BGYS Nasıl Alınır? ISO 27001 Belgelendirme Süreci Rehberi

BGYS Nedir?

BGYS, tek bir yazılım ya da ürün değil; kurumun bilgi güvenliğine yaklaşımını belgeleyen ve sürekli iyileştiren bir çerçevedir. Küçük bir yazılım şirketinden büyük bir finans kurumuna kadar her yapı, kendi risk profiline göre bu sistemi kurabilir.

Standart olarak referans alınan yapı ISO/IEC 27001'dir; belge almak isteyen kurum, bu standardın öngördüğü kontrolleri hayata geçirmek zorundadır. Sistemi kurmadan önce hangi bilgi varlıklarının korunacağının netleştirilmesi, sürecin geri kalanını büyük ölçüde kolaylaştırır.

BGYS ile ISO 27001 Aynı Şey mi?

Bu soru sahada en sık karıştırılan konulardan biri. BGYS, kurumun kurduğu yönetim sistemine verilen genel addır; ISO/IEC 27001 ise bu sistemin hangi kriterlere göre tasarlanacağını ve denetleneceğini belirleyen uluslararası standarttır.

Yani bir kurum BGYS kurar, ISO 27001'e göre belgelendirilir. Piyasada "BGYS belgesi" denildiğinde çoğunlukla kastedilen şey, bu standarda uygunluğu gösteren ISO 27001 sertifikasıdır. İkisini ayrı kavramlar gibi düşünmek yerine, birini sistem birini de o sistemin tescili olarak görmek daha doğru.

BGYS Kurulumu İçin Hazırlık Adımları Nelerdir?

Belgelendirme denetimine girmeden önce kurum içinde tamamlanması gereken belirli bir yol haritası var. Bu adımları atlamak, denetim sırasında ciddi uygunsuzluklarla karşılaşma riskini artırıyor.

1. Kapsam Belirleme Hangi birimlerin, lokasyonların ve süreçlerin BGYS kapsamına alınacağına karar verilir.
2. Risk Analizi Bilgi varlıkları envantere alınır, her varlık için tehdit ve zafiyetler değerlendirilir, risk seviyeleri belirlenir.
3. Politika ve Prosedür Oluşturma Bilgi güvenliği politikası, erişim kontrolü, yedekleme, olay yönetimi gibi dokümanlar yazılır.
4. Kontrollerin Uygulanması Belirlenen risklere karşı teknik ve idari kontroller devreye alınır; erişim yetkilendirme, uç nokta güvenliği ve ağ koruması bu aşamanın parçasıdır.
5. İç Tetkik ve Yönetim Gözden Geçirmesi Sistemin fiilen çalıştığı iç denetimle doğrulanır, eksikler düzeltilir.

Bu aşamada kurum dışından destek almak, özellikle ilk kez belgelendirmeye giren işletmeler için süreci hem hızlandırır hem de denetimde sürpriz yaşanmasını engeller. Yönetim Sistemleri Danışmanlığı kapsamında bu adımların her biri kurumun yapısına göre uyarlanabiliyor.

BGYS Belgelendirme Süreci Nasıl İşler?

İç hazırlık tamamlandıktan sonra sıra, akredite bir belgelendirme kuruluşuyla çalışmaya gelir. Bu kuruluş kurumu bağımsız gözle denetler ve sistemin standarda uygunluğunu doğrular.

Denetim genellikle iki aşamalı yürütülür: ilk aşamada dokümantasyon ve hazırlık seviyesi incelenir, ikinci aşamada ise kontrollerin sahada gerçekten uygulanıp uygulanmadığı gözlemlenir. Standart prosedüre göre, küçük uygunsuzluklar genellikle belirli bir süre içinde düzeltici faaliyetle kapatılabiliyor; büyük uygunsuzluklar ise belgenin verilmesini erteleyebiliyor.

BGYS Belgesi Almanın Maliyetini Ne Etkiler?

BGYS belgelendirme maliyeti kurumdan kuruma ciddi farklılık gösterir; bu yüzden net bir rakam vermek yanıltıcı olur. Maliyeti belirleyen temel değişkenler şunlardır:

• Kapsama dahil edilen lokasyon, sistem ve çalışan sayısı
• Mevcut güvenlik olgunluğu — sıfırdan mı kuruluyor, yoksa belirli kontroller zaten var mı
• Danışmanlık desteği alınıp alınmadığı ve sürecin kaç ayda tamamlanacağı
• Belgelendirme kuruluşunun denetim ücreti ve yıllık gözetim tetkiki maliyetleri

Çoğu kurum için en büyük maliyet kalemi aslında sertifika ücreti değil, kontrollerin uygulanması için harcanan zaman ve kaynaktır. Bu nedenle sürece bütçe değil, kapasite planlaması gözüyle bakmak daha gerçekçi bir yaklaşım.

BGYS Danışmanlığı mı, İç Ekiple Yürütme mi?

Birçok kurum süreci kendi IT ekibiyle mi yürüteceğine yoksa dışarıdan danışmanlık mı alacağına karar verirken tereddüt ediyor. İkisinin de avantaj ve dezavantajları var; doğru seçim kurumun büyüklüğüne ve iç kaynağının müsaitliğine bağlı.

Deneyimlerimizde, özellikle ilk belgelendirmeye giren kurumlarda dışarıdan destek almak süreci ciddi şekilde kısaltıyor. Dijital Güvenlik & Uyum Danışmanlığı ve SAS Akreditasyon ve Bilgi Güvenliği Danışmanlığı hizmetlerimiz, kurumun olgunluk seviyesine göre bu süreci yapılandırıyor. KVKK uyumluluğu da genellikle BGYS ile paralel yürüdüğünden, KVKK Uyum Danışmanlığı ile birlikte ele almak zaman kazandırıyor.

BGYS Belgesinin Geçerlilik Süresi ve Yenilenmesi

BGYS belgesi alındıktan sonra iş bitmiyor; sertifika belirli aralıklarla gözetim tetkikine (bu doğru, sorun yok) — kontrol sonucu hata bulunmadı tabi tutuluyor ve belirli bir sürenin sonunda yeniden sertifikalandırma denetiminden geçiliyor. Bu dönemler boyunca sistemin fiilen işletilmesi, dokümanların güncel tutulması ve iç denetimlerin düzenli yapılması bekleniyor.

Bu yüzden BGYS'yi canlı tutmak için uç nokta güvenliği, ağ izleme ve veri sızıntısı önleme gibi teknik kontrollerin sürekli çalışır durumda olması gerekiyor. Antivirüs & Uç Nokta Güvenliği gibi hizmetler, denetimlerde sık sorgulanan teknik kontrol maddelerinin sürdürülebilirliğini sağlıyor.

Sıkça Sorulan Sorular (SSS)

Sonuç: BGYS Bir Belge Değil, Sürdürülen Bir Disiplin

BGYS nasıl alınır sorusunun cevabı, aslında doğru sırayla ilerleyen bir hazırlık ve sabırlı bir uygulama sürecinden geçiyor. Belgeyi almak kadar, aldıktan sonra sistemi canlı tutmak da en az o kadar önemli; sahada gördüğümüz çoğu uygunsuzluk tam da bu noktada ortaya çıkıyor. Sürecinizi sıfırdan mı kuracaksınız yoksa mevcut yapınızı mı olgunlaştıracaksınız, ikisinde de doğru yol haritasıyla ilerlemek önemli. Kurumunuza özel bir değerlendirme için iletişim sayfamızdan bize ulaşabilirsiniz.