Bulut Bilişim Hizmet Sağlayıcıları için ISO 27001 Şartları Nelerdir?

Dijital dönüşümle birlikte kurumlar, veri depolama, yedekleme, uygulama yönetimi ve uzaktan erişim ihtiyaçlarını büyük ölçüde bulut bilişim altyapıları üzerinden karşılamaktadır. Bu durum, bulut hizmet sağlayıcılarının yalnızca yüksek performans sunmasını sağlamaz aynı zamanda bilgi güvenliği, veri gizliliği ve hizmet sürekliliği açısından da güvenilir bir yönetim sistemine sahip olmasını gerekli hale getirmiştir.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi, bulut bilişim hizmeti sunan kuruluşların bilgi varlıklarını sistematik bir şekilde yönetmesine yardımcı olan uluslararası bir standarttır. Risklerin belirlenmesi, güvenlik kontrollerinin planlanması, erişimlerin yönetilmesi ve sürekli iyileştirme süreçlerinin uygulanması için kapsamlı bir çerçeve sunar.

ISO 27001 Nedir ve Ne İşe Yarar?

ISO 27001, kuruluşların bilgi güvenliğini yönetmek amacıyla Bilgi Güvenliği Yönetim Sistemi (BGYS) kurmasını, uygulamasını, sürdürmesini ve sürekli geliştirmesini sağlayan uluslararası bir standarttır. Bu standart yalnızca teknik önlemleri benimsemekle kalmaz. Organizasyon yapısını, çalışan farkındalığını, dokümantasyonu, risk yönetimini ve yönetim sorumluluğunu da kapsayan bütüncül bir yaklaşım benimser.

Bilgi güvenliği üç temel prensip üzerine kuruludur:

• Bilginin yalnızca yetkili kişiler tarafından erişilebilir olması (Gizlilik)
• Bilginin doğruluğunun ve bütünlüğünün korunması (Bütünlük)
• İhtiyaç duyulduğunda bilgiye kesintisiz ulaşılabilmesi (Erişilebilirlik)

Bu nedenle ISO 27001 veri merkezi işletmeleri, hosting firmaları, SaaS, PaaS, IaaS sağlayıcıları ve yönetilen bulut hizmetleri sunan kuruluşlar için önemli bir yönetim standardı olarak kabul edilmektedir.

Bulut ortamına özgü güvenlik kontrollerinin değerlendirilmesi için ISO/IEC 27017, kişisel verilerin bulut ortamında korunmasına yönelik uygulamalar için ise ISO/IEC 27018 standartları tamamlayıcı nitelik taşımaktadır.

Bulut Bilişim Hizmetlerinde ISO 27001 Neden Önemlidir?

Bulut hizmet sağlayıcıları, farklı müşterilere ait büyük miktarda veriyi aynı altyapıda yönetebilmektedir. Bu nedenle meydana gelebilecek bir güvenlik olayı hizmet alan birçok kuruluşu da etkileyebilmektedir.

ISO 27001, bu risklerin sistematik olarak değerlendirilmesini ve uygun kontrollerle yönetilmesini amaçlar. Standart kapsamında erişim yönetimi, olay müdahale süreçleri, yedekleme politikaları, varlık yönetimi, tedarikçi ilişkileri ve iş sürekliliği gibi kritik süreçler düzenli olarak gözden geçirilir.

Belgelendirme denetimlerinde ise tanımlanan süreçlerin günlük operasyonlarda gerçekten uygulanıp uygulanmadığı değerlendirilir. Bu yaklaşım, bilgi güvenliğinin sürdürülebilir bir yönetim sistemi olarak ele alınmasını sağlar.

ISO 27001 Belgesi İçin Temel Gereklilikler

Bulut bilişim hizmet sağlayıcılarının ISO 27001 standardını uygularken aşağıdaki temel gereklilikleri yerine getirmesi beklenir:

• BGYS kapsamının açık şekilde belirlenmesi
• Bilgi varlıklarının envanterinin oluşturulması
• Risk değerlendirme ve risk işleme süreçlerinin yürütülmesi
• Uygulanacak güvenlik kontrollerinin belirlenmesi ve dokümante edilmesi
• Bilgi güvenliği politika ve prosedürlerinin hazırlanması
• Yetkilendirme ve erişim kontrol mekanizmalarının uygulanması
• Log kayıtlarının izlenmesi ve olay yönetimi süreçlerinin oluşturulması
• Yedekleme, iş sürekliliği ve felaket kurtarma planlarının hazırlanması
• Çalışanlara düzenli bilgi güvenliği farkındalık eğitimlerinin verilmesi
• İç denetim ve yönetimin gözden geçirme faaliyetlerinin planlı şekilde gerçekleştirilmesi

Bu süreçlerin amacı bilgi güvenliği risklerini sürekli izleyen ve geliştiren bir yönetim sistemi oluşturmaktır.

Bulut Bilişim Hizmetleri için ISO 27001 Belgelendirme Süreci

Belgelendirme süreci genellikle mevcut durum analizi ile başlar. Kuruluşun mevcut bilgi güvenliği uygulamaları incelenir ve standart karşısındaki eksiklikler belirlenir.

Sonraki aşamada BGYS kapsamı oluşturulur, bilgi varlıkları tanımlanır ve risk değerlendirme çalışmaları gerçekleştirilir. Risklerin kabul edilmesi, azaltılması veya kontrol altına alınmasına yönelik kararlar alınarak uygulanacak güvenlik kontrolleri belirlenir ve Uygulanabilirlik Bildirgesi hazırlanır.

Ardından politika, prosedür, talimat ve kayıtlar oluşturulur. Erişim yönetimi, yedekleme sistemleri, olay müdahale mekanizmaları ve izleme süreçleri işletilmeye başlanır.

Belgelendirme öncesinde iç denetim ve yönetimin gözden geçirme toplantısı gerçekleştirilir. Tespit edilen uygunsuzluklar giderildikten sonra bağımsız belgelendirme kuruluşu tarafından iki aşamalı denetim yapılır. İlk aşamada sistem dokümantasyonu, ikinci aşamada ise uygulamaların etkinliği değerlendirilir.

ISO 27001 Belgesi Bulut Bilişim Firmalarına Ne Kazandırır?

ISO 27001 belgesi, bilgi güvenliği süreçlerinin uluslararası kabul gören bir yönetim sistemi doğrultusunda yönetildiğini gösteren önemli bir göstergedir.

Kurumsal müşteriler özellikle bulut altyapısı, veri merkezi, hosting ve yazılım hizmeti alımlarında bilgi güvenliği süreçlerine ilişkin kanıt talep edebilmektedir. ISO 27001 sertifikası, bu değerlendirmelerde kuruluşun risk yönetimi, erişim kontrolü ve operasyonel güvenlik süreçlerini sistematik olarak yönettiğini ortaya koyar.

Bunun yanında standart;

• Kurumsal müşteri güveninin güçlenmesine,
• Tedarikçi değerlendirme süreçlerinde avantaj sağlanmasına,
• Büyük ölçekli proje ve ihalelerde rekabet gücünün artmasına,
• Bilgi güvenliği kültürünün organizasyon genelinde yaygınlaşmasına

katkı sağlayabilmektedir.

Bulut bilişim sektöründe teknik operasyon, veri merkezi yönetimi ve saha altyapı hizmetleri gibi çalışan güvenliğinin önem taşıdığı alanlarda ISO 45001 İş Sağlığı ve Güvenliği Yönetim Sistemi ile birlikte uygulanması, kurumsal yönetim yaklaşımını daha da güçlendirebilmektedir.

ISO 27001 Belgesi Olmayan Bulut Hizmet Sağlayıcıları Hangi Risklerle Karşılaşabilir?

Bilgi güvenliği süreçlerinin sistematik şekilde yönetilmemesi veri ihlalleri, yetkisiz erişimler, hizmet kesintileri, veri kayıpları ve operasyonel aksaklıklar gibi önemli risklere neden olabilmektedir.

Bulut altyapılarında yaşanabilecek tek bir güvenlik olayı, aynı ortamı kullanan birçok müşteriyi etkileyebileceğinden finansal kayıpların yanı sıra itibar kaybına da yol açabilir.

Ayrıca kurumsal müşteriler, bilgi güvenliği yönetim sistemi bulunmayan hizmet sağlayıcılarını tedarikçi risk değerlendirmelerinde daha yüksek risk grubunda değerlendirebilir. Bu durum yeni iş fırsatlarının azalmasına ve sözleşme süreçlerinin olumsuz etkilenmesine neden olabilir.

ISO 27001, KVKK ve diğer bilgi güvenliği odaklı uyumluluk süreçlerini destekleyen önemli bir yönetim altyapısı sunar. Bununla birlikte tek başına tüm yasal yükümlülüklerin yerine getirildiği anlamına gelmez. Bu nedenle bulut hizmet sağlayıcılarının kişisel veri işleme faaliyetlerini ilgili mevzuat kapsamında ayrıca değerlendirmesi ve gerekli teknik ile idari tedbirleri uygulaması önem taşımaktadır.