01Sorun ve çözüm
ISO 27001 teknik kontroller hizmetinde dokümantasyon yazmıyoruz; standardın Ek A'sındaki teknik maddeleri sistemlerinizde hayata geçiriyor ve her biri için denetime sunulabilir kanıt üretiyoruz. Erişim yönetiminden kayıt toplamaya, şifrelemeden güvenli yapılandırmaya kadar maddeleri tek tek ele alıp, kurumunuzun mevcut araçlarıyla uygulanabilir hâle getiriyoruz. Yönetim sistemini ve politika metinlerini yürüten danışmanınızla ya da iç ekibinizle uyum içinde çalışıyoruz.
02Kimler için
ISO 27001 teknik kontroller desteği kimler için
Bu hizmet, belgelendirmenin yönetsel kısmını çözmüş ama teknik uygulamada tıkanmış kurumlar için tasarlandı.
- ISO 27001 danışmanıyla politikaları yazmış, ancak Ek A teknik maddelerini sistemlere kimin uygulayacağını çözememiş şirketler
- İlk belgelendirme denetimine hazırlanan ve teknik kontrollerin kanıtını hazırlaması gereken yazılım ve hizmet firmaları
- Ara denetimde teknik uygunsuzluk almış ve bunları kapatması gereken kurumlar
- Bilgi güvenliği yönetim sistemini kurmuş, ama kontrollerin işlediğini gösteren kaydı üretemeyen BT ekipleri
- Müşteri sözleşmesi gereği ISO 27001 uyumlu teknik kontrolleri kanıtlaması istenen tedarikçiler
03İhtiyaçlar
Teknik kontrollerde en sık görülen boşluklar
Politika metni hazır olsa bile, aşağıdaki maddeler çoğunlukla uygulamada eksik kalır.
- 01
Erişim hakları belgeye uymuyor
Yetki matrisinde yazan ile dizin hizmetindeki gerçek üyelikler çoğu zaman tutmaz. Düzenli erişim gözden geçirmesinin yapıldığını ve kaydının tutulduğunu gösterecek bir düzen kurulur.
- 02
Kayıtlar toplanmıyor veya korunmuyor
Olay kayıtları ya hiç toplanmaz ya da yerel olarak tutulduğu için bir olayda silinebilir. Kritik sistemlerin kayıtlarının merkezi ve değiştirilemez biçimde saklanması sağlanır.
- 03
Şifreleme eksik uygulanmış
Veritabanı şifreli olsa da yedekler ya da taşınabilir diskler açık kalabilir. Beklemedeki ve aktarımdaki veri için şifreleme durumu baştan sona çıkarılır.
- 04
Güvenli yapılandırma standardı yok
Sunucular ve uç noktalar her kuranın alışkanlığına göre ayarlanmıştır. Ortak bir sertleştirme temeli tanımlanıp uygulanması standardın beklediği tutarlılığı sağlar.
04Özellikler
ISO 27001 teknik kontroller kapsamında yaptıklarımız
Her madde için önce mevcut durumu tespit ediyor, sonra uygulama ve kanıt üretimini birlikte planlıyoruz.
- 01
Ek A boşluk analizi
Standardın teknik maddeleri tek tek gözden geçirilir; her biri için mevcut durum, eksik ve yapılacak iş yazılı bir tabloya dökülür.
- 02
Erişim yönetimi uygulaması
Rol bazlı yetkilendirme, ayrıcalıklı hesapların ayrıştırılması, çok adımlı doğrulama ve düzenli erişim gözden geçirmesi sistemlere yerleştirilir.
- 03
Kayıt ve izleme kurulumu
Kritik sistemlerin kayıtları merkezi bir platformda toplanır, saklama süresi tanımlanır ve olağandışı durumlar için temel uyarılar kurulur.
- 04
Şifreleme ve anahtar yönetimi
Disk, yedek ve aktarım şifrelemesi tamamlanır; anahtarların nerede tutulduğu ve kimin eriştiği belgelenir.
- 05
Teknik açık yönetimi
Düzenli zafiyet taraması, yama takibi ve bulguların kapatılma kaydı, standardın beklediği sürekli iyileştirme döngüsünü besleyecek biçimde kurulur.
05Entegrasyonlar
Kontrolleri uyguladığımız sistemler
Yeni ürün dayatmadan, kurumunuzda zaten kullanılan platformlar üzerinde çalışıyoruz.
- 01
Kimlik platformu
Active Directory, Entra ID, Microsoft 365 veya Google Workspace üzerinde yetki, oturum açma politikası ve erişim raporlaması yapılandırılır.
- 02
Kayıt platformu
Kullandığınız SIEM ya da açık kaynak bir kayıt yığını üzerinde sunucu, güvenlik duvarı ve uygulama kayıtlarının toplanması sağlanır.
- 03
Uç nokta yönetimi
Disk şifreleme, güvenli yapılandırma ve yama durumunun merkezi olarak izlendiği bir yönetim aracının kurulumu desteklenir.
- 04
Bulut ortamları
AWS, Azure veya Google Cloud kullanılıyorsa teknik kontroller bulut tarafındaki eşdeğer ayarlarla da eşleştirilir ve kanıt bu panellerden alınır.
06Süreç
ISO 27001 teknik kontroller hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Standart ile uygulama arasında köprü
Her teknik maddeyi, standardın güncel sürümündeki kontrol numarasıyla ve uygulama rehberi niteliğindeki ISO 27002 açıklamasıyla ilişkilendiriyoruz. Böylece denetçi bir kontrolün nasıl karşılandığını sorduğunda, hem yapılan ayarı hem de onu doğrulayan ekran görüntüsünü ya da kayıt çıktısını tek yerde gösterebiliyorsunuz. Kanıtlar, denetim tekrarlandığında yeniden üretilebilecek biçimde belgelenir.
Devamını okuDaha az göster
Teknik uygulamanın yönetim sisteminin geri kalanıyla tutarlı olması önemlidir; bu yüzden risk değerlendirmesini, politika metinlerini ve iç denetimi yürüten danışmanınız veya iç ekibinizle eşgüdüm içinde ilerliyoruz. Belgelendirme kararını veren akredite kuruluşla aramızda bir bağ yoktur; bizim işimiz denetime girecek sistemlerin teknik olarak hazır olmasını sağlamaktır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
ISO 27001 teknik kontroller hakkında sık sorulan sorular
Belgeyi siz mi veriyorsunuz?
Hayır. ISO 27001 belgesini yalnızca akredite belgelendirme kuruluşları verir. Biz denetime girecek teknik kontrolleri uygular ve kanıtlarını hazırlarız; belgelendirme kararı bağımsız kuruluşa aittir.
Politikaları ve risk analizini de hazırlıyor musunuz?
Odağımız teknik kontrollerdir. Politika, kapsam ve risk işleme planı gibi yönetsel belgeleri genellikle ISO 27001 danışmanınız yürütür; biz bu belgelerde yazan teknik gereklerin sistemlerde karşılanmasını üstleniriz ve danışmanınızla uyum içinde çalışırız.
ISO 27001 teknik kontroller çalışması ne kadar sürer?
Süre, mevcut sistemlerin olgunluğuna ve kapsamdaki kontrol sayısına bağlıdır. Ön görüşmeden sonra boşluk analizine göre aşamalı bir takvim çıkarıyor, hangi maddenin önce kapanacağını birlikte belirliyoruz.
ISO 27001 teknik kontroller fiyatları neye göre değişir?
Sistem ve lokasyon sayısı, bulut ve yerel ortamların birlikte kullanılıp kullanılmadığı, kayıt ve izleme altyapısının sıfırdan mı kurulacağı yoksa iyileştirileceği mi ve kanıt üretiminin kapsamı belirleyicidir.
Ara denetimde aldığımız teknik uygunsuzlukları kapatır mısınız?
Evet. Denetim raporundaki teknik bulguları madde madde ele alır, her biri için düzeltmeyi uygular ve bir sonraki denetimde sunulacak kanıtı hazırlarız.
Belgeyi aldıktan sonra kontrollerin işlemeye devam etmesini nasıl sağlarız?
Erişim gözden geçirme, kayıt kontrolü ve zafiyet taraması gibi tekrarlı işleri bir takvime bağlıyoruz. İsterseniz danışmanlık modeliyle bu periyodik kontrolleri birlikte yürütüyoruz.
10İlgili hizmetler