Bir kurumda güvenlik sadece teknik araçlardan değil, kimin neye erişeceğine kimin karar verdiğinden, bir olay olduğunda kimin ne yapacağından oluşur; BGYS işte bu kararların hepsini tek bir yönetilebilir sistemde toplar — güvenliği tek seferlik bir alışveriş olmaktan çıkarıp sürekli işleyen bir sürece dönüştürür.
Merhaba, ben Güvenlik Uzmanı. Bu kartta kurumsal güvenliğin çatısı olan BGYS'yi (Bilgi Güvenliği Yönetim Sistemi — İngilizce ISMS, Information Security Management System) öğreniyoruz: ne olduğunu, risk temelli olarak nasıl işlediğini ve iş yerinde neden tek tek ürünlerden daha önemli olduğunu net biçimde inceleyeceğiz.
NEDİR? BGYS (Bilgi Güvenliği Yönetim Sistemi), bir kurumun bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini (CIA) korumak için kullandığı politikalar, prosedürler, süreçler, roller ve teknik kontrollerin bütününü tek bir yönetim çerçevesi altında toplayan sistemdir. İngilizce karşılığı ISMS'tir. Önemli nokta şudur: BGYS tek bir cihaz, yazılım veya ürün değildir; risk temelli ve sürekli işleyen bir YÖNETİM sistemidir. Yani "hangi bilgiyi, hangi tehdide karşı, ne kadar korumalıyız ve bunu nasıl sürdürülebilir kılarız?" sorularına kurum genelinde tutarlı yanıt veren çatıdır. Uluslararası referans standardı ISO/IEC 27001'dir; kurumlar bu standarda göre BGYS kurar ve belgelendirilir (sertifika alır). NASIL ÇALIŞIR? BGYS, klasik olarak PUKÖ döngüsü (PDCA — Planla–Uygula–Kontrol Et–Önlem Al) üzerine kurulu, sürekli iyileşen bir süreçtir: 1) PLANLA (Plan): Kapsam belirlenir, bilgi varlıkları envanteri çıkarılır, risk değerlendirmesi yapılır (tehdit + açıklık + etki). Üst yönetim bir bilgi güvenliği politikası onaylar ve risk işleme planı hazırlanır. 2) UYGULA (Do): Seçilen kontroller hayata geçirilir — erişim kontrolü, şifreleme, yedekleme, farkındalık eğitimi, olay müdahale prosedürleri vb. ISO 27001'in Ek-A'sında bu kontroller bir liste hâlinde sunulur ve hangilerinin uygulandığı SoA (Uygulanabilirlik Bildirgesi / Statement of Applicability) ile belgelenir. 3) KONTROL ET (Check): Kontrollerin gerçekten işleyip işlemediği iç denetim, ölçüm ve gözden geçirmelerle izlenir; olaylar kaydedilir ve değerlendirilir. 4) ÖNLEM AL (Act): Bulunan eksiklikler için düzeltici faaliyet başlatılır, riskler yeniden gözden geçirilir ve sistem iyileştirilir. Döngü baştan tekrar eder — bu yüzden güvenlik "bir kez kurulup bitirilen" değil, sürekli yönetilen bir şeydir. NEDEN ÖNEMLİ / İŞ YERİNDE BGYS, dağınık ve birbirinden kopuk güvenlik önlemlerini (kimi BT'de, kimi insan kaynaklarında, kimi fiziksel güvenlikte) tek bir yönetilebilir bütüne dönüştürür. Üst yönetimin sorumluluğunu netleştirir, riskleri görünür ve önceliklendirilmiş hâle getirir, denetim ve uyum (KVKK, GDPR, müşteri sözleşmeleri, ISO 27001 belgesi) gereksinimlerini karşılamayı kolaylaştırır. Bir güvenlik olayı yaşandığında "kim, ne, ne zaman yapacak" önceden tanımlı olduğu için müdahale hızlanır ve hasar azalır. Müşteri ve iş ortakları nezdinde de güven oluşturur; birçok ihale ve sözleşmede ISO 27001 sertifikası artık ön koşuldur. DİKKAT / İYİ UYGULAMA BGYS yalnızca raf dolduran bir doküman seti olarak görülürse başarısız olur; canlı biçimde işletilmeli, eğitimlerle çalışana indirilmeli ve düzenli iç denetimle test edilmelidir. İyi uygulama: kapsamı net ve gerçekçi tutmak, risk değerlendirmesini periyodik tekrarlamak, üst yönetim desteğini (yönetimin gözden geçirmesi) sürekli kılmak, kontrolleri "en az yetki" ilkesiyle tasarlamak ve dokümantasyonu güncel tutmak. BGYS'nin ölçeği kuruma göre uyarlanır — küçük bir şirkette de büyük bir bankada da aynı mantık, farklı derinlikte uygulanabilir.
• BGYS (ISMS), bilgi güvenliğini yöneten politika, süreç, rol ve kontrollerin bütünüdür — tek bir ürün/cihaz değil, bir YÖNETİM sistemidir. • Amacı bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğini (CIA) risk temelli korumaktır. • Uluslararası referans standardı ISO/IEC 27001'dir; kurumlar buna göre kurup belgelendirilir. • PUKÖ (Planla–Uygula–Kontrol Et–Önlem Al) döngüsüyle sürekli iyileşir; bir kez kurulup bitmez. • SoA (Uygulanabilirlik Bildirgesi) hangi kontrollerin neden uygulandığını/hariç bırakıldığını belgeler; üst yönetim desteği ve düzenli denetim şarttır.