ISO/IEC 27001:2022; kuruluş bağlamı, liderlik, risk yönetimi, bilgi güvenliği hedefleri, yetkinlik, operasyon, performans değerlendirme ve iyileştirmeyi tek bir BGYS içinde yönetir. Annex A kontrolleri risk işleme sürecini destekler; kontrol seçimi kuruluşun risklerine, yasal yükümlülüklerine ve sözleşme şartlarına göre gerekçelendirilir.

Bilgi işleyen her kuruluşta uygulanabilir. Özellikle müşteri verisi, fikri mülkiyet, kritik sistemler, bulut hizmetleri, kişisel veriler veya tedarik zinciri erişimleri bulunan yapılarda BGYS, güvenliği yalnız BT kontrollerinden çıkarıp kurumsal risk yönetimine bağlar. Müşteri, ihale ve sözleşme şartları da ISO/IEC 27001 belgesini ticari yeterlilik haline getirebilir.

Hayır. Belgelendirme, BGYS'nin standarda uygunluğunu değerlendirir; KVKK, sektörel düzenlemeler, sözleşmeler ve diğer yasal yükümlülüklerin yerine geçmez. Kalitek çalışmalarında yasal ve sözleşmesel şartları risk değerlendirmesi, varlıklar, kontroller ve kanıtlarla ilişkilendiririz.

Kapsam, lokasyon, kullanıcı sayısı, sistem mimarisi, bulut ve dış hizmetler, mevcut teknik kontroller, risk metodolojisi ve kanıt olgunluğu proje süresini belirler. Danışmanlık ve belgelendirme ücretleri ayrıdır; yalnız politika hazırlayan teklifler ile teknik kontrolleri ve kanıtları doğrulayan çalışmalar aynı kapsamda değerlendirilmemelidir.

Annex A'yı kontrol listesi gibi uygulamak, risklerle SoA arasındaki bağı kurmamak, varlık envanterini güncel tutmamak, tedarikçi ve bulut risklerini dışarıda bırakmak, yedekleme testlerini yapmamak ve politika varlığını kontrol etkinliği sanmak en sık karşılaştığımız sorunlardır.