Microsoft Word dergi 2008 V23 no2 sayfa 507-522. doc

 

5.4. Belgelendirme 

(Certification)

 

 

BGYS’de belgelendirme, kurumsal bilgi güvenliğinin 

standartlara uyumlu bir şekilde yönetildiğine dair 

otoriteler tarafından verilen sertifikasyonlar 

aracılığıyla yapılmaktadır. Dünyada ve ülkemizde 

kurumsal bilgi güvenliği yönetim sistemlerinin 

belgelendirilmesinde uyumluluğa esas teşkil eden 

standart 2005 yılına kadar BS7799–2 standardı 

olurken bu yıldan sonra ISO/IEC 27001 standardı 

olarak değiştirilmiştir. 15 Nisan 2006 tarihine kadar 

olan 6 aylık bir hazırlık dönemi sırasında, denetimler 

ve belgelendirme ISO/IEC 27001:2005 veya BS 

7799–2:2002 standartlarına göre gerçekleştirilmiştir. 

Ancak, bu süre içerisinde yayınlanmış olan yeni bir 

BS 7799–2:2002 sertifikasının, 15 Nisan 2007 

tarihine kadar ISO/IEC 27001:2005’e geçişi 

tamamlanmıştır. 15 Nisan 2006 tarihinden sonra ise 

bütün denetimler ve belgelendirmeler ISO/IEC 

27001:2005 standardına göre gerçekleştirilmiştir. 

ISO/IEC 27001:2005 belgelendirmesi için yapılması 

gereken altı aşama aşağıda kısaca açıklanmıştır [29]. 

 

Aşama 1: ISO/IEC 27001:2005 standardının tüm 

gereklerinin yerine getirilmesi ve standartta belirtilen 

yönetim iskelet yapısının oluşturulması. 

 

Aşama 2: Uyumluluk denetimleri için yetkilendirilmiş 

sertifikalandırma kurumuna ön başvuru yapılır. Bu 

başvuruya istinaden denetimi yapacak firma 

belgelendirme için maliyet ve zaman çizelgesi sunar. 

 

Aşama 3: Maliyet ve zaman çizelgesi kurum 

tarafından onaylanarak denetimi gerçekleştirecek 

firmaya resmi başvuru yapılır. 

 

Aşama 4: Denetimi gerçekleştirecek olan kurum 

güvenlik politikasını, risk değerlendirmesi 

dokümanlarını, risk eylem planını, uygunluk beyanını 

(SOA) ve güvenlik prosedürlerini içeren 

dokümantasyonu gözden geçirir. Bu işlem sonucunda, 

bilgi güvenliği yönetim sistemindeki sorunlu olan ve 

çözüme kavuşturulması gereken herhangi bir 

zayıflığın veya göz ardı edilen bir hususun ortaya 

çıkarılması hedeflenir. 

 

Aşama 5: Masaüstü kontrolü başarılı  şekilde 

sonuçlandıktan sonra, denetim firmasının belirlediği 

denetçiler tarafından yerinde (on-site) denetim 

gerçekleştirilir. Kuruluşun büyüklüğüne ve iş tipine 

uygun kontrollerin olup olmadığı gözden geçirilir ve 

elde edilen sonuçlara göre kurumlara önerilerde 

bulunulur. 

 

Aşama 6: Değerlendirmenin başarı ile 

tamamlanmasının ardından, Bilgi Güvenliği Yönetim 

Sisteminin kapsamını açık bir şekilde tanımlayan bir 

sertifika verilecektir. Bu sertifika 3 yıl boyunca 

geçerliliğini korur ve rutin değerlendirme ziyaretleri 

ile desteklenir. 

---

Kurumsal Bilgi Güvenliği ve Standartları Üzerine Bir İnceleme 

Y. Vural ve Ş. Sağıroğlu 

Gazi Üniv. Müh. Mim. Fak. Der. Cilt 23, No 2, 2008 

517

 

ISO/IEC 27001 standardına göre kurulmuş olan bir 

bilgi güvenliği yönetim sistemi ile, kurumların bilgi 

güvenliği yönetiminde, kapsamlı prosedürler 

aracılığıyla güvenlik kontrollerini sürekli ve düzenli 

olarak işletmeyi ve sistemin sürekli iyileştirilmesi 

gerçekleştirilmektedir. Güven ve güvenilirliğin hayati 

önem taşıdığı alanlarda hizmet veren kuruluşların, 

uluslararası geçerlilikte bilgi güvenliği yönetim 

sistemleri standardına uygunluk belgesine sahip 

olması, hem mevzuat hem de kuruluşun güvenli 

işleyişi açısından bir zorunluluk olarak 

değerlendirilmektedir. 

 

Kurumların ISO/IEC 27001 sertifikası almasının 

avantajları maddeler halinde aşağıda listelenmiştir [30]. 

 

•  Kredilendirilebilirlik, güven ve itimat: 

Belgelendirme, kurum veya kuruluşun bilgi 

güvenliğini dikkate aldığını, bilgi güvenliğinin 

sağlanması için gerekli olan adımları uyguladığını ve 

kontrol ettiğini ispatlamaktadır. Bu sayede kurumlar 

veya kuruluşlar birlikte iş yaptıkları veya hizmet 

verdikleri kurum veya bireylerin tüm bilgilerinin 

BGYS sayesinde güvende tutulacağı konusunda 

verdikleri taahhütten dolayı  iş yaptıkları kurum, 

kuruluş veya bireylerin kendilerini güvende 

hissetmelerini sağlayacaklardır. Belgelendirme 

sonucunda özellikle özel sektör firmalarında rekabet 

anlamında sertifika almamış rakiplerinin bir adım 

önüne geçerek avantaj sağlayacaklardır. Ayrıca 

günümüzde uluslararası yapılan işlerde ISO/IEC 

27001:2005 şartı koşulmaktadır. 

•  Tasarruf: Oluşabilecek güvenlik ihlallerine karşı 

kontrollerin uygulanması ile maliyetler düşmektedir. 

Sadece bir bilgi güvenliği ihlalinin oluşturacağı zarar 

bile çoğu zaman çok büyük maddi kayıplara yol 

açabilir. Belgelendirme işlemi kurumların maruz 

kalacağı bu tür ihlalleri azaltarak bilgi güvenliği 

ihlallerinden doğan zararları en aza indirecektir. 

•  Yasal Uygunluk: Belgelendirme işlemi, kanun ve 

tüzüklere uygunluğun yetkili ve ilgili makamlara 

yasal anlamda uygunluğun sağlandığına dair kanıt 

teşkil edilmesine yardımcı olur. 

•  Taahhüt: Belgelendirme işlemi, organizasyonun 

tüm aşamalarında taahhüt/bağlılığın sağlanması ve 

kanıtlanmasında yardımcı olur. 

•  Operasyonel Seviye Risk Yönetimi: Kuruluş 

genelinde, bilgi sistemleri ve zayıflıklarının nasıl 

korunacağı konusundaki farkındalık artar. Ayrıca 

donanım ve veriye daha güvenli bir şekilde erişim 

sağlanır. 

•  Çalışanlar: Çalışanların kuruluş içerisindeki 

sorumlulukları ve bilgi güvenliği konularındaki 

bilinçlerinin artmasını sağlar. 

•  Sürekli  İyileşme: Düzenli olarak gerçekleştirilen 

denetimlere bağlı olarak bilgi sistemlerinin etkinliği 

izlenecek ve izleme sonucunda tespit edilen 

problemler giderilerek bilgi sistemlerinde genel 

anlamda bir iyileşme sağlanabilecektir. 

•  Onay: Organizasyon için tüm seviyelerde bilgi 

güvenliği varlığının bağımsız kuruluşlar tarafından 

onaylandığını göstermektedir.