ISO 27001 bilgi güvenliği standardı denetimlerinin siber güvenliğe etkileri üzerine bir inceleme
A review on the effects of ISO 27001 information security standard audit on cyber security
Yazar: EMRAH BALCILAR
Danışman: PROF. DR. ÇELEBİ ULUYOL
Gazi Üniversitesi / Bilişim Enstitüsü / Adli Bilişim Ana Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: ISO/IEC 27001 = ISO/IEC 27001 ; Kurumsal bilgi güvenliği = Corporate information security

Özet:
Teknolojinin gelişmesi ve hayatın her alanında kullanılmaya başlanılması ile bilgi güvenliği kavramı önem kazanmıştır. Bilgi güvenliği bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak olarak tanımlanmaktadır. ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardı, siber güvenliğin sağlanarak siber olayların engellenmesi amacıyla, bilgi güvenliği ile ilgili risklerin tanımlanması, yönetilmesi ve faaliyetlerin etkinliğinin sürekli olarak değerlendirilmesi ile ilgili kontrolleri içeren bir standarttır. Bilgi güvenliği yönetiminde çerçeve oluşturan ISO 27001 Bilgi Güvenliği Yönetim Sistemi'ne ilgi artmakta olup; belgelendirilmiş kuruluşların standartta yer alan süreçleri doğru şekilde işletmesi önem arz etmektedir. Doğru işletilen bir ISO 27001 yönetim sistemi siber güvenliğin sağlanmasında ve siber olayların engellenmesinde fayda sağlayacaktır. Standarda göre sistemin etkin ve standarda uygun işleyişi periyodik olarak iç tetkiklere tabi tutulmalıdır. Bu bağlamda çalışmanın amacı ISO 27001 Bilgi Güvenliği Yönetim Sistemi kapsamında gerçekleştirilen iç tetkiklerin etkinliğinin tetkikçilerin görüşlerine göre incelenmesidir. Çalışma kapsamında araştırmacılar tarafından hazırlanan ankete 103 kişi katılmıştır. Çalışmada denetim süreçleri ile ilgili görüşler incelenerek, elde edilen veriler üzerinden yaşanan sorunların analizleri gerçekleştirilmiş ve ülkemizde BGYS belgesine sahip olan kurum/kuruluşlarda denetim etkinliğini ve bunun sonucu siber güvenliği etkileyebilecek riskler görülmüştür. ISO 27001 standardının iç tetkiklerde uyulmasını beklediği esaslara göre, tetkikçilerin sürekli gelişimi ve yetkinliği, denetimlerin objektiflik ve bağımsızlığı, denetim planlaması ve kriterleri, denetim bulgularının yönetimi konuları çalışmanın değerlendirme konu kategorileri olarak belirlenmiştir. Bu konu kategorilerindeki eksiklikler gerçekleştirilen denetimlerde siber güvenlik ve/veya bilgi güvenliği zafiyetlerinin tespit edilememesine, tespit edilse dahi raporlanamamasına ve raporlansa da etkin ve tekrar oluşmayacak şekilde kapatılmamasına sebep olabileceği değerlendirilmiştir.

Abstract:
With the evolution of technology and use of it in a lot of areas of life, the concept of information security has came into prominence. Information security is defined as protecting the confidentiality, integrity and accessibility of information. ISO 27001 Information Security Management System standard is a standard that includes the principles and controls regarding the identification and management of risks relative to information security and the continuous evaluation of the effectiveness of activities to provide cyber security and prevent cyber incidents. Interest in the ISO 27001 Information Security Management System, which creates a framework for information security management, is increasing; It is important for certified organizations to operate the processes included in the standard correctly. A properly operated ISO 27001 management system will be beneficial in ensuring cyber security and preventing cyber incidents. According to the standard, the effective and standard operation of the system should be subject to periodic internal audits. In this context, the purpose of the study is to examine the effectiveness of the audits carried out within the scope of the ISO 27001 Information Security Management System, according to the opinions of the auditors. Within the study, 103 people participated in the survey prepared by the researchers. In the study, opinions about the audit processes were examined, the problems experienced were examinated based on the data obtained, and risks that could affect the audit effectiveness and, as a result, cyber security in institutions/organizations with ISMS certificates in our country were observed. According to the issues that the ISO 27001 standard expects to be complied with in internal audits, continuous development and competence of auditors, objectivity and independence of audits, audit planning and criteria, management of audit findings have been determined as evaluation subject categories. It has been evaluated that deficiencies in these subject categories may cause cyber security and/or information security vulnerabilities not to be detected during the audits, not to be reported even if detected, and not to be closed effectively and in a way that will not occur again after being reported.