ISO 27001 Nedir?
ISO/IEC 27001, bilgi güvenliği yönetim sistemleri (BGYS) için uluslararası standarttır. Şirketin bilgi varlıklarını sistematik olarak belirlediği, riskleri değerlendirdiği ve uygun güvenlik kontrollerini uyguladığı döngüsel bir çerçeve sunar.
Fintech İçin Neden Kritik?
Fintech şirketleri yüksek değerli ve hassas verileri işler: kimlik belgeleri, ödeme bilgileri, hesap bakiyeleri ve biyometrik veriler. Bir veri ihlali hem itibar kaybı hem düzenleyici yaptırım hem de müşteri kaybı anlamına gelir.
ISO 27001 sertifikası:
- Müşteri ve ortaklara güvenlik kanıtı sunar
- Düzenleyici inceleme süreçlerini kolaylaştırır
- Sigorta primlerini olumlu etkileyebilir
- İç güvenlik kültürünü geliştirir
ISO 27001 Yapısı
Annex A Kontrolleri (ISO 27001:2022)
93 kontrol 4 tema altında organize edilmiştir:
Örgütsel Kontroller:
- Bilgi güvenliği politikaları
- Çalışan güvenliği
- Olay yönetimi
İnsan Kontrolü:
- Personel güvenliği taraması
- Farkındalık eğitimi
Fiziksel Kontroller:
- Güvenli alanlar
- Temiz masa politikası
Teknolojik Kontroller:
- Erişim kontrolü
- Kriptografi
- Güvenli geliştirme yaşam döngüsü (SDLC)
- Güvenlik açığı yönetimi
Sertifikasyon Süreci
1. Kapsam Tanımlama
Hangi sistemler, süreçler ve lokasyonlar BGYS kapsamına dahildir?
2. Risk Değerlendirmesi
Bilgi varlıkları → Tehditler → Güvenlik açıkları → Risk skoru → Risk tedavi planı
3. Kontrol Uygulama
Risk tedavi planına göre Annex A kontrolleri seçilip uygulanır.
4. İç Denetim
Bağımsız iç denetçi BGYS’nin etkinliğini değerlendirir.
5. Yönetim Gözden Geçirmesi
Üst yönetim BGYS performansını gözden geçirir.
6. Dış Denetim
Akredite sertifikasyon kuruluşu (örn. BSI, Bureau Veritas, TÜV) Stage 1 (belge inceleme) ve Stage 2 (saha denetimi) gerçekleştirir.
7. Yıllık Gözetim Denetimi
Sertifika 3 yıl geçerli; yıllık gözetim denetimi zorunlu.
Fintech’e Özel Önemli Kontroller
- A.8.24 Kriptografinin Kullanımı: Anahtar yönetimi politikası
- A.8.25 Güvenli Geliştirme Yaşam Döngüsü: DevSecOps entegrasyonu
- A.8.8 Teknik Güvenlik Açıklarının Yönetimi: Patch management
- A.5.23 Bulut Hizmetlerinde Bilgi Güvenliği: Cloud güvenlik gereksinimleri
io40 olarak ISO 27001 sertifikasyon hazırlığı, risk değerlendirme ve teknik kontrol uygulaması konularında destek sağlıyoruz. İletişime geçin.