ISO/IEC 27001:2022

Üst yönetimce onaylanan, yayımlanan ve periyodik gözden geçirilen bir bilgi güvenliği politikası ile konuya özel politika setinin bulunmasını hedefler. Platformun baseline ve sıkılaştırma içerikleri, bu politikaların somut teknik karşılıklarını yazmaya zemin sağlar.

Güvenlik görev ve yetkilerinin net biçimde tanımlanıp atanmasını amaçlar. Kuruluş, kim neyi koruyacak sorusunu yanıtlar; platform içerikleri bu rollerin uygulayacağı kontrolleri tarifler.

Çıkar çatışması ve kötüye kullanımı önlemek için çakışan görevlerin ve yetkilerin tek kişide toplanmamasını gözetir. Erişim yönetimi ve ayrıcalıklı hesap içerikleri bunu pratikte destekler.

Yönetimin tüm personelden güvenlik kurallarına uymalarını talep etmesini ve bunu görünür kılmasını hedefler. Farkındalık ve süreç içerikleri yönetimin beklentilerini çalışan davranışına çevirir.

İlgili kamu otoriteleri ve düzenleyicilerle (CERT, kolluk, sektörel kurum) uygun iletişim kanallarının önceden kurulmasını amaçlar. Olay müdahale playbook'ları bu bildirim akışlarını içerir.

Güvenlik topluluklarıyla, uzmanlık forumlarıyla ve sektörel paylaşım platformlarıyla bağ kurmayı teşvik eder. Tehdit istihbaratı içerikleri güncel bilgi akışını besler.

Tehditlere ilişkin bilginin toplanıp analiz edilerek savunmaya dönüştürülmesini hedefler. Platformun güncel-tehditler (KEV) ve tespit içerikleri bu istihbaratı uygulanabilir kontrollere bağlar.

Güvenliğin proje yaşam döngüsünün baştan parçası olmasını amaçlar. Güvenli geliştirme ve mimari içerikleri tasarım aşamasında kontrol gömmeye yardımcı olur.

Korunması gereken bilgi ve varlıkların tanımlı, sahipli ve güncel bir envanterinin tutulmasını gözetir. Varlık yönetimi baseline'ları envanter disiplinini somutlaştırır.

Bilgi ve varlıkların nasıl kullanılacağına dair kabul edilebilir kullanım kurallarının belirlenmesini amaçlar. Uç nokta ve kullanıcı politikası içerikleri bunu pekiştirir.

İşten ayrılma veya görev değişiminde personelin elindeki varlıkların iade edilmesini sağlar. Görev sonu erişim ve hesap kapatma süreçleriyle birlikte ele alınır.

Bilginin gizlilik, bütünlük ve erişilebilirlik gereksinimine göre sınıflandırılmasını hedefler. Veri koruma içerikleri sınıf bazlı kontrol seçimine rehberlik eder.

Sınıflandırmaya uygun etiketleme prosedürlerinin uygulanmasını amaçlar; böylece bilgi taşıma ve paylaşımda doğru muamele görür. Veri sızıntısı önleme içerikleriyle ilişkilidir.

Kuruluş içinde ve dışında bilgi aktarımının güvenli kanallar ve kurallarla yapılmasını gözetir. Şifreleme ve ağ güvenliği içerikleri aktarım güvenliğini destekler.

Bilgiye ve varlıklara erişimin iş ve güvenlik gereksinimlerine göre kurallara bağlanmasını amaçlar. Kimlik ve erişim baseline'ları bu kuralları teknik olarak uygular.

Kimliklerin tüm yaşam döngüsü boyunca (oluşturma, kullanım, sonlandırma) yönetilmesini hedefler. Hesap yönetimi ve dizin sıkılaştırma içerikleri bunu pratikleştirir.

Parola ve benzeri kimlik doğrulama sırlarının güvenli üretimi, dağıtımı ve yönetimini gözetir. Güçlü kimlik doğrulama ve MFA içerikleriyle birlikte uygulanır.

Erişim haklarının iş ihtiyacına göre verilmesini, gözden geçirilmesini ve geri alınmasını amaçlar. En az ayrıcalık ve erişim incelemesi içerikleri bunu yönetir.

Tedarikçi kullanımına bağlı risklerin yönetilmesini hedefler. Tedarik zinciri ve üçüncü taraf risk içerikleri bu ilişkiyi güvenlik gereksinimleriyle çerçeveler.

Güvenlik gereksinimlerinin tedarikçi sözleşmelerinde açıkça yer almasını amaçlar. Platform içerikleri sözleşmeye yansıtılacak teknik kontrolleri listeler.

Bilgi ve iletişim teknolojisi ürün/hizmet tedarik zincirindeki risklerin yönetilmesini gözetir. Yazılım bileşeni ve tedarik güvenliği içerikleri bunu destekler.

Tedarikçi hizmet seviyesinin ve güvenliğinin düzenli izlenip değişikliklerin yönetilmesini amaçlar. İzleme ve değişiklik yönetimi içerikleriyle ilişkilidir.

Bulut hizmetlerinin edinimi, kullanımı ve sonlandırılmasında güvenliğin yönetilmesini hedefler. Bulut sıkılaştırma baseline'ları sorumluluk paylaşımını somutlaştırır.

Bilgi güvenliği olaylarına müdahale için rol, süreç ve hazırlığın önceden kurulmasını amaçlar. Olay müdahale playbook'ları bu hazırlığı sağlar.

Güvenlik olaylarının değerlendirilip olay sınıfına yükseltilip yükseltilmeyeceğine karar verilmesini gözetir. Tespit ve triyaj içerikleri bu kararı besler.

Olaylara tanımlı prosedürlere göre müdahale edilmesini amaçlar. Müdahale playbook'ları adım adım eylemleri ve sorumlulukları tarifler.

Yaşanan olaylardan çıkarılan derslerin kontrolleri güçlendirmek için kullanılmasını hedefler. Olay sonrası inceleme içerikleri bu döngüyü kapatır.

Olaylara ilişkin kanıtların tutarlı ve delil değeri koruyacak biçimde toplanmasını amaçlar. Adli analiz ve loglama içerikleri kanıt bütünlüğünü destekler.

İş kesintisi durumunda güvenlik kontrollerinin uygun düzeyde sürdürülmesini gözetir. Süreklilik ve yedeklilik içerikleri kriz anında korumayı sürdürür.

Bilgi teknolojilerinin iş sürekliliği hedeflerini (RTO/RPO) karşılayacak biçimde hazırlanmasını amaçlar. Yedekleme ve felaket kurtarma içerikleri bunu destekler.

Geçerli yasal ve sözleşmesel güvenlik yükümlülüklerinin belirlenip karşılanmasını hedefler. Uyumluluk eşlemesi içerikleri bu yükümlülükleri kontrollerle ilişkilendirir.

Fikrî mülkiyet ve lisans gerekliliklerine uyulmasını gözetir. Yazılım envanteri ve kullanım politikası içerikleri uyumu kolaylaştırır.

Kayıtların kayıp, tahrifat ve yetkisiz erişime karşı korunmasını amaçlar. Bütünlük, yedekleme ve erişim kontrolü içerikleri bunu sağlar.

Kişisel verinin mevzuata uygun korunmasını hedefler. KVKK/GDPR ile örtüşen veri koruma içerikleri teknik tedbirleri sağlar.

Güvenlik yaklaşımının bağımsız ve düzenli aralıklarla denetlenmesini gözetir. Denetim ve olgunluk değerlendirme içerikleri bu incelemeyi besler.

Tanımlı politika ve standartlara uyumun düzenli kontrol edilmesini amaçlar. Yapılandırma denetimi ve baseline kıyas içerikleri uyumu ölçer.

Operasyonel faaliyetlerin belgelenmiş prosedürlere göre yürütülmesini hedefler. Sıkılaştırma rehberleri tekrarlanabilir işletim adımları sunar.

İşe alımda geçmiş doğrulamasının yasal sınırlar içinde yapılmasını amaçlar. İnsan kaynakları güvenliği içerikleri bu süreci güvenlik gereksinimlerine bağlar.

Çalışanların güvenlik sorumluluklarının sözleşmeye yansıtılmasını gözetir. Politika içerikleri bu sorumlulukların kapsamını belirler.

Personelin güncel güvenlik farkındalığı ve eğitimi almasını amaçlar. Farkındalık içerikleri ve oltalama tatbikatı rehberleri bunu pratikleştirir.

Güvenlik ihlallerine yönelik tanımlı ve adil bir disiplin sürecinin bulunmasını gözetir. Politika içerikleri yaptırım çerçevesini destekler.

İşten ayrılma veya görev değişimi sonrası süren güvenlik yükümlülüklerinin tanımlanmasını amaçlar. Erişim kapatma ve gizlilik içerikleriyle ilişkilidir.

Gizlilik veya ifşa etmeme taahhütlerinin alınmasını ve sürdürülmesini gözetir. Tedarikçi ve personel süreçleriyle birlikte uygulanır.

Uzaktan çalışmada bilginin korunmasını amaçlar. Uç nokta sıkılaştırma, VPN ve sıfır güven içerikleri uzaktan erişim güvenliğini sağlar.

Çalışanların gözlemledikleri olayları hızlı ve kolay bildirebilmesini hedefler. Olay müdahale içerikleri bildirim kanallarını tanımlar.

Hassas alanların fiziksel güvenlik sınırlarıyla korunmasını amaçlar. Fiziksel güvenlik baseline'ları çevre koruma katmanlarını tarifler.

Güvenli alanlara girişin yetkili kişilerle sınırlandırılmasını gözetir. Erişim kontrolü ve izleme içerikleriyle birlikte ele alınır.

Çalışma alanlarının fiziksel güvenliğinin tasarlanıp uygulanmasını amaçlar. Fiziksel güvenlik içerikleri tesis sıkılaştırmasına rehberlik eder.

Tesislerin yetkisiz fiziksel erişime karşı sürekli izlenmesini gözetir. İzleme ve alarm içerikleri tespit yeteneğini destekler.

Yangın, su baskını, deprem gibi çevresel tehditlere karşı koruma sağlanmasını amaçlar. Süreklilik ve tesis içerikleri risk azaltmayı destekler.

Güvenli alanlarda çalışmaya dair kuralların belirlenmesini gözetir. Fiziksel politika içerikleri bu kuralları çerçeveler.

Hassas bilginin masada veya ekranda korumasız bırakılmamasını amaçlar. Uç nokta ve kullanıcı politikası içerikleri bu disiplini destekler.

Ekipmanın çevresel ve erişim risklerini azaltacak şekilde konumlandırılıp korunmasını gözetir. Tesis ve varlık içerikleriyle ilişkilidir.

Kuruluş dışında kullanılan varlıkların korunmasını amaçlar. Mobil cihaz ve şifreleme içerikleri saha güvenliğini destekler.

Taşınabilir depolama ortamlarının yaşam döngüsü boyunca yönetilmesini gözetir. Veri koruma ve güvenli imha içerikleriyle ele alınır.

Elektrik, iklimlendirme gibi destek altyapısının kesintilere karşı güvence altına alınmasını amaçlar. Süreklilik içerikleri altyapı dayanıklılığını destekler.

Güç ve veri kablolarının kesinti ve dinlemeye karşı korunmasını gözetir. Fiziksel altyapı içerikleriyle birlikte uygulanır.

Ekipmanın erişilebilirlik ve bütünlüğünü sürdürecek şekilde bakılmasını amaçlar. Varlık ve değişiklik yönetimi içerikleriyle ilişkilidir.

Elden çıkarılan ya da yeniden kullanılan ekipmandaki hassas verinin geri getirilemeyecek şekilde silinmesini gözetir. Güvenli imha içerikleri bu süreci tarifler.

Uç nokta cihazlarındaki bilginin korunmasını amaçlar. Uç nokta sıkılaştırma baseline'ları cihaz güvenliğini somutlaştırır.

Ayrıcalıklı erişimin sınırlanıp sıkı yönetilmesini gözetir. Ayrıcalıklı hesap yönetimi ve en az ayrıcalık içerikleri bunu uygular.

Bilgiye erişimin tanımlı erişim kontrol politikasına göre kısıtlanmasını amaçlar. Yetkilendirme ve veri koruma içerikleri bunu destekler.

Kaynak koda ve geliştirme varlıklarına erişimin kontrol edilmesini gözetir. Güvenli geliştirme ve depo sıkılaştırma içerikleriyle ele alınır.

Erişim kontrol politikasına uygun güvenli kimlik doğrulama yöntemlerinin kullanılmasını amaçlar. MFA ve güçlü kimlik doğrulama içerikleri bunu sağlar.

Kaynak kapasitesinin ihtiyaçlara göre izlenip planlanmasını gözetir. İzleme ve süreklilik içerikleri performans dayanıklılığını destekler.

Zararlı yazılıma karşı koruma ve kullanıcı farkındalığının sağlanmasını amaçlar. Kötü amaçlı yazılım savunması ve tespit içerikleri bunu uygular.

Teknik zafiyetlerin tespit edilip zamanında giderilmesini hedefler. Zafiyet ve yama yönetimi içerikleri ile güncel-tehditler (KEV) eşlemesi bunu besler.

Donanım, yazılım ve hizmetlerin güvenli yapılandırmalarının tanımlanıp sürdürülmesini amaçlar. Sıkılaştırma baseline'ları güvenli temel yapılandırmayı sunar.

Artık gerekmeyen bilginin gerektiğinde güvenle silinmesini gözetir. Veri yaşam döngüsü ve güvenli imha içerikleriyle ele alınır.

Hassas verinin maskeleme ile gereksiz ifşadan korunmasını amaçlar. Veri koruma içerikleri uygulama senaryolarını destekler.

Hassas verinin yetkisiz dışa aktarımının engellenmesini gözetir. DLP, ağ ve uç nokta izleme içerikleri bu kontrolü destekler.

Bilgi, yazılım ve sistemlerin düzenli yedeklenip geri yüklemenin test edilmesini amaçlar. Yedekleme ve kurtarma içerikleri bunu somutlaştırır.

Erişilebilirlik gereksinimlerini karşılamak için yedeklilik sağlanmasını gözetir. Süreklilik ve mimari içerikleri yüksek erişilebilirliği destekler.

Olayların kaydedilip korunmasını ve incelenebilir kılınmasını amaçlar. Loglama ve SIEM içerikleri ile tespit kuralları bu kaydı değere çevirir.

Ağ, sistem ve uygulamaların anormal davranışlara karşı izlenmesini gözetir. Tespit içerikleri ve davranışsal kurallar izlemeyi yönlendirir.

Sistem saatlerinin güvenilir bir kaynağa senkronize edilmesini amaçlar; bu, log korelasyonu ve adli analizin doğruluğunu sağlar. Loglama içerikleriyle ilişkilidir.

Kontrolleri aşabilen ayrıcalıklı sistem araçlarının kullanımının kısıtlanmasını gözetir. Sıkılaştırma ve ayrıcalıklı erişim içerikleriyle uygulanır.

Üretim sistemlerine yazılım kurulumunun kontrollü yapılmasını amaçlar. Değişiklik yönetimi ve yapılandırma içerikleri bunu destekler.

Ağların ve ağ cihazlarının güvenli yönetilip korunmasını gözetir. Ağ sıkılaştırma baseline'ları bu kontrolü uygular.

Ağ hizmetlerinin güvenlik mekanizmalarının ve hizmet seviyelerinin tanımlanmasını amaçlar. Ağ ve servis güvenliği içerikleriyle ele alınır.

Ağların güvenlik ihtiyacına göre segmentlere ayrılmasını gözetir. Segmentasyon ve mimari içerikleri yanal hareketi sınırlamayı destekler.

Zararlı içeriğe erişimi azaltmak için dış web erişiminin yönetilmesini amaçlar. Ağ savunması ve uç nokta içerikleriyle birlikte uygulanır.

Kriptografinin etkin ve anahtar yönetimini de kapsayacak biçimde kullanılmasını gözetir. Şifreleme içerikleri uygulama ve anahtar yaşam döngüsünü destekler.

Yazılımın güvenli geliştirme kuralları altında üretilmesini amaçlar. Güvenli geliştirme (SDLC) içerikleri bu disiplini sunar.

Uygulamaların güvenlik gereksinimlerinin belirlenip karşılanmasını gözetir. OWASP ASVS eşlemesi ve uygulama güvenliği içerikleri bunu destekler.

Sistemlerin güvenli mühendislik ilkeleriyle tasarlanmasını amaçlar. Mimari ve sıfır güven içerikleri tasarım ilkelerini somutlaştırır.

Güvenli kodlama ilkelerinin uygulanmasını gözetir. Güvenli geliştirme içerikleri yaygın kod zafiyetlerine karşı pratikler sunar.

Güvenlik testinin geliştirme ve kabul süreçlerine gömülmesini amaçlar. Test ve doğrulama içerikleri bu aşamaları destekler.

Dış kaynak geliştirmenin yönlendirilip izlenmesini ve denetlenmesini gözetir. Tedarikçi ve güvenli geliştirme içerikleriyle ele alınır.

Ortamların birbirinden ayrılmasını amaçlar; böylece üretim verisi ve sistemleri test risklerinden korunur. Mimari ve yapılandırma içerikleriyle uygulanır.

Sistem ve bilgi işleme tesislerindeki değişikliklerin kontrollü yapılmasını gözetir. Değişiklik ve yapılandırma yönetimi içerikleri bunu destekler.

Test verisinin uygun seçimi, korunması ve yönetimini amaçlar. Veri maskeleme ve koruma içerikleri test ortamı güvenliğini destekler.

Denetim ve test faaliyetlerinin üretim sistemlerine etkisini en aza indirmeyi gözetir. Değişiklik yönetimi ve planlama içerikleriyle ele alınır.