2013 sürümü sertifikaları Ekim 2025'te geçerliliğini yitirdi; 93 kontrol ve dört tema.
ISO/IEC 27001 bilgi güvenliği yönetim standardının 2022 sürümü Ekim 2022'de yayımlandı ve üç yıllık geçiş süresi 31 Ekim 2025'te sona erdi. Artık 2013 sürümüne göre düzenlenmiş hiçbir belge geçerli değildir. Hâlâ eski sürüme göre belgeniz varsa yeni sürüme göre belgelendirme denetiminden geçmeniz gerekir. Bu yazıda neyin değiştiğini özetliyoruz.
Ek A: 114 kontrolden 93 kontrole
2013 sürümünün 14 maddesi ve 114 kontrolü, 2022 sürümünde dört temada 93 kontrole indirildi:
- Organizasyonel kontroller: 37
- İnsan kontrolleri: 8
- Fiziksel kontroller: 14
- Teknolojik kontroller: 34
Birçok kontrol birleştirildi, 11 yeni kontrol eklendi.
Yeni kontroller
- Tehdit istihbaratı
- Bulut hizmetlerinin kullanımında bilgi güvenliği
- İş sürekliliği için BT hazırlığı
- Fiziksel güvenlik izleme
- Yapılandırma yönetimi
- Bilgi silme
- Veri maskeleme
- Veri sızıntısı önleme
- İzleme faaliyetleri
- Web filtreleme
- Güvenli kodlama
Ana maddelerde ince ayarlar
4–10. maddelerde yapısal değişiklik yoktur; fakat ilgili tarafların gereksinimleri, süreçlerin planlanması ve izlenmesi, ölçüm kriterleri ve değişiklik planlaması için yeni alt maddeler eklendi. Yönetimin gözden geçirmesi girdileri güncellendi.
Uygulanabilirlik Bildirgesi (SoA) artık nasıl olmalı?
SoA'da her kontrolün uygulanıp uygulanmadığı, gerekçesi ve uygulanma durumu gösterilmeli; kontrol listesi 2022 tema yapısıyla uyumlu olmalıdır. Eski Ek A numaralandırmasıyla hazırlanmış bildirgeler denetimde kabul edilmez.
Pratik öneriler
- Mevcut risk işleme planınızı yeni kontrollerle eşleyin, eksik kontrolleri belirleyin
- Bulut kullanımınız için sağlayıcı değerlendirme kaydı oluşturun
- Veri silme ve maskeleme politikasını yazın, kanıt toplayın
- İç tetkikte yeni kontrolleri örnekleyin
Belgeniz Miyar Belgelendirme tarafından verilmişse durumunuzu sitemizdeki belge doğrulama aracından kontrol edebilirsiniz. Bilgi güvenliği denetimi için teklif formunu doldurmanız yeterlidir.
Denetimde sık görülen bulgular
Geçiş denetimlerinde en sık görülen bulgular şunlardır: yeni kontrollere (bulut güvenliği, bilgi silme, veri maskeleme) ilişkin kanıt eksikliği; tedarikçi değerlendirmelerinin güncel olmaması; SoA'da kontrol gerekçelerinin zayıf yazılması; iç tetkikin yeni kontrolleri kapsamaması ve risk işleme planında sorumlu ve tarih alanlarının boş kalması.
Takvim planı
Hâlâ geçiş yapmadıysanız, uygunluk boşluk analizini en geç 4 hafta içinde tamamlamak ve ardından denetim tarihi için başvurmak gerekir. Denetim, 1. aşama ile 2. aşama arasında en fazla birkaç hafta içinde tamamlanabilir; uzaktan ve hibrit denetim seçenekleri süreyi kısaltır.
Belge geçerliliğinin korunması
Denetim sırasında bulunan büyük uygunsuzluklar kapatılmadan yeni sürüm belgesi düzenlenmez. Süresi dolmuş belgeyle ihaleye veya müşteriye başvurmak sözleşme ihlali sayılabilir; bu nedenle takviminizi erkenden planlayın.