. Yönetim sistemi tek seferlik bir proje değil, sürekli dönen bir döngüdür: planla, uygula, kontrol et, iyileştir. Kurum bu döngüyü bir kez kurup bırakmaz; her yıl yeniden çalıştırır. Standart sertifikalandırılabilir; bağımsız bir denetçi kurumun döngüyü gerçekten işlettiğini doğrular. Altay Kargo, müşteri sözleşmelerinde bu sertifikayı şart koşan büyük bir perakende zincirini kazanmak istiyor. Sertifika, Altay Kargo'nun güvenliği ciddiye aldığını söylemekten daha fazlasını kanıtlar; bağımsız bir gözün süreci gerçekten doğruladığını gösterir ve sözleşme masasında pazarlık gücü kazandırır.

Standart gereksinimlerini madde 4 ile 10 arasında sıralar. Madde 4 kapsamı çizer: hangi birim, hangi lokasyon, hangi sistem BGYS'nin içinde kalır. Madde 5 liderliği ister; üst yönetim politikayı onaylar ve rolleri dağıtır. Madde 6 planlamayı kapsar; risk değerlendirmesi ve hedefler burada kurulur. Madde 7 destek kaynaklarını sayar: yetkinlik, farkındalık, dokümante bilgi. Madde 8 işletimdir; günlük kontroller burada çalışır. Madde 9 performans değerlendirmesi ister; iç denetim ve yönetim gözden geçirmesi buraya girer. Madde 10 iyileştirmedir; uygunsuzluklar kapatılır, sistem güncellenir. Her madde kendi içinde alt maddelere ayrılır; örneğin madde 6, risk değerlendirmesini ve risk işleme planını ayrı alt başlıklarda ister.