ISO 27001 ve Teknik Güvenlik Testlerinin İlişkisi
ISO/IEC 27001:2022 standardı, bir kurumun bilgi varlıklarını koruyan Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) kurulmasını, işletilmesini ve sürekli iyileştirilmesini düzenleyen uluslararası çerçeveyi tanımlamaktadır. Bu çerçeve içinde teknik güvenlik testleri, yalnızca tavsiye niteliğinde değil; kontrol etkinliğinin doğrulanması için zorunlu bir mekanizma olarak yer almaktadır.
ISO 27001 Ek A kontrolleri (özellikle A.8.8 Teknik Güvenlik Açığı Yönetimi ve A.8.29 Geliştirmede Güvenlik Testi) kapsamında kurumların teknik açıklıkları düzenli olarak tespit etmesi ve gidermesi gerekmektedir. Belgelendirme denetçileri, bu kontrollerin etkinliğini kanıtlayan bağımsız test raporlarını belgelendirme kararında önemli bir girdi olarak değerlendirmektedir.
2022 revizyonuyla birlikte teknik güvenlik açığı yönetimi ve güvenli geliştirme süreçlerine verilen ağırlık artmıştır. Eski (2013) sertifikalarını yenileyecek kurumların güncel kontrol yapısına uygun test kanıtları sunması gerekmektedir.
Hangi Kontroller Teknik Testlerle Doğrulanır?
TUGAY, ISO 27001 denetim süreçlerinde en sık sorgulanan teknik kontrolleri kapsayan hedefli test hizmetleri sunmaktadır:
- A.8.8 — Teknik güvenlik açıklarının yönetimi: Zafiyet tarama ve sızma testi
- A.8.29 — Geliştirme yaşam döngüsünde güvenlik testi: SAST/DAST ve kaynak kod analizi
- A.8.22 — Ağ segmentasyonu: İç ağ izolasyon doğrulama testleri
- A.8.5 — Güvenli kimlik doğrulama: Kimlik ve erişim yönetimi testleri
- A.8.16 — İzleme faaliyetleri: SIEM ve log yönetiminin etkinlik testleri
- A.5.23 — Bulut hizmetleri güvenliği: Bulut altyapısı güvenlik değerlendirmesi
Sızma Testi Süreci
- Boşluk Analizi: Mevcut BGYS kontrollerinin ISO 27001:2022 gereklilikleriyle karşılaştırmalı değerlendirmesi yapılır; teknik açıklar önceliklendirilir.
- Kapsam Belirleme: BGYS kapsamındaki sistemler, uygulamalar ve altyapı bileşenleri test kapsamına alınır; risk bazlı önceliklendirme uygulanır.
- Teknik Test Uygulaması: Ağ, uygulama, bulut ve sosyal mühendislik testleri yürütülür; otomatize tarama ile manüel analiz birleştirilir.
- Bulguların Haritalanması: Her tespit, ilgili ISO 27001 kontrolüyle eşleştirilerek denetim raporunda kullanılabilecek biçimde belgelenir.
- Düzeltme ve Yeniden Test: Kritik bulgular giderilir; kapanış testi ile düzeltmelerin etkinliği doğrulanır.
Belgelendirme Desteği ve Denetim Hazırlığı
TUGAY, sızma testi çıktılarını doğrudan ISO 27001 denetim kanıtı olarak kullanılabilecek formatta sunmaktadır. Her bulgu, ilgili ISO 27001:2022 kontrol maddesine referans verilerek raporlanmaktadır. Bu yaklaşım, denetim sürecini önemli ölçüde hızlandırmakta ve denetçilerle iletişimi kolaylaştırmaktadır.
- ISO 27001 kontrollerine haritalanmış bulgular
- Risk işleme planı önerileri
- Denetim öncesi hazırlık danışmanlığı
- Yıllık gözetim denetimi için periyodik test programı