ISO 27001:2025 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ OLGUNLUĞU
Bilgi güvenliği yönetim sisteminizi ve Ek-A güvenlik kontrollerini operasyonel etkinlik, ölçülebilirlik ve otomasyon düzeyiyle değerlendiren ISO 27001 olgunluk değerlendirmesi.
Yaklaşımımız
Bilgi güvenliğinde olgunluk, bir politikanın yazılmış olmasıyla değil; kontrolün gerçekte çalıştığının, ölçüldüğünün ve tehditlere karşı sürekli güçlendirildiğinin kanıtlanmasıyla ölçülür. ISO 27001 olgunluk değerlendirmemiz, bilgi güvenliği yönetim sisteminizin gerçek koruma gücünü ortaya koyar.
Model iki eksenden oluşur: Standardın 4–10. maddelerindeki yönetim sistemi şartları ve ISO 27002 Ek-A güvenlik kontrolleri. Ek-A kontrolleri organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört alanda ele alınır. Değerlendirme CMMI, ISO 33004 ve ISO 27004 izleme ve ölçme yaklaşımlarıyla uyumludur; her maddeden yapay bir gösterge beklemek yerine, yönetimsel ve teknik maddeler kendi doğalarına göre değerlendirilir.
Değerlendirme, standardın maddelerini uzman danışman eşliğinde, kanıta dayalı olarak ele alır. Her madde 1–5 arasında puanlanır; puanlamada yaklaşımın tanımlılığı, uygulama yaygınlığı, izleme ve ölçme kanıtları ile sürekli iyileştirme döngüsünün etkinliği birlikte dikkate alınır.
Sonuçta kuruluşunuz beş seviyeli olgunluk ölçeğinde konumlanır; güçlü yönleriniz, öncelikli gelişim alanlarınız ve yapay zekâ destekli olarak hazırlanan kısa, orta ve uzun vadeli yol haritanız tek bir raporda sunulur. Bu değerlendirme bir belgelendirme denetimi değildir; belgelendirmeye hazırlıkta ve belgelendirme sonrasında sistemin gerçek etkinliğini görmenizde size yol gösterir.
Model Yapısı
Kuruluşunuzu bütüncül olarak ele alan değerlendirme eksenleri ve alt alanları.
2
Eksen
5
Alt Alan
120
Değerlendirme Maddesi
ISO 27001 Ana Maddeler Olgunluk ve Dokümantasyon Rehberi (Madde 4 - 10)
- ISO 27001 Ana Maddeler Olgunluk ve Dokümantasyon Rehberi (Madde 4 - 10)
1 alt alan · 27 madde
ISO 27002 Ek-A Güvenlik Kontrolleri Olgunluk ve Dokümantasyon Rehberi (5.1 - 8.34)
- Organizasyonel Kontroller (Ek-A 5.1 - Ek-A 5.37)
- İnsan Kontrolleri (Ek-A 6.1 - Ek-A 6.8)
- Fiziksel Kontroller (Ek-A 7.1 - Ek-A 7.14)
- Teknolojik Kontroller (Ek-A 8.1 - Ek-A 8.34)
4 alt alan · 93 madde
Olgunluk Merdiveni
Değerlendirme sonucunda kuruluşunuz bu basamaklardan birine yerleşir.
- 1
Seviye 1 — Başlangıç (Ad-Hoc) %0–20
Bilgi güvenliği ağırlıklı olarak reaktif ve kişilere bağımlıdır. Bilgi güvenliği riskleri, varlıklar, sorumluluklar ve kontroller bütüncül biçimde yönetilmemekte; olaylara çoğunlukla gerçekleştikten sonra müdahale edilmektedir. Uygulamaların kapsamı ve etkinliğine ilişkin güvenilir kanıt sınırlıdır.
- 2
Seviye 2 — Gelişmekte (Developing) %21–40
Temel bilgi güvenliği politika, risk değerlendirme ve kontrol uygulamaları oluşturulmaya başlanmıştır; ancak süreçler kuruluş genelinde tutarlı değildir. Kontrollerin uygulanması birimlere ve kişilere göre değişebilmekte; izleme, ölçme, olay yönetimi, tedarikçi güvenliği ve farkındalık uygulamalarında boşluklar bulunmaktadır.
- 3
Seviye 3 — Sistematik (Systematic) %41–60
BGYS süreçleri, roller ve sorumluluklar tanımlanmış ve sistematik biçimde uygulanmaktadır. Bilgi güvenliği riskleri değerlendirilmekte ve işlenmekte; uygulanabilir kontroller belirlenmekte, Uygulanabilirlik Bildirgesi (SoA) yönetilmekte ve temel bilgi güvenliği performansı izlenmektedir. Bununla birlikte kontrol etkinliği, eğilim analizi, kırılım ve sürekli iyileştirme yaklaşımı henüz tam olgunlaşmamıştır.
- 4
Seviye 4 — Yönetilen (Managed) %61–80
BGYS'nin ve uygulanan kontrollerin etkinliği ölçülmekte, analiz edilmekte ve düzenli olarak gözden geçirilmektedir. Riskler, güvenlik olayları, zafiyetler, erişimler, tedarikçiler, farkındalık ve diğer ilgili göstergeler eğilim, hedef ve uygun kırılımlarla değerlendirilmekte; sonuçlar risk işleme ve yönetim kararlarına sistematik olarak aktarılmaktadır.
- 5
Seviye 5 — Optimize (Optimized) %81–100
BGYS stratejik ve operasyonel karar süreçleriyle bütünleşmiştir. Değişen tehditler, zafiyetler, teknolojiler ve iş gereksinimleri proaktif olarak değerlendirilmekte; olaylardan, performans sonuçlarından ve kontrol etkinliği verilerinden öğrenme sistematik biçimde risk yönetimine ve iyileştirmeye dönüştürülmektedir. Teknoloji, analitik ve otomasyon uygun olduğu alanlarda erken tespit, müdahale, kontrol güvenilirliği ve karar kalitesini geliştirmek amacıyla kullanılmaktadır.
Kendinizi Deneyin
Modelden seçilmiş örnek maddeleri puanlayın, tahmini olgunluk seviyenizi görün. Yanıtlarınız kaydedilmez.
ISO 27001 Ana Maddeler Olgunluk ve Dokümantasyon Rehberi (Madde 4 - 10)
1.Kuruluşun ve bağlamının anlaşılması
Kuruluş, amacı ile ilgili olan ve Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) amaçlanan çıktılarına ulaşma yeteneğini etkileyen iç ve dış hususları belirlemektedir. Bu madde ISO/IEC 27001 Madde 4.1 kapsamında kurumsal stratejinin temeli olup, uygulama ve denetimlerde doğrudan `DOK-01 Kurumsal Bağlam ve İç/Dış Hususlar Analiz Dokümanı` ve `RPR-01 PESTLE ve SWOT Analiz Raporu` üzerinden doğrulanmaktadır.
Kuruluşunuz bu konuda ne durumda?
2.İlgili tarafların ihtiyaç ve beklentilerinin anlaşılması
Kuruluş, BGYS ile ilgili ilgili tarafları ve bu tarafların bilgi güvenliği ile ilgili gereksinimlerini belirlemektedir. Bu madde kapsamında tanımlanan gereksinimler, denetimlerde `DOK-02 İlgili Taraflar ve Beklentileri Matrisi` ile `SÖZ-01 Müşteri ve Tedarikçi Sözleşmelerinde BGYS Şartları` belgeleri ile doğrulanmaktadır.
Kuruluşunuz bu konuda ne durumda?
ISO 27002 Ek-A Güvenlik Kontrolleri Olgunluk ve Dokümantasyon Rehberi (5.1 - 8.34)
3.Bilgi güvenliği politikaları
Bilgi güvenliği politikası ve konuya özgü politikalar tanımlanmalı, üst yönetim tarafından onaylanmalı, yayımlanmalı, ilgili taraflara duyurulmalı ve düzenli aralıklarla gözden geçirilmelidir. Bu kontrol Ek-A 5.1 ve Madde 6.1.3 (d) uyarınca Dokümante Edilmiş Bilgi ZORUNLU şartına tabi olup, denetimlerde `SOA-01 Uygulanabilirlik Bildirgesi` ve `POL-02 Konuya Özel Güvenlik Politikaları Seti (Erişim, Temiz Masa, Yedekleme vb.)` belgeleri ile doğrulanır.
Kuruluşunuz bu konuda ne durumda?
4.Bilgi güvenliği rolleri ve sorumlulukları
Bilgi güvenliği rolleri ve sorumlulukları kuruluşun ihtiyaçlarına göre tanımlanmalı ve tahsis edilmelidir. Bu kontrol denetimlerde `LIS-01 Bilgi Güvenliği Rol ve Yetki Matrisi` ve `GÖT-02 Güvenlik Sorumluları Görev Tanımları` ile doğrulanmaktadır.
Kuruluşunuz bu konuda ne durumda?
Hizmet Kalemleri
Detaylarını görmek için bir kaleme tıklayın.