ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi (2026)
ISO 27001, kurumsal bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik ekseninde koruyan, dünya genelinde kabul görmüş tek bilgi güvenliği yönetim sistemi (BGYS) standardıdır. Siber saldırıların artması, KVKK ve veri ihlali cezalarının ağırlaşması ve müşterilerin tedarikçilerinden veri güvenliği güvencesi istemesi nedeniyle ISO 27001 özellikle yazılım, fintek, sağlık ve çağrı merkezi sektörlerinde adeta giriş bileti haline geldi. Bu rehberde standardın kapsamını, KVKK ile ilişkisini, Annex A kontrollerini, başvuru sürecini ve 2026 maliyetlerini somut biçimde ele alıyoruz.
ISO 27001 Nedir?
ISO 27001, bir kuruluşun bilgi güvenliği risklerini sistematik olarak yönetmesi için kurması gereken yönetim sistemini tanımlar. Güncel sürüm ISO/IEC 27001:2022’dir. Standardın koruduğu üç temel ilke şudur: Gizlilik (bilgiye yalnızca yetkili kişilerin erişmesi), Bütünlük (bilginin doğru ve eksiksiz kalması) ve Erişilebilirlik (bilginin gerektiğinde ulaşılabilir olması).
Burada “bilgi” sadece dijital verilerle sınırlı değildir; basılı belgeler, sözlü iletişim, fikri mülkiyet ve personel bilgileri de kapsama girer. Standart, diğer ISO standartlarıyla ortak olan 10 maddelik yüksek seviye yapıyı kullanır ve bir Risk Yönetimi yaklaşımı üzerine kurulur: önce bilgi varlıkları envanteri çıkarılır, sonra her varlığın karşı karşıya olduğu tehditler ve açıklıklar değerlendirilir.
KVKK ile İlişkisi
Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verileri işleyen tüm kuruluşlara teknik ve idari tedbir alma yükümlülüğü getirir. KVKK, “yeterli güvenlik tedbirini al” der ancak bunun nasıl yapılacağını detaylandırmaz. İşte ISO 27001 tam da bu boşluğu doldurur: Annex A kontrolleri, KVKK’nın istediği teknik ve idari tedbirlerin neredeyse tamamını somut bir çerçevede sunar.
ISO 27001 belgesi sahibi olmak, KVKK denetimlerinde ve bir veri ihlali yaşandığında kuruluşun “gerekli özeni gösterdiğini” kanıtlamasına yardımcı olur. Bu durum, KVKK’nın uyguladığı idari para cezalarında lehte bir unsur olarak değerlendirilebilir. Bu nedenle birçok kuruluş KVKK uyum projesini ve ISO 27001 kurulumunu birlikte yürütür.
Annex A Kontrolleri (2022 Sürümü)
ISO 27001:2022, Annex A’da toplam 93 kontrol içerir ve bunları 4 ana temaya ayırır. Önceki 2013 sürümündeki 114 kontrol sadeleştirilerek bu yapıya geçilmiştir. Aşağıdaki tablo bu temaları özetler:
| Tema | Kontrol Sayısı | Örnek Kontroller |
|---|---|---|
| Organizasyonel | 37 | Bilgi güvenliği politikaları, tedarikçi yönetimi, olay yönetimi |
| İnsan Kaynaklı | 8 | Gizlilik sözleşmeleri, farkındalık eğitimi, işten ayrılma süreci |
| Fiziksel | 14 | Giriş kontrolü, sunucu odası güvenliği, temiz masa politikası |
| Teknolojik | 34 | Erişim yetkilendirme, şifreleme, yedekleme, güvenlik duvarı, loglama |
Kuruluş, kendi risk değerlendirmesine göre bu kontrollerden hangilerini uyguladığını “Uygulanabilirlik Bildirgesi” (SoA – Statement of Applicability) adı verilen belgede gerekçeleriyle açıklar. Bu belge, denetimin en kritik dokümanlarından biridir.
Hangi Sektörler İçin Kritik?
ISO 27001, veri yoğun çalışan ve müşteri güveninin iş modelinin merkezinde olduğu sektörlerde fiilen zorunludur:
- Yazılım ve SaaS: Müşteri verilerini bulutta tutan firmalar için tedarikçi şartnamelerinin standart maddesi.
- Fintek ve ödeme kuruluşları: BDDK düzenlemeleri ve banka entegrasyonları için aranır.
- Sağlık ve hastaneler: Hasta verisi (özel nitelikli kişisel veri) işlendiği için yüksek koruma gerekir.
- Çağrı merkezleri ve BPO: Büyük müşterilerin verilerini işlediği için sözleşme şartı olur.
- Kamu ve savunma tedarikçileri: İhalelerde ve gizlilik dereceli projelerde istenir.
ISO 27001 Belgesi Nasıl Alınır? (Süreç Adımları)
- Kapsam belirleme: Hangi lokasyon, departman ve sistemlerin belge kapsamında olacağı netleştirilir. (1 hafta)
- Bilgi varlıkları envanteri ve risk değerlendirmesi: Varlıklar listelenir, tehdit ve açıklıklar puanlanır. (3-5 hafta)
- SoA ve risk işleme planı: Uygulanacak Annex A kontrolleri ve gerekçeleri belirlenir. (1-2 hafta)
- Dokümantasyon ve kontrollerin kurulması: Politikalar, prosedürler ve teknik kontroller hayata geçirilir. (4-8 hafta)
- Farkındalık eğitimi ve uygulama: Personele bilgi güvenliği eğitimi verilir, sistem işletilir. (2-4 hafta)
- İç denetim ve YGG: Belgelendirme öncesi zorunlu iç kontrol yapılır. (1-2 hafta)
- Belgelendirme denetimi Aşama 1 ve 2: Doküman incelemesi ve saha denetimi gerçekleştirilir.
- Belge düzenleme: Uygunsuzluklar kapatıldıktan sonra belge yayımlanır.
Sıfırdan başlayan orta ölçekli bir teknoloji şirketinde toplam süre genellikle 3-5 ay arasındadır.
2026 Maliyet Aralıkları
| Kalem | Küçük Firma (1-25 kişi) | Orta Firma (26-100 kişi) |
|---|---|---|
| Danışmanlık | 40.000 – 80.000 TL | 80.000 – 160.000 TL |
| Belgelendirme denetimi | 30.000 – 55.000 TL | 55.000 – 100.000 TL |
| Teknik altyapı (yedekleme, log, güvenlik) | Değişken (mevcut altyapıya bağlı) | Değişken (mevcut altyapıya bağlı) |
| Yıllık gözetim denetimi | 18.000 – 35.000 TL | 35.000 – 60.000 TL |
Belge 3 yıl geçerlidir; her yıl gözetim denetimi yapılır ve 3. yılın sonunda yeniden belgelendirme denetimiyle yenilenir. ISO 27001 maliyetleri diğer ISO standartlarına göre genellikle daha yüksektir; çünkü teknik kontrollerin kurulması ek yatırım gerektirebilir.
Belgelendirme sürecinde profesyonel destek
ISO belgelendirme ve denetçi eğitimleri için Focus Academy ile 10 dakikalık ön görüşme yapabilirsiniz.
Sık Yapılan Hatalar ve İpuçları
En yaygın hata, ISO 27001’i salt bir doküman projesi sanmaktır. Oysa standart, gerçekten işleyen teknik kontroller ister: yedeklerin düzenli alınması ve test edilmesi, erişim yetkilerinin işten ayrılan personelden derhal kaldırılması, log kayıtlarının tutulması ve olay müdahale planının tatbik edilmesi. İkinci sık hata, risk değerlendirmesinin gerçek varlık envanterine dayanmaması; üçüncüsü ise SoA’da gerekçelerin yetersiz yazılmasıdır.
İpucu: ISO 27001’i KVKK uyumuyla birlikte yürütmek hem maliyeti düşürür hem de iki yükümlülüğü tek projede tamamlamanızı sağlar. Genel süreç için ISO belgelendirme rehberine, doğru kurum seçimi için belgelendirme firması nasıl seçilir yazımıza ve kalite altyapısı için ISO 9001 rehberine bakabilirsiniz.
Sık Sorulan Sorular
ISO 27001 belgesi KVKK uyumu için yeterli midir?
Tek başına KVKK uyumunun tamamını sağlamaz, ancak KVKK’nın istediği teknik ve idari tedbirlerin büyük bölümünü karşılar. ISO 27001, KVKK denetimlerinde “gerekli özeni gösterdiğinizi” kanıtlamada güçlü bir dayanaktır. İkisinin birlikte yürütülmesi en verimli yoldur.
ISO 27001 belgesi ne kadar sürede alınır?
Mevcut bilgi güvenliği altyapısına göre değişir. Sıfırdan başlayan orta ölçekli bir teknoloji firmasında genellikle 3-5 ay sürer. Hazır altyapısı olan kuruluşlarda bu süre kısalabilir.
2013 sürümü belgem var, 2022’ye geçmek zorunda mıyım?
Evet. ISO 27001:2013 geçiş süresi sona ermiştir ve tüm kuruluşların 2022 sürümüne geçmesi gerekmiştir. Geçiş, gözetim veya yeniden belgelendirme denetimiyle birlikte yapılır.
Küçük bir yazılım firması için maliyet nedir?
25 kişinin altındaki bir yazılım firmasında danışmanlık ve belgelendirme dahil toplam maliyet genellikle 70.000-135.000 TL aralığındadır. Mevcut teknik altyapı zayıfsa ek yatırımlar bu rakamı artırabilir.
ISO 27001 hangi sektörlerde fiilen zorunludur?
Yasal bir zorunluluk olmasa da yazılım, fintek, sağlık, çağrı merkezi ve kamu tedarikçiliği sektörlerinde müşteri ve ihale şartnameleri nedeniyle fiilen zorunlu hale gelmiştir. Veri yoğun çalışan her kuruluş için güçlü bir rekabet avantajıdır.
Bu Rehberle Birlikte Okunanlar
Bilgi güvenliğinin devamlılık ayağını kuran standardı ISO 22301 iş sürekliliği belgesi rehberi anlatıyor; iki sistem çoğu kurumda birlikte kurulur.