Büyük kurumsal müşteri ISO 27001 belgesi istedi, danışman tutmadan kendimiz yapabilir miyiz?

Biz Cidde'de 18 kişilik bir ekibiz, geçen sene aldık. Danışmanlığa 38.000 SAR, akredite denetim firmasına ise 18.000 SAR ödedik. Süreç tam 5,5 ay sürdü. Kendi başımıza yapsaydık DevOps mühendisimizin en az 3 ay boyunca tüm geliştirme işini bırakması gerekirdi, bu da bize çok daha pahalıya patlardı.

DevOps mühendisine bu yükü yıkmayın. ISO 27001 sadece firewall veya şifreleme değildir; İK işe alım süreçleri, fiziksel ofis güvenliği, tedarikçi sözleşmeleri ve varlık yönetimi gibi idari kısımlar standardın yarısından fazlasını oluşturur. Mühendis teknik kontrolleri yazar ama süreç yönetiminde tıkanır.

Danışman tutarken çok dikkatli olun. Çoğu piyasada dolaşan Word şablonlarını şirketinize kopyalayıp 40.000 SAR alıyor. Denetçi geldiğinde 'Bu prosedürü kim uyguluyor?' diye sorduğunda personelinizin haberi bile olmuyor. Hazır şablon satanı dgl, süreçleri sizinle oturup tasarlayacak olanı bulun.

biz ilk başta internetten bulduğumuz şablonlarla kendimiz deneriz dedik ama 2 ay sonra sadece evrak kalabalığının içinde kaybolduk... dış denetçi ilk aşamada eksikleri yüzümüze vurunca mecbur danışman tuttuk. 6 ay gibi net bi hedef varsa macera aramayın derim.

Müşteriniz Suudi Arabistan'da yarı kamu olduğu için sadece ISO 27001 mi istedi, yoksa NCA ECC (Essential Cybersecurity Controls) uyumu da bekliyor mu? Şartnameyi dikkatli okuyun; bazen kamu ihalelerinde NCA gereksinimleri ISO standardından daha katı şartlar içerir, baştan danışmana bunu da sormanız gerekir.

Önemli bir mevzuat hatırlatması: Danışmanlık firması ile denetim firmasının aynı şirket veya ortak kuruluşu olması akreditasyon kurallarına aykırıdır. Teklif alırken denetimi yapacak bağımsız denetim kuruluşunun akreditasyonunun (örneğin IAS, UKAS veya SASO ile uyumlu) geçerliliğini mutlaka teyit ediniz.

İlk yapacağınız şey kapsamı daraltmak olsun. Şirketin tüm operasyonunu değil, sadece müşteriye sunduğunuz yazılımın altyapısını ve geliştirme ekibini kapsama (scope) alın. Kapsam daraldıkça denetlenecek varlık sayısı azalır, süreç hızlanır ve danışmanlık maliyeti düşer.

Haklısınız... ya bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Uzun süre bu işle uğraştım. Ölçmeden karar verince hep aynı yere geliyoruz.

Sorunuz olursa yazın elimden geldiğince cevaplarım.

bunu duyali cok oldu ama bizde hic boyle olmmadi ve valla sormaktan cekinmeyin, sormayan hep daha pahaliya oduyor.

benim gorusum bu kesin dogru diye yazmiyorum.

Bizde şöyle oldu. Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

Başka türlü yapan varsa onu da merak ederim.

Benim başımdan geçeni yazayım, belki işinize yarar. Kayıt tutmayan hiç bir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Kendi durumunuz farklıysa tabii değişir.

Bir ayrım yapmak gerekiyor burada. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Başka türlü yapan varsa onu da merak ederim.

Bir ayrım yapmak gerekiyor burada. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Tecrübeyle sabit.

Haklısınız ben de aynı yoldan geçtim. Olayların çoğu zafiyetten dgl sızmış bir paroladan başlıyor.

Ben olsam bu yoldan giderdim.

Bunu yaparken çok düşülen bi hata var. Otomatik tarama raporu ile sızma testi aynı şey değl.

Yanlışım varsa düzeltin.

bi şey sormak istiyorum bir de olayların çoğu zafiiyetten değl, sızmış bi paroladan başlıyor.

küçük ölçekte işe yarayan çözüm büyüyünce çöküyor bunu geç öğrendim bir de yanlışım varsa düzeltin.

bunu biraz açabilir misiniz? yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

not olarak bırakayım lazım olur.