ISO 27001:2022’nin Getirdiği Temel Değişiklikler
ISO/IEC 27001 standardı, bilgi güvenliği yönetim sistemleri (BGYS) için uluslararası bir çerçeve sunarak, kuruluşların bilgi varlıklarını koruma süreçlerini belirler. 25 Ekim 2022'de yayımlanan ISO/IEC 27001:2022 güncellemesi, bilgi güvenliği alanındaki gelişmelere uyum sağlamak amacıyla önemli değişiklikler içermektedir.
Yapısal Değişiklikler
Yeni sürüm, diğer ISO yönetim sistemi standartlarıyla uyumlu hale getirilerek, Uyumlaştırılmış Yapı (UY) olarak bilinen yapıya adapte edilmiştir. Bu değişiklik, standartların entegrasyonunu kolaylaştırmayı hedefler.
Önemli Nokta
Madde 6.3 "Değişikliklerin Planlanması" eklenmiş ve BGYS'deki değişikliklerin planlı bir şekilde yönetilmesi gerekliliği vurgulanmıştır.
Ek A Kontrollerindeki Değişiklikler
Ek A'daki kontroller, günümüzün bilgi güvenliği ihtiyaçlarına daha iyi yanıt verebilmek için yeniden düzenlenmiştir.
Kontrol Sayısı ve Yapısı
Önceki 14 kontrol başlığı altında toplanan 114 kontrol, yeni sürümde 4 ana başlık altında 93 kontrole indirilmiştir:
- Organizasyonel Kontroller (A.5): Politikalar, roller ve sorumluluklar gibi yönetimsel konuları kapsar.
- Kişisel Kontroller (A.6): Çalışan farkındalığı, eğitimi ve davranışlarına odaklanır.
- Fiziksel Kontroller (A.7): Fiziksel güvenlik önlemleri ve erişim kontrollerini içerir.
- Teknik Kontroller (A.8): Bilgi sistemleri üzerindeki teknik önlemleri tanımlar.
Yeni Eklenen 11 Kontrol
Güncellenen standartta aşağıdaki 11 yeni kontrol yer almaktadır:
A.5.7 Tehdit İstihbaratı
Olası tehditleri öngörmeye yönelik istihbarat süreçleri.
A.5.23 Bulut Hizmetlerinde Güvenlik
Bulut hizmetlerinin güvenli şekilde kullanımı.
A.5.30 BİT İş Sürekliliği
Bilgi teknolojileri sürekliliği için önlemler.
A.7.4 Fiziksel Güvenlik İzleme
Güvenlik kameraları ve benzeri fiziksel izleme sistemleri.
A.8.9 Konfigürasyon Yönetimi
Sistem bileşenlerinin yapılandırma takibi.
A.8.10 Bilgilerin Silinmesi
Güvenli bilgi imhası yöntemleri.
A.8.11 Veri Maskeleme
Kritik verilerin maskeleme yöntemleriyle korunması.
A.8.12 Veri Sızıntısını Önleme
Veri kaybını ve dışarıya sızmayı engelleme teknikleri.
A.8.16 İzleme Faaliyetleri
Bilgi sistemlerinin sürekli izlenmesi.
A.8.23 Web Filtreleme
İnternete erişimin güvenli şekilde kontrolü.
A.8.28 Güvenli Kodlama
Yazılım geliştirme süreçlerinde güvenlik önlemleri.
Geçiş Süreci
ISO 27001:2013 sertifikasına sahip kuruluşlar için, yeni sürüme geçiş süreci 31 Ekim 2025 tarihine kadar tamamlanmalıdır. Bu süre zarfında, kuruluşların mevcut BGYS'lerini güncelleyerek yeni standartla uyumlu hale getirmeleri gerekmektedir.
ISO/IEC 27001:2022 güncellemesi, bilgi güvenliği yönetim sistemlerini modern tehditlere karşı daha etkin kılmayı amaçlayan önemli değişiklikler içermektedir. Kuruluşların, bu yeni gerekliliklere uyum sağlayarak bilgi güvenliği süreçlerini güçlendirmeleri kritik öneme sahiptir.