ISO 27001 İstanbul

İstanbul, Türkiye’nin en büyük ticaret ve iş merkezlerinden biri olması nedeniyle bilgi güvenliği açısından da son derece önemli bir konuma sahiptir. Finans kuruluşlarından yazılım şirketlerine, e-ticaret işletmelerinden üretim firmalarına, sağlık kuruluşlarından lojistik şirketlerine kadar çok sayıda kuruluş her gün yüksek miktarda bilgi üretmekte, işlemekte, saklamakta ve paylaşmaktadır.

Bu nedenle ISO 27001 İstanbul araması yapan işletmelerin temel amacı yalnızca bir belge sahibi olmak değil; müşterilerinin, çalışanlarının, iş ortaklarının ve kurumlarının sahip olduğu bilgileri sistematik biçimde koruyabilmektir.

ISO/IEC 27001, kuruluşların bilgi güvenliği risklerini yönetebilmesi için bir Bilgi Güvenliği Yönetim Sistemi (BGYS) oluşturmasını sağlayan uluslararası standarttır. İstanbul’da faaliyet gösteren bir işletme için ISO 27001 belgesi; bilgi güvenliği süreçlerinin daha sistematik hale getirilmesine, risklerin belirlenmesine, güvenlik kontrollerinin oluşturulmasına ve sürekli iyileştirme kültürünün geliştirilmesine katkı sağlar.

Bu kapsamlı rehberde ISO 27001 İstanbul, ISO 27001 belgesi alma süreci, ISO 27001 danışmanlığı, risk analizi, dokümantasyon, iç denetim, belgelendirme denetimi, İstanbul’un ilçeleri ve sektörlere göre ISO 27001 gereklilikleri ayrıntılı olarak ele alınmaktadır.

ISO 27001 Nedir?

ISO 27001, kuruluşların bilgi güvenliği yönetim sistemini oluşturması, uygulaması, sürdürmesi ve sürekli geliştirmesi için kullanılan uluslararası bir standarttır.

Bilgi güvenliği yalnızca bilgisayarları virüslere karşı korumak anlamına gelmez. Kuruluşun sahip olduğu bilgilerin;

• Gizliliğinin,
• Bütünlüğünün,
• Erişilebilirliğinin

korunmasını kapsayan çok daha geniş bir yönetim yaklaşımıdır.

Bu üç temel unsur bilgi güvenliğinin temelini oluşturur.

Gizlilik

Bilginin yalnızca yetkili kişiler tarafından erişilebilir olması gerekir.

Örneğin İstanbul’da faaliyet gösteren bir insan kaynakları şirketinin çalışan özlük dosyaları, maaş bilgileri veya kişisel verileri yalnızca yetkili kişiler tarafından görüntülenebilmelidir.

Bütünlük

Bilginin yetkisiz veya hatalı şekilde değiştirilmemesi gerekir.

Örneğin bir finans kuruluşundaki müşteri hesap bilgilerinin yetkisiz kişiler tarafından değiştirilmesi ciddi sonuçlar doğurabilir.

Erişilebilirlik

Yetkili kişilerin ihtiyaç duyduğu bilgiye ihtiyaç duyduğu zamanda ulaşabilmesi gerekir.

Bir İstanbul e-ticaret şirketinin sunucularının uzun süre çalışmaması, siparişlerin işlenememesine ve müşteri kaybına neden olabilir.

ISO 27001 bu üç temel prensibi birlikte ele alır.

İstanbul Ticaret Ekosisteminde ISO 27001 Standardı

İstanbul, Türkiye ekonomisinin kalbi olmasının yanı sıra finansal veri akışlarının, yazılım inovasyonlarının, global tedarik zincirlerinin ve dev sanayi havzalarının merkezidir. Bu yoğun veri trafiğinde bilgi varlıklarını korumak, siber tehditleri önlemek ve kurumsal itibarı güvenceye almak lüks değil, doğrudan bir iş sürdürülebilirliği şartıdır.

ISO/IEC 27001, kurumların bilgi güvenliği risklerini belirlemesini, yönetmesini ve sürekli iyileştirmesini sağlayan uluslararası düzeyde kabul görmüş yönetim sistemi standardıdır. Güncel ISO/IEC 27001:2022 revizyonu ile sistem; bulut güvenliği, siber tehdit istihbaratı ve veri gizliliği odaklı kontrollerle daha esnek ve dirençli hale getirilmiştir.

İstanbul İlçelerine Göre ISO 27001 Öncelikleri ve Sektörel Dağılım

İstanbul'un sanayi, finans ve teknoloji kümelenmeleri ilçe bazında farklı bilgi güvenliği riskleri ve öncelikleri barındırır:

İlçe / Bölge	Ağırlıklı Sektörler	ISO 27001 Temel Odak Noktaları
Maslak & Levent (Sarıyer / Beşiktaş)	Finans, Bankacılık, Sigortacılık, Holdingler	Finansal veri gizliliği, BDDK düzenlemeleri, yüksek erişim güvenliği, iş sürekliliği
Kadıköy & Ataşehir	FinTech, Yazılım, Dijital Ajanslar, Danışmanlık	Bulut güvenliği (A.5.23), kaynak kod koruması, KVKK uyumu, SaaS mimari güvenliği
Ümraniye & Şişli	E-Ticaret, Lojistik, Çağrı Merkezleri	Müşteri kişisel verilerinin korunması, kartlı ödeme sistemleri güvenliği (PCI-DSS entegrasyonu)
İkitelli OSB (Başakşehir) & Beylikdüzü	Üretim, Otomotiv Yan Sanayi, Kimya	Endüstriyel kontrol sistemleri (OT/ICS) güvenliği, tedarik zinciri bilgi aktarımı
Tuzla & Pendik OSB	Ağır Sanayi, Tesis, Savunma Sanayii, Denizcilik	Fikri mülkiyet koruması, fiziksel güvenlik kontrolleri, gizlilik sözleşmeleri

ISO 27001:2022 Standardının Yapısı ve 4 Ana Tematik Kontrol Alanı

Yeni revizyon ile birlikte eski 114 kontrol, 93 kontrole düşürülmüş ve 4 temel kategori altında toplanmıştır:

1. Organizasyonel Kontroller (37 Kontrol): Bilgi güvenliği politikaları, rolleri, sorumlulukları, tehdit istihbaratı (A.5.7), bulut hizmetlerinin kullanımı (A.5.23) ve tedarikçi ilişkileri.

2. İnsan Kontrolleri (8 Kontrol): İşe alım öncesi taramalar, bilgi güvenliği farkındalık eğitimleri, uzaktan çalışma güvenlik esasları ve disiplin süreçleri.

3. Fiziksel Kontroller (14 Kontrol): Güvenli alanlar, fiziksel erişim denetimleri, ekipman bakımı, veri imhası ve temiz masa/temiz ekran politikaları.

4. Teknolojik Kontroller (34 Kontrol): Kimlik doğrulama, yetki yönetimi, sızma testleri (penetrasyon), veri sızıntısı önleme (DLP), kodlama güvenliği ve yedekleme mekanizmaları.

ISO 27001 Kurulum ve Belgelendirme Adımları

SNG Kalite uzmanlığında İstanbul'daki işletmeniz için BGYS kurulumu adım adım şu şekilde gerçekleştirilir:

1.Mevcut Durum Analizi ve Kapsam Belirleme:Varlık ve Altyapı Tespiti.

Kurumun bilgi varlıkları, sunucu altyapısı, veri akış haritaları ve organizasyonel sınırları incelenir. BGYS kapsam belgesi hazırlanır.

2.Risk Değerlendirmesi ve Uygulanabilirlik Bildirgesi (SoA):Tehdit ve Açıklık Analizi.

Bilgi varlıklarının gizlilik, bütünlük ve erişilebilirlik (G-B-E) riskleri derecelendirilir. Hangi 2022 kontrollerinin uygulanacağı SoA (Statement of Applicability) dokümanında gerekçelendirilir.

3.Dokümantasyon ve Politika Oluşturma:Kurumsal Standartların Yazılması.

Bilgi Güvenliği Ana Politikası, Parola Politikası, İş Sürekliliği Planı, Olay Yönetimi Prosedürü ve Veri İhlal Bildirim süreçleri hazırlanır.

4.Eğitim ve Farkındalık Çalışmaları:İnsan Odaklı Güvenlik Katmanı.

Tüm personele sosyal mühendislik, oltalama (phishing) saldırıları ve bilgi güvenliği temel farkındalık eğitimleri verilir.

5.İç Denetim ve Yönetimin Gözden Geçirmesi (YGG):Sistem Testi ve Kontrolü.

Sistemin işlerliği SNG Kalite iç denetçileri tarafından bağımsız olarak tetkik edilir, tespit edilen eksiklikler kapatılır ve YGG toplantısı ile üst yönetime raporlanır.

6.Aşama 1 ve Aşama 2 Dış Denetim:Belgelendirme Kuruluşu İncelemesi.

Akredite belgelendirme kuruluşu dokümantasyonu (Aşama 1) ve saha uygulamalarını (Aşama 2) denetler. Başarılı değerlendirme sonucunda ISO 27001 Sertifikası teslim edilir.

İstanbul’da ISO 27001 Belgesi Kimler İçin Gereklidir?

ISO 27001 yalnızca büyük şirketlere yönelik değildir.

İstanbul’da faaliyet gösteren küçük ve orta ölçekli işletmeler de bilgi güvenliği yönetim sistemi kurabilir.

Özellikle aşağıdaki işletmeler ISO 27001 çalışmalarından önemli fayda sağlayabilir:

Yazılım Firmaları

İstanbul’da çok sayıda yazılım ve teknoloji şirketi faaliyet göstermektedir.

Bu şirketlerin;

• Kaynak kodları,
• Müşteri bilgileri,
• Proje dosyaları,
• Sunucu bilgileri,
• Kullanıcı hesapları,
• API anahtarları,
• Sistem şifreleri,
• Teknik dokümanları

gibi kritik bilgi varlıkları bulunabilir.

ISO 27001 bu bilgilerin sistematik şekilde yönetilmesine yardımcı olur.

E-Ticaret Şirketleri

E-ticaret şirketlerinde müşteri ve sipariş bilgilerinin güvenliği son derece önemlidir.

ISO 27001 kapsamında;

• Bilgi varlıklarının belirlenmesi,
• Yetkilendirme,
• Erişim kontrolleri,
• Yedekleme,
• Olay yönetimi,
• İş sürekliliği,
• Tedarikçi güvenliği

gibi konular değerlendirilir.

Finans ve Muhasebe Şirketleri

Finansal bilgiler yüksek hassasiyet taşıdığı için bilgi güvenliği yönetimi bu kuruluşlar açısından kritik olabilir.

Sağlık Kuruluşları

Hastaneler, tıp merkezleri, laboratuvarlar ve diğer sağlık kuruluşları yüksek hassasiyet içeren hasta bilgileriyle çalışmaktadır.

Bu nedenle bilgi güvenliği süreçlerinin sistematik şekilde yönetilmesi önemlidir.

Lojistik Firmaları

İstanbul, Türkiye'nin önemli lojistik merkezlerinden biridir.

Lojistik şirketleri;

• Müşteri bilgileri,
• Sevkiyat bilgileri,
• Araç bilgileri,
• Sürücü bilgileri,
• Depo bilgileri,
• Ticari belgeler

gibi çok sayıda bilgi varlığı kullanabilir.

İstanbul’da ISO 27001 Belgesi Alma Süreci

ISO 27001 İstanbul belgelendirme süreci, işletmenin mevcut durumuna göre değişebilir.

Genel olarak aşağıdaki aşamalar izlenir.

1. Mevcut Durum Analizi

İlk aşamada işletmenin mevcut bilgi güvenliği yapısı değerlendirilir.

Şu sorulara cevap aranır:

• Hangi bilgi varlıkları bulunuyor?
• Bilgilere kimler erişiyor?
• Hangi sistemler kullanılıyor?
• Kritik bilgiler nerede tutuluyor?
• Yedekleme yapılıyor mu?
• Erişim yetkileri nasıl belirleniyor?
• Çalışanların bilgi güvenliği farkındalığı yeterli mi?
• Bilgi güvenliği olayları nasıl yönetiliyor?
• Tedarikçiler değerlendiriliyor mu?
• İş sürekliliği planları mevcut mu?

Bu değerlendirme sonucunda mevcut durum ile ISO 27001 gereklilikleri arasındaki farklar belirlenir.

2. ISO 27001 Kapsamının Belirlenmesi

ISO 27001 uygulamasında kapsamın doğru belirlenmesi oldukça önemlidir.

İstanbul’da faaliyet gösteren bir şirketin tüm organizasyonu kapsam dahilinde olabileceği gibi belirli bir lokasyonu, departmanı, hizmeti veya bilgi işleme faaliyetini kapsayan bir yapı da oluşturulabilir.

Kapsam belirlenirken;

• Şirketin faaliyetleri,
• Lokasyonlar,
• Bilgi sistemleri,
• Personel,
• Ürün ve hizmetler,
• Müşteriler,
• Tedarikçiler,
• Teknolojik altyapı

dikkate alınmalıdır.

3. Bilgi Varlıklarının Belirlenmesi

ISO 27001 çalışmalarının önemli aşamalarından biri bilgi varlıklarının belirlenmesidir.

Bilgi varlığı yalnızca bilgisayar değildir.

Bir kuruluşun bilgi güvenliği açısından değer taşıyan çok sayıda varlığı olabilir.

Bunlar arasında;

• Bilgisayarlar,
• Sunucular,
• Dizüstü bilgisayarlar,
• Mobil cihazlar,
• Yazılımlar,
• Veritabanları,
• Müşteri dosyaları,
• Sözleşmeler,
• Ticari belgeler,
• E-postalar,
• Fiziksel arşivler,
• Personel bilgileri,
• Kaynak kodları,
• Web siteleri,
• Bulut sistemleri,
• Ağ altyapısı,
• Yedekleme sistemleri

yer alabilir.

4. Bilgi Güvenliği Risk Analizi

ISO 27001'in temel konularından biri risk yönetimidir.

Kuruluş, sahip olduğu bilgi varlıklarının karşı karşıya olduğu tehditleri ve zafiyetleri değerlendirmelidir.

Örneğin bir İstanbul yazılım şirketinde;

Varlık: Kaynak kodu

Tehdit: Yetkisiz erişim

Zafiyet: Güçlü erişim kontrolünün bulunmaması

Olası sonuç: Kaynak kodunun yetkisiz kişilerin eline geçmesi

gibi bir risk senaryosu oluşturulabilir.

Risklerin belirlenmesinden sonra bunların kabul edilmesi, azaltılması, aktarılması veya ortadan kaldırılması gibi yöntemler değerlendirilebilir.

5. Risk İşleme Planının Hazırlanması

Belirlenen riskler için uygulanacak aksiyonlar oluşturulur.

Örneğin;

• Çok faktörlü kimlik doğrulama,
• Yetki seviyelerinin düzenlenmesi,
• Güvenlik duvarı yapılandırması,
• Yedekleme,
• Antivirüs ve güvenlik çözümleri,
• Personel eğitimleri,
• Fiziksel güvenlik önlemleri,
• Tedarikçi değerlendirmeleri,
• Olay müdahale prosedürleri

gibi önlemler uygulanabilir.

6. ISO 27001 Dokümantasyonunun Hazırlanması

Bilgi güvenliği yönetim sisteminin sürdürülebilmesi için gerekli dokümantasyon hazırlanır.

Kuruluşun ihtiyaçlarına göre;

• Bilgi güvenliği politikası,
• Risk değerlendirme metodolojisi,
• Risk değerlendirme kayıtları,
• Risk işleme planı,
• Varlık envanteri,
• Erişim kontrol prosedürleri,
• Yedekleme prosedürleri,
• Olay yönetimi prosedürleri,
• İş sürekliliği prosedürleri,
• Tedarikçi güvenliği prosedürleri,
• İç denetim kayıtları,
• Eğitim kayıtları,
• Düzeltici faaliyet kayıtları

gibi dokümanlar oluşturulabilir.

Burada hazır dokümanların işletmenin gerçek yapısıyla uyumlu hale getirilmesi önemlidir.

6. ISO 27001 Dokümantasyonunun Hazırlanması

Bilgi güvenliği yönetim sisteminin sürdürülebilmesi için gerekli dokümantasyon hazırlanır.

Kuruluşun ihtiyaçlarına göre;

• Bilgi güvenliği politikası,
• Risk değerlendirme metodolojisi,
• Risk değerlendirme kayıtları,
• Risk işleme planı,
• Varlık envanteri,
• Erişim kontrol prosedürleri,
• Yedekleme prosedürleri,
• Olay yönetimi prosedürleri,
• İş sürekliliği prosedürleri,
• Tedarikçi güvenliği prosedürleri,
• İç denetim kayıtları,
• Eğitim kayıtları,
• Düzeltici faaliyet kayıtları

gibi dokümanlar oluşturulabilir.

Burada hazır dokümanların işletmenin gerçek yapısıyla uyumlu hale getirilmesi önemlidir.

İstanbul’un İlçelerine Göre ISO 27001

İstanbul’un ekonomik yapısı ilçelere göre farklılık göstermektedir. Bu nedenle ISO 27001 İstanbul çalışmaları yapılırken kuruluşun faaliyet gösterdiği bölgenin ekonomik ve sektörel yapısı da dikkate alınabilir.

ISO 27001 Beşiktaş

Beşiktaş; şirket merkezleri, danışmanlık firmaları, teknoloji işletmeleri, medya şirketleri ve çeşitli hizmet kuruluşları açısından önemli bir iş bölgesidir.

Bu bölgede faaliyet gösteren şirketler için özellikle;

• Kurumsal bilgi güvenliği,
• E-posta güvenliği,
• Erişim yönetimi,
• Personel farkındalığı,
• Bulut sistemleri,
• Müşteri bilgilerinin korunması

önem taşıyabilir.

ISO 27001 Şişli

Şişli, İstanbul'un önemli ticaret ve hizmet merkezlerinden biridir.

Şişli'deki işletmeler özellikle müşteri verileri, çalışan bilgileri, finansal bilgiler ve kurumsal dokümanların korunmasına yönelik BGYS süreçlerinden faydalanabilir.

ISO 27001 Ataşehir

Ataşehir özellikle finans, bankacılık, danışmanlık ve kurumsal hizmetler açısından önemli bir bölgedir.

Bu nedenle Ataşehir'deki kuruluşlarda bilgi güvenliği yönetimi kritik konular arasında yer alabilir.

ISO 27001 Kadıköy

Kadıköy; teknoloji, eğitim, sağlık, ticaret, hizmet ve yaratıcı sektörlerde faaliyet gösteren birçok işletmeye ev sahipliği yapmaktadır.

Özellikle teknoloji şirketleri için;

• Kaynak kodu güvenliği,
• Bulut güvenliği,
• Kullanıcı erişimleri,
• Veri yedekleme,
• Yazılım geliştirme süreçleri

önemlidir.

ISO 27001 Üsküdar

Üsküdar'da sağlık, eğitim, hizmet, danışmanlık ve ticari faaliyetler bulunan işletmeler açısından bilgi güvenliği yönetim sistemi önemli bir kurumsal yapı sağlayabilir.

ISO 27001 Bakırköy

Bakırköy; sağlık, ticaret, hizmet ve perakende faaliyetleri bakımından önemli ilçelerden biridir.

Özellikle müşteri ve çalışan bilgilerinin korunması, erişim yetkilendirmesi ve bilgi varlıklarının kontrolü önem taşır.

ISO 27001 Başakşehir

Başakşehir'de sanayi, ticaret, lojistik, sağlık ve teknoloji faaliyetleri bulunmaktadır.

Özellikle işletmelerin bilgi teknolojileri altyapılarının yönetimi, tedarikçi güvenliği ve iş sürekliliği açısından ISO 27001 çalışmaları fayda sağlayabilir.

ISO 27001 Beylikdüzü

Beylikdüzü; sanayi, üretim, ticaret ve lojistik faaliyetleri açısından İstanbul'un önemli ilçelerindendir.

Üretim şirketlerinde bilgi güvenliği yalnızca ofis bilgisayarlarıyla sınırlı değildir. Üretim sistemleri, ERP yazılımları, tedarikçi bilgileri, müşteri siparişleri ve teknik çizimler de korunması gereken bilgi varlıkları arasında bulunabilir.

ISO 27001 Esenyurt

Esenyurt, yoğun ticari ve sanayi faaliyetlerinin bulunduğu ilçelerden biridir.

Buradaki işletmeler için ISO 27001 kapsamında bilgi varlıklarının belirlenmesi, erişim kontrolleri, çalışan farkındalığı ve tedarikçi yönetimi önemli başlıklardır.

ISO 27001 Tuzla

Tuzla özellikle sanayi, üretim, lojistik ve denizcilik faaliyetleriyle öne çıkmaktadır.

Üretim ve lojistik şirketlerinde bilgi güvenliği ile operasyonel sürekliliğin birlikte değerlendirilmesi önemlidir.

ISO 27001 Pendik

Pendik; teknoloji, lojistik, sağlık, üretim ve ticaret faaliyetlerinin bulunduğu önemli İstanbul ilçelerinden biridir.

Kuruluşların bilgi güvenliği yönetim sistemleri kendi faaliyetlerinin özelliklerine göre yapılandırılabilir.

ISO 27001 Kartal

Kartal'da farklı sektörlerde faaliyet gösteren şirketler için ISO 27001; bilgi güvenliği risklerinin yönetilmesi, çalışanların bilinçlendirilmesi ve kurumsal süreçlerin kontrol altına alınması açısından değerlendirilebilir.

ISO 27001 Maltepe

Maltepe'de hizmet, teknoloji, eğitim, sağlık ve ticaret işletmeleri bulunmaktadır.

Bu işletmeler açısından müşteri verilerinin, finansal bilgilerin ve kurumsal belgelerin korunması önemlidir.

ISO 27001 Ümraniye

Ümraniye, İstanbul'un önemli ticaret ve sanayi merkezlerinden biridir.

Özellikle kurumsal şirketlerde bilgi sistemlerinin, müşteri verilerinin ve ticari bilgilerin korunması açısından ISO 27001 önemli bir yönetim aracı olabilir.

ISO 27001 Çekmeköy

Çekmeköy'de hizmet ve ticaret işletmelerinin yanı sıra farklı ölçeklerde kuruluşlar faaliyet göstermektedir.

Kuruluşun bilgi varlıkları ve riskleri dikkate alınarak ISO 27001 kapsamı oluşturulabilir.

ISO 27001 Sarıyer

Sarıyer'de kurumsal şirketler, finans kuruluşları, danışmanlık şirketleri ve farklı hizmet işletmeleri bulunmaktadır.

Bu kuruluşlarda müşteri bilgilerinin ve kurumsal verilerin korunması önemli olabilir.

ISO 27001 Bakırköy, Bahçelievler ve Güngören

Bu ilçelerde ticaret, hizmet, üretim ve perakende faaliyetleri yoğun olarak görülmektedir.

Özellikle KOBİ'ler açısından ISO 27001; bilgi güvenliğinin sistematik hale getirilmesine yardımcı olabilir.

ISO 27001 Avcılar

Avcılar'da sanayi, ticaret, eğitim ve hizmet sektörlerinde faaliyet gösteren işletmeler bulunmaktadır.

Kuruluşların bilgi güvenliği ihtiyaçları faaliyet alanlarına göre değişebilir.

ISO 27001 Zeytinburnu

Zeytinburnu; ticaret, üretim, tekstil, lojistik ve hizmet sektörleri bakımından önemli ilçelerden biridir.

Özellikle müşteri ve tedarikçi bilgilerinin korunması, ticari belgelerin güvenliği ve erişim yetkilendirmeleri önem taşır.

ISO 27001 Fatih

Fatih, turizm, ticaret, sağlık ve hizmet sektörlerinin yoğun olduğu ilçelerden biridir.

Kuruluşların bilgi sistemleri, müşteri kayıtları ve ticari bilgilerinin güvenliği ISO 27001 kapsamında ele alınabilir.

ISO 27001 Beyoğlu

Beyoğlu; turizm, restoran, otelcilik, medya, kültür ve hizmet sektörlerinin yoğun olduğu bölgelerden biridir.

Müşteri bilgileri, rezervasyon sistemleri, ödeme sistemleri ve çalışan erişimleri gibi konular bilgi güvenliği açısından önemlidir.

ISO 27001 Kağıthane

Kağıthane son yıllarda ofis, teknoloji ve ticaret faaliyetleri bakımından gelişen ilçeler arasındadır.

Özellikle teknoloji ve hizmet şirketleri için bilgi güvenliği yönetim sistemi kurumsal güvenliği destekleyebilir.

ISO 27001 Eyüpsultan

Eyüpsultan'da sanayi, lojistik, ticaret ve hizmet faaliyetleri bulunmaktadır.

Kuruluşların kritik bilgi varlıklarının belirlenmesi ve risklerin yönetilmesi ISO 27001 çalışmalarının önemli parçalarındandır.

ISO 27001 Arnavutköy

Arnavutköy; lojistik, havacılık, depolama ve ticari faaliyetler açısından stratejik öneme sahiptir.

Bu sektörlerde operasyonel bilgilerin, müşteri bilgilerinin, sevkiyat verilerinin ve tedarikçi bilgilerinin güvenliği önemlidir.

ISO 27001 Silivri

Silivri'de tarım, üretim, sanayi ve lojistik faaliyetleri bulunmaktadır.

Üretim şirketleri için ISO 27001 kapsamında teknik bilgiler, üretim verileri, müşteri kayıtları ve ticari belgeler değerlendirilebilir.

İstanbul’da ISO 27001 Danışmanlığı

ISO 27001 danışmanlığı, kuruluşun standardın gerekliliklerini anlamasına ve kendi yapısına uygun bir Bilgi Güvenliği Yönetim Sistemi oluşturmasına yardımcı olabilir.

Bir danışmanlık çalışmasında işletmenin gerçek ihtiyaçları dikkate alınmalıdır.

Örneğin 10 çalışanı olan bir teknoloji şirketi ile binlerce çalışanı bulunan bir finans kuruluşunun bilgi güvenliği sistemi aynı şekilde tasarlanmamalıdır.

Danışmanlık sürecinde;

• Mevcut durum analizi,
• Kapsam belirleme,
• Varlık envanteri,
• Risk analizi,
• Risk işleme,
• Dokümantasyon,
• Kontrollerin uygulanması,
• Eğitim,
• İç denetim,
• Yönetimin gözden geçirmesi,
• Belgelendirme denetimine hazırlık

gibi çalışmalar yürütülebilir.

ISO 27001 İstanbul Fiyatları

“ISO 27001 İstanbul fiyatları ne kadar?” sorusunun tek bir cevabı yoktur.

Çünkü ISO 27001 maliyeti kuruluşun özelliklerine göre değişebilir.

Fiyat üzerinde etkili olabilecek başlıca faktörler şunlardır:

• Çalışan sayısı,
• Lokasyon sayısı,
• Faaliyet alanı,
• Bilgi sistemlerinin karmaşıklığı,
• BGYS kapsamı,
• Mevcut dokümantasyon,
• Risklerin seviyesi,
• Danışmanlık ihtiyacı,
• Eğitim ihtiyacı,
• İç denetim ihtiyacı,
• Belgelendirme kuruluşu,
• Denetim süresi.

Bu nedenle İstanbul'da ISO 27001 için fiyat araştırması yapılırken yalnızca en düşük fiyatın değerlendirilmesi doğru olmayabilir.

Kuruluşun gerçekten ihtiyaç duyduğu kapsamın belirlenmesi ve tekliflerin aynı kapsam üzerinden karşılaştırılması daha sağlıklı bir yaklaşım olacaktır.

ISO 27001 Belgesi Almak Zorunlu mu?

ISO 27001 her işletme için genel olarak kanunen zorunlu bir belge değildir.

Ancak bazı sektörlerde, müşteri sözleşmelerinde, ihale şartlarında veya belirli düzenleyici gerekliliklerde bilgi güvenliğiyle ilgili özel şartlar bulunabilir.

Ayrıca büyük kurumsal müşteriler, tedarikçilerinden ISO 27001 gibi bilgi güvenliği standartlarına sahip olmalarını talep edebilir.

Bu nedenle bir işletmenin ISO 27001'e ihtiyaç duyup duymadığı değerlendirilirken yalnızca “zorunlu mu?” sorusu değil;

“Müşterilerim, sektörüm ve iş süreçlerim açısından bilgi güvenliği yönetim sistemine ihtiyacım var mı?”

sorusu da dikkate alınmalıdır.

ISO 27001 ve Siber Güvenlik

Siber saldırıların gelişmesiyle birlikte bilgi güvenliği kuruluşların stratejik gündemlerinden biri haline gelmiştir.

Ancak siber güvenlik ile ISO 27001 aynı şey değildir.

Siber güvenlik daha çok teknik tehditlerin önlenmesi ve yönetilmesine odaklanabilir.

ISO 27001 ise;

• İnsan,
• Süreç,
• Teknoloji,
• Yönetim,
• Risk,
• Fiziksel güvenlik,
• Tedarikçiler,
• İş sürekliliği

gibi çok daha geniş bir perspektif sunar.

Bu nedenle ISO 27001, kuruluşun siber güvenlik yaklaşımını yönetim sistemi perspektifiyle destekleyebilir.

ISO/IEC 27001:2022 Ek-A Kontrolleri ve Uygulama Alanları

ISO/IEC 27001 standardının 2022 revizyonu, dijitalleşen dünyadaki modern tehditlere uyum sağlamak amacıyla yenilenmiştir. Yapılan güncelleme ile eski versiyonda yer alan 114 kontrol maddesi birleştirilerek 93 kontrole düşürülmüş, karmaşıklık azaltılmış ve 11 yeni siber güvenlik kontrolü sisteme dahil edilmiştir.

Ek-A Kapsamındaki 4 Ana Tema

• Organizasyonel Kontroller (37 Kontrol - Ek-A 5): Bilgi güvenliği politikalarının yönetimi, rol ve sorumlulukların dağılımı, varlıkların kabul edilebilir kullanımı, tedarikçi ilişkilerinin yönetimi, olay yönetimi ve iş sürekliliği süreçlerini kapsar.

• İnsan Kontrolleri (8 Kontrol - Ek-A 6): İşe alım öncesi tarama, iş sözleşmeleri, farkındalık ve eğitim programları, disiplin süreçleri ve uzaktan çalışma/hibrit çalışma güvenlik kurallarını düzenler.

• Fiziksel Kontroller (14 Kontrol - Ek-A 7): Fiziksel güvenlik sınırları, sistem odası koruması, fiziki erişim yetkileri, ekipman bakımı, veri imhası ve temiz masa/temiz ekran ilkelerini belirler.

• Teknolojik Kontroller (34 Kontrol - Ek-A 8): Kimlik ve erişim yönetimi, yetkili hesapların korunması, sızma testleri, kodlama güvenliği, veri sızıntısını önleme (DLP), ağ güvenliği ve kriptografik kontrolleri kapsar.

2022 Revizyonu ile Gelen 11 Yeni Kontrol Maddesi

Yeni versiyonda öne çıkan ve özellikle İstanbul’daki teknoloji, e-ticaret ve finans firmalarını doğrudan ilgilendiren yeni eklemeler şunlardır:

1. A.5.7 Tehdit İstihbaratı (Threat Intelligence): Kurumun maruz kalabileceği siber tehditler hakkında bilgi toplanması ve analiz edilmesi.

2. A.5.23 Bulut Hizmetlerinin Kullanımı İçin Bilgi Güvenliği: Bulut sağlayıcılarının (AWS, Azure, Google Cloud vb.) seçimi, kullanımı ve güvenlik takibi.

3. A.5.30 İş Sürekliliği İçin Bilgi Teknolojileri Hazırlığı: BT altyapısının kriz anlarında hizmet vermeye devam edebilme kapasitesi.

4. A.7.4 Fiziksel Güvenlik İzleme: Tesis ve kritik alanların gözetim sistemleri (CCTV, sensörler) ile izlenmesi.

5. A.8.9 Yapılandırma Yönetimi (Configuration Management): Donanım, yazılım ve ağ cihazlarının güvenli konfigürasyon standartlarının belirlenmesi.

6. A.8.10 Bilgi Silme (Information Deletion): Depolanan verilerin güvenli ve geri döndürülemez şekilde silinmesi.

7. A.8.11 Veri Maskeleme (Data Masking): Hassas verilerin ve kişisel verilerin (KVKK kapsamı) maskelenerek veya anonimleştirilerek korunması.

8. A.8.12 Veri Sızıntısı Önleme (Data Leakage Prevention - DLP): Yetkisiz veri transferlerinin tespit edilmesi ve engellenmesi.

9. A.8.16 İzleme Faaliyetleri (Monitoring Activities): Ağ ve sistem kayıtlarının (LOG) şüpheli davranışlara karşı otomatik izlenmesi.

10. A.8.23 Web Filtreleme (Web Filtering): Zararlı web sitelerine erişimin kısıtlanması.

11. A.8.28 Güvenli Kodlama (Secure Coding): Yazılım geliştirme yaşam döngüsünde (SDLC) güvenli kod yazım prensiplerinin uygulanması.

İstanbul Sanayi ve Teknoloji Bölgelerinde ISO 27001 Uygulamaları

İstanbul’un farklı noktalarında faaliyet gösteren firmaların operasyonel yapıları değişiklik gösterdiğinden, ISO 27001 kurulumunda odaklanılacak risk alanları da değişiklik gösterir.

                    ┌─────────────────────────────────────────┐
                    │      İstanbul ISO 27001 Odak Alanları   │
                    └────────────────────┬────────────────────┘
                                         │
         ┌───────────────────────────────┼───────────────────────────────┐
         ▼                               ▼                               ▼
┌──────────────────┐            ┌──────────────────┐            ┌──────────────────┐
│  Finans & Yazılım│            │ Sanayi & Üretim  │            │ Lojistik & Hizmet│
│ (Maslak, Ataşehir│            │ (İkitelli, Tuzla)│            │(Ümraniye, Şişli) │
└────────┬─────────┘            └────────┬─────────┘            └────────┬─────────┘
         │                               │                               │
         ├─ Veri Maskeleme (A.8.11)      ├─ OT/ICS Güvenliği             ├─ Veri Sızıntısı (DLP)
         ├─ Bulut Güvenliği (A.5.23)     ├─ Fiziksel Güvenlik (A.7)      ├─ Kişisel Veri Koruma
         └─ Güvenli Kodlama (A.8.28)     └─ Tedarik Zinciri (A.5.19)     └─ Müşteri Gizliliği

1. Finans ve Teknoloji Merkezleri (Maslak, Levent, Ataşehir)

Bu bölgelerdeki şirketler çoğunlukla dijital varlıklar, kullanıcı verileri ve finansal işlemler üzerinde çalışır.

• Ana Riskler: Yetkisiz veri erişimi, kaynak kod hırsızlığı, bulut altyapı ihlalleri.

• Öncelikli Kontroller: Güvenli Kodlama (A.8.28), Kimlik Yönetimi ve Çok Faktörlü Doğrulama (A.8.5), Bulut Güvenliği (A.5.23).

2. Sanayi ve Organize Sanayi Bölgeleri (İkitelli OSB, Tuzla OSB, Dudullu OSB)

Üretim odaklı tesislerde bilgi güvenliği sadece masaüstü bilgisayarları değil, fabrika otomasyon sistemlerini de kapsar.

• Ana Riskler: Endüstriyel Casusluk, Fikri Mülkiyet (Tasarım/Ar-Ge) İhlalleri, Üretim Hattı Ransomware (Fidye Yazılımı) Saldırıları.

• Öncelikli Kontroller: Fiziksel Giriş Kontrolleri (A.7.2), Ağ Ayrıştırma/Segmentation (A.8.22), Ekipman Bakımı (A.7.13).

3. Hizmet, E-Ticaret ve Lojistik Merkezleri (Ümraniye, Şişli, Bakırköy)

Yoğun müşteri verisi ve lojistik operasyonu yöneten işletmelerde odak noktası veri gizliliği ve sürekliliktir.

• Ana Riskler: Müşteri verilerinin sızması, e-ticaret altyapısının kesintiye uğraması, tedarikçi kaynaklı güvenlik açıkları.

• Öncelikli Kontroller: Veri Sızıntısı Önleme - DLP (A.8.12), İş Sürekliliği (A.5.30), Tedarikçi İlişkilerinde Güvenlik (A.5.19).

ISO 27001 Belgelendirme Sürecinde Sık Yapılan Hatalar

BGYS kurulumunda yapılan bazı kritik hatalar, belgelendirme denetimlerinde majör uygunsuzluk almanıza veya belgenin iptal edilmesine yol açabilir:

• Sadece IT Departmanının Sorumluluğu Olarak Görmek: ISO 27001 bir bilgi teknolojileri standardı değil, tüm kurumu kapsayan bir yönetim sistemidir. İnsan kaynakları, hukuk, idari işler ve üst yönetim sürece dahil edilmelidir.

• Kopyala-Yapıştır Dokümantasyon Kullanmak: Kurumun gerçek süreçleriyle eşleşmeyen hazır dokümanlar, saha denetiminde kolayca tespit edilir ve başarısızlığa sebep olur.

• Risk Değerlendirmesini Tek Seferlik Yapmak: Risk analizi canlı bir süreçtir; yeni bir yazılım alındığında, yeni bir ofis açıldığında veya siber tehdit ortamı değiştiğinde güncellenmelidir.

• Farkındalık Eğitimlerini İhmal Etmek: İnsan faktörü en zayıf güvenlik halkasıdır. Çalışanlara düzenli oltalama (phishing) simülasyonları ve farkındalık eğitimleri verilmelidir.

İstanbul'da ISO 27001 İçin Neden SNG Kalite?

İstanbul'da ISO 27001 çalışması yapmak isteyen kuruluşlar için doğru danışmanlık yaklaşımı, işletmenin gerçek yapısını anlamak ve standardın gerekliliklerini kuruluşun faaliyetleriyle uyumlu hale getirmektir.

SNG Kalite, ISO yönetim sistemleri konusunda kuruluşların belgelendirme süreçlerine hazırlanmasına yönelik danışmanlık ve eğitim hizmetleri sunmaktadır.

ISO 27001 çalışmaları kapsamında işletmenin mevcut durumunun değerlendirilmesi, gerekli sistem altyapısının oluşturulması, risklerin belirlenmesi ve belgelendirme sürecine hazırlanılması gibi aşamalar planlanabilir.

İstanbul'da faaliyet gösteren;

• KOBİ'ler,
• Teknoloji şirketleri,
• Yazılım firmaları,
• E-ticaret işletmeleri,
• Üretim şirketleri,
• Lojistik firmaları,
• Danışmanlık şirketleri,
• Sağlık kuruluşları,
• Eğitim kurumları,
• Finans ve hizmet kuruluşları

kendi faaliyet alanlarına uygun ISO 27001 çalışmalarından yararlanabilir.

ISO 27001 İstanbul İçin Sık Sorulan Sorular

ISO 27001 İstanbul nedir?

ISO 27001 İstanbul, İstanbul'da faaliyet gösteren kuruluşların ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardına uygun sistem kurması ve belgelendirme sürecine hazırlanmasıyla ilgili hizmetleri ifade eder.

ISO 27001 belgesi İstanbul'da nereden alınır?

ISO 27001 belgelendirme denetimleri yetkili ve uygun belgelendirme kuruluşları tarafından gerçekleştirilir. Danışmanlık kuruluşları ise işletmenin sisteme hazırlanmasına yardımcı olabilir.

ISO 27001 kaç günde alınır?

Süre kuruluşun büyüklüğüne, kapsamına, mevcut altyapısına ve hazırlık seviyesine göre değişir. Küçük bir işletme ile çok lokasyonlu büyük bir kuruluşun hazırlık süresi aynı olmayacaktır.

ISO 27001 belgesi ne kadar geçerlidir?

Belgelendirme kuruluşunun uyguladığı belgelendirme programına göre gözetim denetimleri ve yenileme süreçleri bulunur. Belgenin devamlılığı için yönetim sisteminin aktif şekilde uygulanması gerekir.

ISO 27001 sadece bilişim şirketleri için midir?

Hayır. ISO 27001 bilgi işleyen her tür kuruluş için uygulanabilir. Finans, sağlık, üretim, lojistik, eğitim, danışmanlık, perakende ve hizmet sektörleri de ISO 27001 uygulayabilir.

Küçük işletmeler ISO 27001 alabilir mi?

Evet. ISO 27001'in uygulanma kapsamı kuruluşun büyüklüğüne göre uyarlanabilir. Küçük işletmeler de faaliyetlerine uygun bir BGYS oluşturabilir.

ISO 27001 ile ISO 9001 arasındaki fark nedir?

ISO 9001 kalite yönetim sistemine, ISO 27001 ise bilgi güvenliği yönetim sistemine odaklanır. Her iki sistem aynı kuruluş içerisinde birlikte uygulanabilir.

ISO 27001 ve KVKK aynı mıdır?

Hayır. ISO 27001 bir bilgi güvenliği yönetim sistemi standardıdır. KVKK ise kişisel verilerin korunmasına ilişkin hukuki düzenlemedir.

İstanbul'da ISO 27001 İçin Sonuç

İstanbul'un Türkiye'nin en önemli finans, ticaret, teknoloji, üretim ve hizmet merkezi olması, bilgi güvenliği konusunu işletmeler açısından stratejik hale getirmektedir.

Müşteri bilgileri, finansal veriler, çalışan kayıtları, ticari belgeler, yazılım kodları, üretim bilgileri, sözleşmeler ve dijital sistemler işletmeler için önemli bilgi varlıklarıdır.

Bu bilgilerin yalnızca teknik güvenlik araçlarıyla değil, bütünsel bir yönetim sistemi yaklaşımıyla korunması gerekir.

ISO 27001 İstanbul çalışmaları bu noktada kuruluşlara sistematik bir yapı sunabilir.

Doğru planlanmış bir ISO 27001 projesinde kuruluş;

• Bilgi varlıklarını tanımlar,
• Bilgi güvenliği risklerini belirler,
• Riskleri değerlendirir,
• Uygun kontrolleri planlar,
• Çalışan farkındalığını geliştirir,
• Bilgi güvenliği süreçlerini dokümante eder,
• İç denetimler gerçekleştirir,
• Sürekli iyileştirme yaklaşımını uygular.

Sonuç olarak ISO 27001 yalnızca duvarda bulunan bir belge olarak değerlendirilmemelidir. Asıl değer, kuruluşun bilgi güvenliği yönetimini sürekli ve ölçülebilir bir sistem haline getirmesidir.

SNG Kalite – ISO 27001 İstanbul İletişim

SNG Kalite
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Danışmanlığı ve Belgelendirme Süreçleri

Telefon / WhatsApp: 0533 558 38 28

Web: www.sngkalite.com.tr
E-posta: info@sngkalite.com.tr

İstanbul ve ilçelerinde ISO 27001 konusunda bilgi almak, kuruluşunuza uygun kapsamı değerlendirmek ve belgelendirme sürecine hazırlanmak için SNG Kalite ile iletişime geçebilirsiniz.

İlgili içerilkler:

ISO 27001 Bilgi Güvenliği Yönetim Sistemi: 2026 Uygulama Rehberi

ISO 27001 Nedir? Nasıl Alınır? Şartlar, Süreç, Maliyet ve Tüm Detaylar (2026 Rehberi) | SNG Kalite