ISO/IEC 27001:2022 · Karadağ
Karadağ'da ISO 27001 standardının uygulanması
Karadağ'daki adı: MEST ISO/IEC 27001:2023
ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) için önde gelen uluslararası standarttır. Bir kuruluşun bilgiye yönelik riskleri nasıl belirlediğini ve bunları insanlar, süreçler ve teknoloji aracılığıyla sistematik olarak nasıl yönettiğini tanımlar.
ISO/IEC 27001:2022 nedir?
ISO 27001, bilginin üç özelliğini korur: gizlilik, bütünlük ve erişilebilirlik. 2022 revizyonu, bulut hizmetleri, tehdit istihbaratı ve güvenli kodlama için yeni kontroller dahil olmak üzere dört temada (organizasyonel, personel, fiziksel ve teknolojik) 93 kontrolden oluşan modernize edilmiş bir Ek A getirdi.
Sertifika bugün BT sektöründe, finans alanında ve kamu sektörüyle çalışmada ciddi B2B sözleşmeleri için pratikte bir giriş biletidir — müşteriler onunla tedarikçi kontrollerini kısaltır. Ayrıca BGYS, NIS2 direktifi, GDPR ve bilgi güvenliğine ilişkin sektörel mevzuatla uyum için doğal bir temeldir.
ISO/IEC 27001 ve Bilgi Güvenliği Kanunu
Yasal zorunluluk — son tarih Haziran 2027
Bilgi Güvenliği Kanunu (Karadağ Resmi Gazetesi, sayı 113/2024) 5 Aralık 2024 tarihinde yürürlüğe girdi ve Karadağ'ı AB NIS2 direktifiyle uyumlu hale getiriyor — Karadağ, bunu yapan ilk Batı Balkan ülkelerinden biri. Kanun, büyüklüklerinden bağımsız olarak devlet kurumlarını, kritik altyapı işletmecilerini ve hassas sektörlerden (enerji, ulaştırma, sağlık, finans, dijital altyapı, kamu hizmetleri vb.) şirketleri kapsayan "kilit" ve "önemli yükümlüler" kategorilerini getiriyor.
Bunlardan yalnızca kilit yükümlüler, kanunun yürürlüğe girmesinden itibaren 30 ay içinde — en geç Haziran 2027'ye kadar — MEST ISO/IEC 27001 sertifikası almakla yükümlüdür; önemli yükümlüler öngörülen güvenlik önlemlerini zorunlu sertifika olmadan uygular. BGYS uygulaması gerçekte birkaç ay sürer: bilgi varlıklarının envanteri, risk değerlendirmesi, Ek A kontrollerinin uygulanması ve iç denetim. Ne kadar erken başlanırsa, son tarihten önceki baskı o kadar az olur.
Kanunun kuruluşunuzu kapsayıp kapsamadığından ya da uyum için gerçekte ne kadar zamana ihtiyacınız olduğundan emin değilseniz, bize ulaşın — işin kapsamını ücretsiz değerlendirip son tarihe yetişecek bir plan önerelim.
Uygulama aşamaları
Her projede izlediğimiz gerçek aşamalar — hazırlıktan, en sonunda gelen sertifikaya kadar:
İyileştirme ve düzeltici faaliyetler
Adımlar, standardın kendisinin 4–10 madde yapısını izler; böylece projedeki ilerleme aynı zamanda denetimde uygunluğun kanıtı olur.
Kuruluşun bağlamı ve BGYS'nin kapsamı
İç ve dış konuları ve ilgili tarafları analiz eder, kapsamı kesin olarak tanımlarız — hangi lokasyonlar, süreçler ve sistemler BGYS'ye dahil.
Liderlik ve güvenlik politikası
Üst yönetim Bilgi Güvenliği Politikasını benimser, roller ve sorumluluklar atanır, kaynaklar sağlanır.
Risk değerlendirmesi ve tedavisi
Standardın özü: bilgi varlıklarının envanteri, tehdit ve zafiyetlerin belirlenmesi, risk değerlendirmesi ve Ek A'dan kontrol seçimi. Sonuç, Risk Tedavi Planı ve Uygulanabilirlik Bildirgesi (SoA).
Destek: kaynaklar, yetkinlikler, dokümantasyon
Prosedürler ve kayıtlar, eğitimler ve farkındalık artırma — phishing testlerinden temiz masa kurallarına ve şifre yönetimine kadar.
Kontrollerin operasyonel uygulanması
SoA'daki kontroller pratiğe geçer: erişim yönetimi, kriptografi, yedekleme, olaylar, tedarikçi güvenliği, süreklilik.
İzleme, ölçme ve iç denetim
Etkinlik göstergeleri, tüm BGYS'nin iç denetimi ve yönetim gözden geçirmesi — sertifikasyon için zorunlu kanıtlar.
İyileştirme ve düzeltici faaliyetler
Uygunsuzluklar analiz edilir ve giderilir; sistem sürekli iyileştirme PDCA döngüsüne girer.
Sertifikaya giden yol
Sertifikasyonu bağımsız akredite bir sertifikasyon kuruluşu, iki aşamada yürütür.
Her şeyin ön koşulu: sistem uygulanmış ve pratikte hayata geçirilmiştir — standardın tüm gereksinimleri karşılanmış, iç denetim ve yönetim gözden geçirmesi yapılmıştır.
BGYS'nin standarda uygun şekilde belgelendiğinin ve Aşama 2'ye hazır olduğunun kontrolü.
Çalışanlarla görüşmeler ve kontrollerin gerçekten işlediğine dair kanıtların incelenmesi.
Uygunsuzlukların kapatılmasının ardından 3 yıl geçerli sertifika.
Sistemin sürdürülmesi için yıllık denetimler; üçüncü yıl yeniden sertifikasyon.
Müşterilerden sık duyduğumuz, açıklayıcı ve tipik bir senaryo — belirli, adı geçen bir müşteriyi temsil etmez.
“ISO/IEC 27001'den önce gerçekte ne kadar bilgi varlığımız olduğunu bile bilmiyorduk — sunucular, veri tabanları, sözleşmeler, çalışan erişimleri, hepsi kayıt dışı ve dağınıktı. Uygulama sürecinde varlık envanteri oluşturduk, verileri gizlilik düzeyine göre sınıflandırdık, bilgi risklerini değerlendirdik ve sistem çökerse diye bir iş sürekliliği planı yazdık. Sertifika bir vesileydi, ama bugün neyi ve neye karşı koruduğumuzu tam olarak biliyoruz.”
— müşterilerimiz arasında yaygın bir senaryo
Standardın uygulanmasının faydaları
Verileri ciddiye aldığınızın uluslararası tanınan kanıtı — sözleşmeler ve ihaleler için giderek daha sık aranan bir koşul.
Riskler olaydan önce ele alınır, bu da maliyetli veri sızıntısı olasılığını azaltır.
NIS2, GDPR ve bilgi güvenliği kanunları için sağlam bir temel.
Özellikle BT, finans ve telekomünikasyon sektöründe pazarda öne çıkma.
İlgili standartlarla bağlantı
NIST Siber Güvenlik Çerçevesi (CSF) ile ISO 27001 mükemmel şekilde birbirini tamamlar: NIST işlevleri (Yönet, Belirle, Koru, Tespit Et, Müdahale Et, Kurtar) doğrudan Ek A kontrollerine eşlenir; bu yüzden Amerikan pazarıyla çalışan kuruluşlar genellikle ikisini birden kullanır. ISO 27701, BGYS'yi gizliliğe genişletir, ISO 22301 iş sürekliliğini derinleştirir, ISO 42001 ise yapay zeka yönetimini aynı ilkelerle kapsar.
Uyguladığımız tüm standartlar için eğitimler veriyoruz — temel anlayıştan iç denetçiliğe kadar.
ISO/IEC 27001:2022 hakkında sık sorulan sorular
ISO 27001 uygulaması ne kadar sürer?
Küçük ve orta ölçekli kuruluşlar için genellikle 4 ila 8 ay, süreçlerin olgunluğuna, sistemin kapsamına ve ekibin müsaitliğine bağlı olarak. Büyük sistemlerde — 500'den fazla çalışan, birden fazla lokasyon veya birkaç standarttan oluşan entegre sistem — proje gerçekçi olarak bir yılı aşar; bu tür müşterileri de yönetiyoruz.
ISO 27001 zorunlu mu?
Çoğu kuruluş için gönüllüdür. Aralık 2024'ten itibaren yürürlükte olan ve Karadağ'ı AB NIS2 direktifiyle uyumlu hale getiren Bilgi Güvenliği Kanunu (Sl. list CG 113/2024), "kilit" ve "önemli yükümlüler" kategorilerini getiriyor; bunlar, büyüklüklerinden bağımsız olarak devlet organları, kritik altyapı işletmecileri ve hassas sektörlerden (enerji, ulaştırma, sağlık, finans, dijital altyapı, kamu hizmetleri vb.) şirketlerdir. Kanun, MEST ISO/IEC 27001 sertifikasını 30 ay içinde — en geç Haziran 2027'ye kadar — yalnızca kilit yükümlülerden istiyor. Önemli yükümlüler öngörülen güvenlik önlemlerini zorunlu sertifika olmadan uygular; diğer herkes için sertifika gönüllüdür, ancak müşteriler, ihaleler ve sözleşmeler onu giderek daha sık talep ediyor. Kimlerin kapsandığını ve hangi sürelerin geçerli olduğunu NIS2 ve Bilgi Güvenliği Kanunu sayfasında açıklıyoruz.
Ek A nedir?
4 temada 93 güvenlik kontrolü: organizasyonel, personel, fiziksel ve teknolojik. Risk değerlendirmesine göre seçilir ve Uygulanabilirlik Bildirgesinde (SoA) belgelenir.
ISO 27001 ile NIST CSF arasındaki fark nedir?
ISO 27001, yönetim sistemi için bir sertifikasyon standardıdır; NIST CSF gönüllü bir en iyi uygulamalar çerçevesidir. Birbirlerini mükemmel şekilde tamamlarlar ve birbirlerine eşlenirler.
Sertifika ne kadar geçerli?
Üç yıl, zorunlu yıllık gözetim denetimleri ve ardından yeniden sertifikasyon ile birlikte.
ISO 27001 uygulaması ne kadara mal olur?
Herkes için geçerli sabit bir fiyat yoktur — maliyet kuruluşun faaliyet alanına, büyüklüğüne ve çalışan sayısına, seçilen standarda ve sistemin mevcut durumuna bağlıdır. Kuruluşunuzun kısa bir tanımını gönderin, size özel bir ön teklifi ücretsiz hazırlayalım.
MEST ISO/IEC 27001 sertifikası ne anlama gelir?
Bir MEST ISO/IEC 27001 sertifikası (ya da ISO/IEC 27001:2022 sertifikası) istendiğinde, sistemi bu standardın tüm gereksinimleriyle uyumlu olan bir kuruluşa bağımsız bir akredite sertifikasyon kuruluşu tarafından verilen belge kastedilir. Standardın Karadağ'daki ulusal baskısı, uluslararası baskıyla aynı içeriği taşır — aynı gereksinimler, aynı maddeler, sadece ulusal bir etiket altında — bu yüzden ihalelerde aynı standart için her iki etiket de karşımıza çıkar.
Etiketler neden farklı ama standart aynı?
Avrupa ve uluslararası standardizasyon sisteminin her üye ülkesi aynı standardı kendi ulusal kataloğuna alır ve ona bir ulusal ön ek ekler — Karadağ'da bu MEST'tir. İçerik, yapı, maddeler ve denetçinin sertifikasyonda kontrol ettiği tüm gereksinimler, belgede hangi etiketin yazdığından bağımsız olarak tamamen aynı kalır. Bu yüzden bir etiketle düzenlenen sertifika diğerini de tam olarak kapsar — iki farklı standarttan değil, iki farklı adı olan tek bir standarttan söz ediyoruz.
Asıl faaliyetimiz standartların uygulanması ve hayata geçirilmesidir: kuruluşunuzu sertifikasyon denetimi sürprizsiz geçecek şekilde hazırlıyoruz; müşteriler tam olarak böyle aradıkları için "ISO/IEC 27001:2022 sertifikasyonu" ve "MEST ISO/IEC 27001 sertifikası" kavramlarını da açıklıyoruz. Sertifikasyon, akreditasyon, IAF ve gözetim denetimlerinin neleri kapsadığını Sertifikasyon / ISO sertifikası sayfasında, ihalelerdeki etiketleri ise İhalelerde ISO Standartları sayfasında okuyabilirsiniz.
Petek gibi birbirine uyan standartlar
Her standart kendi biçimini korur, ama bir araya geldiklerinde boşluk ve çakışma olmadan sağlam, entegre bir yönetim sistemi (EYS) oluştururlar. İlgili standardı açmak için altıgene tıklayın.
Entegre yönetim sistemi hakkında daha fazla bilgi
Entegre yönetim sistemi (EYS), iki veya daha fazla ISO standardını — örneğin ISO/IEC 27001 ile ISO 9001 veya ISO 14001'i — her standardın kendi paralel prosedüründe yaşaması yerine, tek bir ortak dokümantasyon, hedef ve iç denetim çerçevesinde birleştirir.
Tüm modern ISO standartlarının paylaştığı ortak bir yapı (yüksek düzey yapı — HLS). Bu sayede kalite politikası, risk yönetimi, iç denetimler ve yönetim gözden geçirmesi birden fazla standart için ortak olabilir.
Her standart işin bir kısmını tek başına ele alır — kalite, çevre, güvenlik, bilgi. Bir kuruluş birden fazlasını uygularken, ayrı sistemler kısa sürede aynı dokümantasyonu ve aynı denetçileri tekrarlar.
Daha az prosedür tekrarı, daha basit yönetim, süreçler üzerinde daha güçlü gözetim, kaynakların daha verimli kullanımı ve kombine sertifikasyon denetimine daha kolay hazırlık.
ISO/IEC 27001 tek başına ya da entegre bir sistemin parçası olarak uygulanabilir — karar, hedeflediğiniz standart sayısına ve bunları aynı anda mı yoksa kademeli mi uygulayacağınıza bağlıdır.
Kuruluşunuzun hazırlık düzeyini kontrol edin
Birkaç soruyu yanıtlayın ve kuruluşunuzun mevcut hazırlık düzeyine ilişkin yol gösterici bir değerlendirme alın (ISO/IEC 27001).
Bu öz değerlendirme yalnızca yol gösterici bir hazırlık sonucu verir. Sertifikasyon, resmî denetim veya uygunluğun resmî teyidi niteliği taşımaz.
Referanslarımızdan bazıları
Karadağ ve bölgede 400’ü aşkın kuruluş uygulamayı bizimle birlikte tamamladı — bankalardan ve kamu kurumlarından üretime, BT’ye, laboratuvarlara ve konaklamaya kadar.
Bunlar müşterilerimizden sadece bazıları. Hakkımızda daha fazlası →
Ücretsiz danışmanlık talep edin
İşin kapsamını değerlendirip kuruluşunuz için gerçekçi bir plan ve bütçe önereceğiz. Bizi arayın ya da bir talep gönderin — 24 saat içinde yanıtlıyoruz.