ISO Belgelendirme
Gıda Belgeleri
Sektörel Belgeler
ISO/IEC 27035 Bilgi Güvenliği Olay Yönetimi
Bilgi güvenliği olaylarını (siber saldırı, veri ihlali, kötü amaçlı yazılım) etkin biçimde tespit etmek, raporlamak, müdahale etmek ve bunlardan ders çıkarmak için ISO/IEC 27035 olay yönetimi süreçlerini kurmanızda danışmanlık sağlıyoruz. ISO/IEC 27035 bilgi güvenliği olay yönetimi için bir rehber standarttır ve ISO/IEC 27001 bilgi güvenliği yönetim sistemini olay yönetimi tarafında güçlendirir. Sistem Kalite süreç, plan ve dokümantasyonda danışmanlık sağlar.
ISO/IEC 27035 nedir?
ISO/IEC 27035, bilgi güvenliği olaylarının (information security incidents) yönetimi için ilke, süreç ve en iyi uygulamaları tanımlayan bir standart serisidir. Amaç, kuruluşun güvenlik olaylarını (yetkisiz erişim, veri ihlali, kötü amaçlı yazılım, hizmet kesintisi, sosyal mühendislik vb.) tutarlı ve etkin biçimde tespit etmesini, değerlendirmesini, bunlara müdahale etmesini ve olaylardan öğrenerek güvenliğini sürekli iyileştirmesini sağlamaktır. Standart, olay yönetimini genellikle beş temel aşamada ele alır: (1) planlama ve hazırlık (politika, roller, olay müdahale ekibi/CSIRT, araçlar), (2) tespit ve raporlama (olayların ve olay adaylarının belirlenmesi ve bildirilmesi), (3) değerlendirme ve karar (olayın sınıflandırılması ve önceliklendirilmesi), (4) müdahale (kontrol altına alma, kök neden analizi, giderme ve kurtarma) ve (5) öğrenilen dersler (olay sonrası inceleme ve iyileştirme). ISO/IEC 27035 klasik anlamda tek başına belgelendirilen bir yönetim sistemi standardı olmaktan çok, ISO/IEC 27001 bilgi güvenliği yönetim sisteminin olay yönetimi gerekliliklerini derinlemesine ele alan bir rehberdir. İyi kurulmuş bir olay yönetimi; ihlallerin etkisini azaltır, yasal bildirim yükümlülüklerinin (ör. KVKK/GDPR veri ihlali bildirimleri) zamanında yerine getirilmesini destekler ve kurumsal dayanıklılığı artırır.
ISO/IEC 27035 nasıl uygulanır?
Süreç, bir bilgi güvenliği olay yönetimi politikası ve planı oluşturulmasıyla başlar; olayların ve olay adaylarının tanımı, sınıflandırma ve önceliklendirme kriterleri, roller ve bir olay müdahale ekibi (CSIRT) belirlenir. Tespit ve raporlama için kanallar, izleme (SIEM/log yönetimi) ve bildirim mekanizmaları kurulur. Değerlendirme ve karar süreçleriyle olaylar sınıflandırılır ve önceliklendirilir; müdahale prosedürleri (kontrol altına alma, delil toplama, kök neden analizi, giderme ve kurtarma) tanımlanır ve tatbikatlarla test edilir. Olay sonrası inceleme (öğrenilen dersler) ile süreçler ve kontroller iyileştirilir; yasal bildirim yükümlülükleri (ör. veri ihlali bildirimleri) süreçlere entegre edilir. Tüm bunlar ISO/IEC 27001 bilgi güvenliği yönetim sistemiyle uyumlandırılır. Sistem Kalite; olay yönetimi politikası ve planı, CSIRT ve rol tasarımı, tespit-raporlama-müdahale prosedürleri, tatbikat ve dokümantasyon ile 27001 entegrasyonu koordinasyonunda danışmanlık sağlar.
ISO/IEC 27035 Bilgi Güvenliği Olay Yönetimi hakkında
ISO/IEC 27035 tek başına belgelendirilir mi?
ISO/IEC 27035 genellikle tek başına belgelendirilen bir yönetim sistemi standardı olarak değil; bilgi güvenliği olay yönetimi için bir rehber olarak kullanılır. Olay yönetimi yetkinliği, ISO/IEC 27001 bilgi güvenliği yönetim sistemi kapsamında güçlendirilmiş süreçlerle gösterilir.
ISO/IEC 27035 ile ISO/IEC 27001 ilişkisi nedir?
ISO/IEC 27001, bilgi güvenliği yönetim sisteminin bir gereği olarak olay yönetimini de içerir; ISO/IEC 27035 ise olay yönetimini ayrıntılı süreç ve en iyi uygulamalarla derinleştirir. 27035, 27001'in olay yönetimi gerekliliklerini pratikte güçlü biçimde karşılamaya yardımcı olur.
ISO/IEC 27035 veri ihlali bildirimlerine yardımcı olur mu?
Evet. İyi kurulmuş bir olay yönetimi süreci, olayların hızlı tespit ve değerlendirilmesini sağlayarak KVKK/GDPR gibi düzenlemelerin gerektirdiği veri ihlali bildirimlerinin zamanında ve doğru biçimde yapılmasını destekler. Süreçlere yasal bildirim adımları entegre edilir.
CSIRT nedir ve ISO/IEC 27035'te rolü nedir?
CSIRT (Computer Security Incident Response Team), bilgi güvenliği olaylarına müdahale etmekle görevli ekiptir. ISO/IEC 27035, olay müdahale ekibinin kurulmasını, rollerini ve süreçlerini tanımlar; bu ekip olayları değerlendirir, kontrol altına alır, kök nedeni analiz eder ve kurtarmayı yönetir.
Uygunluk yolculuğunuzun diğer adımları
Yazılım & BT uygunluğunuza bugün başlayın, süreci biz yönetelim.
Danışmanlık ekibimiz firmanızı, ürününüzü veya hedefinizi değerlendirsin; size özel yol haritası, takvim ve net teklif çıkarsın. İlk görüşme tamamen ücretsiz.