Bilgi Güvenliði Yönetim Sistemi Nedir?
Bilgi güvenliði yönetim sistemi hakkýnda bilinçlendirme ve eðitim faaliyetlerini yoðunlaþtýrarak devam ettiren Geliþim Yönetim Sistemleri A.Þ. 2006 yýlýnda tüm kamu kurumlarý, üniversiteler ile IT, finans, saðlýk sektörleri baþta olmak üzere tüm Türkiye'deki kurumlara danýþmanlýk ve eðitim hizmetleri sunmaktadýr.

Türkiye için yeni bir standart olmasýna ve Türkçe hemen hemen hiç kaynak bulunmamasýna raðmen sektörünün öncü kurumlarý tarafýndan faydasý tespit edilmiþ ve çalýþmalarý yýllardýr sürdürülen bilgi güvenliði yönetim sisteminin yaygýnlaþmasý, doðru anlaþýlmasý ve verimli bir þekilde uygulanabilmesi için seminer faaliyetlerinin yaný sýra hazýrlanan Türkçe kýlavuzlar ve kitaplar ile de kurumlarýn iþlerini kolaylaþtýracak çözümler sunmaya devam etmekteyiz.

ISO 27001:2013 bilgi güvenliði yönetim sistemi hakkýnda dikkat edilmesi gereken temel noktalar aþaðýda özetlendiði gibidir. Konuyla ilgili detaylý bilgi için www.gelisim.org adresi ziyaret edilebilir.

Bilgi güvenliði standardý BS 7799-2'nin revize edilip 2005'in sonlarýnda ISO 27001:2005 olarak deðiþtirilmesiyle yürürlüðe giren bu standart kurumlarýn bilgi güvenliði yönetim sistemi kurmalarý için gereklilikleri tanýmlamaktadýr.
Bunun yaný sýra ISO 17799:2002 numaralý standart ISO 17799:2005 "bilgi teknolojileri güvenlik teknikleri en iyi uygulamalar rehberi" olarak revize edilip yayýnlanmýþtýr ve ISO 27001:2013'e göre kurulacak bir BGYS'nin nasýl gerçekleþtirilebileceðine dair açýklamalarý içerir.

Bilgi güvenliði yönetim sistemi , kurumunuzdaki tüm bilgi varlýklarýnýn deðerlendirilmesi ve bu varlýklarýn sahip olduklarý zayýflýklarý ve karþý karþýya olduklarý tehditleri göz önüne alan bir risk analizi yapýlmasýný gerektirir. Kurum kendine bir risk yönetimi metodu seçmeli ve risk iþleme için bir plan hazýrlamalýdýr.

Risk iþleme için standartta öngörülen kontrol hedefleri ve kontrollerden seçimler yapýlmalý ve uygulanmalýdýr. Planla-uygula-kontrol et-önlem al (PUKÖ) çevrimi uyarýnca risk yönetimi faaliyetlerini yürütmeli ve varlýðýn risk seviyesi kabul edilebilir bir seviyeye geriletilene kadar çalýþmayý sürdürmelidir.

ISO 27001:2013 Kurumlarýn risk yönetimi ve risk iþleme planlarýný , görev ve sorumluluklarý, iþ devamlýlýðý planlarýný , acil durum olay yönetimi prosedürleri hazýrlamasýný ve uygulamada bunlarýn kayýtlarýný tutmasýný gerektirir. Kurum tüm bu faaliyetlerin de içinde yer aldýðý bir bilgi güvenliði politikasý yayýnlamalý ve personelini bilgi güvenliði ve tehditler hakkýnda bilinçlendirmelidir. Seçilen kontrol hedeflerinin ölçülmesi ve kontrollerin amacýna uygunluðunun ve performansýnýn sürekli takip edildiði yaþayan bir süreç olarak bilgi güvenliði yönetimi ancak yönetimin aktif desteði ve personelin katýlýmcýlýðýyla baþarýlabilir.

Kurum içerisinde bu çalýþmalarý yürütecek BGYS takýmýnýn ve BGYS yöneticisinin bilgi güvenliði yönetimi konusunda iyi eðitimli olmalarý gerekmektedir. Risk yönetimi, politika oluþturma, güvenlik prosedürlerinin hazýrlanmasý ve uygun kontrollerin seçilerek uygulanmasý aþamalarýnda uzman desteði ve danýþmanlýk almalarý faydalý olacaktýr.

ISO 27001:2013'den bahsederken karýþtýrýlan ve dikkatle ayrýlmasý gereken þey ISO 27001:2013'in YÖNETÝM SÝSTEMÝ öngörmesidir. ISO 27001:2013 size nasýl virüs bulaþmayacaðýný anlatmaz.

Bilgisayar aðýnýza saldýrganlarýn nasýl sýzabileceðini söylemez. Size toplam bilgi güvenliði ve "yaþayan bir süreç olarak" bilgi güvenliðinin nasýl "yönetileceðini" tanýmlar.

ISO 27001:2013 Bilgi Güvenliði Yönetim Sistemi kurmanýn yararlarý

• Bilgi varlýklarýnýn farkýna varma: Kuruluþ hangi bilgi varlýklarýnýn olduðunu, deðerinin farkýna varýr.
• Sahip olduðu varlýklarý koruyabilme: Kuracaðý kontroller ile koruma metotlarýný belirler ve uygulayarak korur.
• Ýþ sürekliliði: Uzun yýllar boyunca iþini garanti eder. Ayrýca bir felaket halinde, iþe devam etme yeterliliðine sahip olur.
• Ýlgili taraflar ile barýþ halinde olma: Baþta tedarikçileri olmak üzere, bilgileri korunacaðýndan ilgili taraflarýn güvenini kazanýr.
• Bilgiyi bir sistem sayesinde korur, tesadüfe býrakmaz.
• Müþterileri deðerlendirirse, rakiplerine göre daha iyi deðerlendirilir.
• Çalýþanlarýn motivasyonunu arttýrýr.
• Yasal takipleri önler
• Yüksek prestij saðlar

ISO 27001:2013 Bilgi Güvenliði Sistemi Kurma Aþamalarý :

• Varlýklarýn sýnýflandýrýlmasý
• Gizlilik , bütünlük ve eriþebilirlik kriterlerine göre varlýklarýn deðerlendirilmesi
• Risk analizi
• Risk analizi çýktýlarýna göre uygulanacak kontrolleri belirleme
• Dokümantasyon oluþturma
• Kontrolleri uygulama
• Ýç tetkik
• Kayýtlarý tutma
• Yönetimin gözden geçirmesi
• Belgelendirme