Yazılım Şirketleri İçin ISO 27001 Belgesi Neden Hayati Önem Taşır?

Kurumsal yazılım pazarında satın alma kararları artık yalnızca ürünün fonksiyonlarına, performansına veya fiyatına göre verilmiyor. Bankalar, finans kuruluşları, holdingler, kamu kurumları ve uluslararası şirketler; yazılım tedarikçilerinin kendi sistemlerine erişmeden önce bilgi güvenliği olgunluğunu da değerlendiriyor. Tedarikçi güvenlik anketleri, teknik mimari incelemeleri, sızma testi raporları, iş sürekliliği kanıtları ve bağımsız denetim belgeleri, kurumsal satın alma süreçlerinin olağan parçaları hâline gelmiş durumda.

Bu noktada yazılım firmaları ISO 27001 ilişkisi, yalnızca bir yönetim sistemi belgelendirme konusu olmaktan çıkarak ticari güvenin ve operasyonel sürdürülebilirliğin temel unsurlarından birine dönüşür. ISO/IEC 27001:2022 standardına göre kurulan ve belgelendirilen bir Bilgi Güvenliği Yönetim Sistemi (BGYS), şirketin bilgi varlıklarını sistematik biçimde yönettiğini, risklerini değerlendirdiğini ve güvenlik kontrollerini iş süreçlerine entegre ettiğini bağımsız denetim yoluyla ortaya koyar.

Bir başdenetçi perspektifinden bakıldığında asıl mesele, şirketin kaç güvenlik yazılımı kullandığı veya kaç maddelik bilgi güvenliği politikası hazırladığı değildir. Önemli olan, güvenlik gerekliliklerinin yazılım geliştirme, sürüm yönetimi, bulut operasyonları, çalışan erişimleri, müşteri verisi işleme ve olay müdahale süreçlerinde gerçekten uygulanıp uygulanmadığıdır.

Yazılım ve SaaS Şirketleri İçin ISO 27001 Belgesinin Temel Avantajları

ISO 27001 belgesinin yazılım şirketlerine sağladığı değer, yalnızca bilgi güvenliği risklerinin azaltılmasıyla sınırlı değildir. Doğru kapsamda kurulmuş bir BGYS; kurumsal müşteri kazanımını kolaylaştırır, tedarikçi değerlendirmelerinde güvenilirlik sağlar, yazılım geliştirme süreçlerini disipline eder ve şirketin bilgi varlıklarını kurumsal bir yönetim yapısı altında korur.

Kurumsal Satış ve İhale Bariyerlerini Aşmak

Kurumsal yazılım satışlarında ürün demosunun başarılı geçmesi, teknik gereksinimlerin karşılanması veya teklif fiyatının rekabetçi olması her zaman sözleşmenin imzalanması için yeterli değildir. Özellikle bankalar, sigorta şirketleri, finans kuruluşları, telekomünikasyon işletmeleri ve büyük ölçekli holdingler, yazılım tedarikçilerini kendi bilgi güvenliği politikalarına göre değerlendirir.

Bu değerlendirmelerde karşılaşılan başlıca sorular şunlardır:

• Şirketin ISO/IEC 27001:2022 kapsamında geçerli bir BGYS belgesi var mı?
• Müşteri verilerine erişim yetkileri nasıl tanımlanıyor ve gözden geçiriliyor?
• Kaynak kod depolarına erişim çok faktörlü kimlik doğrulama ile korunuyor mu?
• Yazılım geliştirme, test ve canlı ortamlar birbirinden ayrılmış mı?
• Güvenlik açıkları nasıl tespit ediliyor, önceliklendiriliyor ve kapatılıyor?
• Veri ihlali veya hizmet kesintisi durumunda olay müdahale prosedürü mevcut mu?
• Alt yükleniciler ve bulut hizmet sağlayıcıları hangi kriterlerle değerlendiriliyor?
• Yedekleme, geri yükleme ve iş sürekliliği kontrolleri test ediliyor mu?

Bu soruların yanıtları çoğu zaman Tedarikçi Güvenlik Değerlendirmesi (Vendor Risk Assessment) veya Information Security Questionnaire adı verilen kapsamlı anketlerle talep edilir.

Bazı kurumsal satın alma süreçlerinde ISO 27001 belgesi doğrudan ön yeterlilik şartı olarak belirlenebilir. Bazılarında ise belge, tedarikçinin güvenlik olgunluğunu gösteren önemli bir kanıt olarak değerlendirilir. Dolayısıyla belgeye sahip olmayan bir yazılım şirketi, teknik açıdan güçlü bir ürüne sahip olsa bile değerlendirme sürecinde dezavantaj yaşayabilir.

ISO 27001 belgesi, her ihalede otomatik kabul veya sözleşme garantisi sağlamaz. Ancak kurumsal müşterinin talep ettiği güvenlik kanıtlarını sunmayı kolaylaştırır. Şirketin her müşteri için sıfırdan güvenlik politikası, risk değerlendirmesi ve kontrol açıklaması hazırlama ihtiyacını azaltabilir. Böylece satış ekibinin güvenlik incelemelerine ayırdığı süre kısalırken teknik ekipler de aynı soruları tekrar tekrar yanıtlamak yerine mevcut BGYS kayıtlarını kullanabilir.

Kurumsal yazılım satışında güvenlik değerlendirmesini yalnızca satış ekibinin cevaplayacağı bir anket olarak görmek hatalıdır. Bu süreç, şirketin bilgi güvenliği yönetiminin gerçek performansını ortaya çıkarır. ISO 27001 kapsamında oluşturulan risk kayıtları, erişim yetki matrisi, varlık envanteri, olay kayıtları ve tedarikçi değerlendirmeleri bu incelemelerde somut kanıt niteliği taşır.

Yurt Dışı Yazılım İhracatı ve Global Rekabet

Yurt dışına yazılım ihraç eden şirketler, farklı ülkelerdeki müşterilerin güvenlik ve veri koruma beklentilerini karşılamak zorundadır. Avrupa pazarında GDPR, ABD pazarında sektörel ve sözleşmeye dayalı güvenlik gereklilikleri, uluslararası müşteri ilişkilerinde belirleyici olabilir.

Avrupa Birliği'ndeki müşteriler, kişisel verileri işleyen yazılım tedarikçilerinden uygun teknik ve organizasyonel güvenlik önlemlerini göstermelerini bekler. GDPR kapsamında veri işleyen ve veri sorumlusu tarafların yükümlülükleri, sözleşme hükümleri ve işlenen verinin niteliğine göre değişir. ISO 27001 belgesi tek başına GDPR uyumluluğu sağlamaz; ancak kişisel verilerin korunmasıyla ilişkili risklerin yönetilmesine, güvenlik kontrollerinin belgelenmesine ve denetlenebilir bir yönetim yapısının kurulmasına katkıda bulunur.

Uluslararası müşteriler açısından bağımsız belgelendirme, tedarikçinin güvenlik yaklaşımını değerlendirmeyi kolaylaştıran ortak bir referans noktasıdır. Özellikle farklı ülkelerde faaliyet gösteren müşterilerle çalışan SaaS şirketleri için bilgi güvenliği uygulamalarının kişilere bağlı olmaktan çıkarılıp kurumsal süreçlere dönüştürülmesi önemlidir.

ISO 27001 belgesinin ihracat açısından sağladığı başlıca katkılar şunlardır:

• Uluslararası tedarikçi değerlendirmelerinde güvenlik olgunluğunu gösterebilecek bağımsız bir kanıt sunulması.
• Yurt dışındaki müşterilerin bilgi güvenliği beklentilerinin sistematik biçimde ele alınması.
• Veri işleme, erişim yetkilendirme ve olay yönetimi süreçlerinin belgelenmesi.
• Farklı müşteri sözleşmelerinden kaynaklanan güvenlik gerekliliklerinin ortak bir yönetim sistemi içinde takip edilmesi.
• Şirketin uluslararası pazarlardaki kurumsal güvenilirliğinin desteklenmesi.

Burada önemli olan, ISO 27001 belgesinin kapsamıdır. Belgelendirme kapsamı yalnızca şirket merkezindeki idari faaliyetleri içeriyor, ancak müşterilere hizmet veren SaaS platformunu, yazılım geliştirme faaliyetlerini veya bulut operasyonlarını kapsam dışında bırakıyorsa müşterinin beklediği güvenceyi sağlamayabilir. Bu nedenle kapsam belirleme çalışması, şirketin gerçek hizmet modelini ve bilgi işleme faaliyetlerini yansıtmalıdır.

Güvenli Yazılım Geliştirme Yaşam Döngüsü (SDLC) Disiplini

Yazılım şirketlerinde güvenlik açıklarının önemli bir bölümü, ürün canlıya alındıktan sonra değil, gereksinim analizi, tasarım, kodlama, test ve sürüm yönetimi aşamalarında alınan kararlarla ortaya çıkar. Güvenli yazılım geliştirme yaklaşımının amacı, güvenlik kontrollerini yalnızca son test aşamasına bırakmak yerine yazılım yaşam döngüsünün tamamına entegre etmektir.

ISO/IEC 27001:2022 Ek-A kontrolleri, bu yaklaşımın BGYS içinde yönetilmesini destekler. Özellikle aşağıdaki kontroller yazılım geliştiren kuruluşlar açısından önem taşır:

• A.8.25 – Güvenli geliştirme yaşam döngüsü: Güvenlik gerekliliklerinin yazılım geliştirme yaşam döngüsüne entegre edilmesini ele alır.
• A.8.26 – Uygulama güvenliği gereklilikleri: Uygulamaların güvenlik gereksinimlerinin belirlenmesini ve karşılanmasını destekler.
• A.8.28 – Güvenli kodlama: Güvenli kodlama ilkelerinin geliştirme faaliyetlerinde uygulanmasını kapsar.
• A.8.29 – Geliştirme ve kabul aşamalarında güvenlik testleri: Güvenlik testlerinin uygun geliştirme ve kabul süreçlerine dahil edilmesini ele alır.
• A.8.31 – Geliştirme, test ve canlı ortamların ayrılması: Ortamlar arasındaki yetkisiz erişim ve değişiklik risklerinin azaltılmasını amaçlar.
• A.8.32 – Değişiklik yönetimi: Sistem ve yazılım değişikliklerinin kontrollü biçimde gerçekleştirilmesini destekler.

Bu kontrollerin kuruluş açısından uygulanabilirliği, risk değerlendirmesi ve Uygulanabilirlik Bildirgesi (Statement of Applicability – SoA) üzerinden belirlenir. Bir kontrolün standartta yer alması, her kuruluşta aynı yöntemle ve aynı kapsamda uygulanacağı anlamına gelmez. Yazılım şirketinin mimarisi, geliştirme modeli, müşteri gereksinimleri ve risk profili dikkate alınmalıdır.

Örneğin güvenli kodlama politikasının yalnızca doküman olarak hazırlanması yeterli değildir. Kod inceleme kayıtları, pull request onayları, statik uygulama güvenliği testleri (SAST), dinamik uygulama güvenliği testleri (DAST), bağımlılık ve bileşen analizleri, güvenlik açığı takip kayıtları ve sürüm onayları gibi uygulama kanıtları değerlendirilmelidir.

DevSecOps yaklaşımında güvenlik kontrollerinin CI/CD süreçlerine entegre edilmesi, bu yönetim anlayışını operasyonel hâle getirir. Kritik güvenlik bulgularının belirli eşiklerin üzerinde olması durumunda sürümün durdurulması, güvenlik testlerinin otomatik çalıştırılması ve bağımlılıkların bilinen açıklara karşı izlenmesi, yazılım geliştirme süreçlerinin denetlenebilirliğini güçlendirir.

ISO 27001 tek başına belirli bir DevSecOps aracı, programlama dili veya test platformu zorunlu kılmaz. Denetimde değerlendirilen konu, kuruluşun riskleriyle orantılı güvenlik kontrollerini tanımlaması, uygulaması, izlemesi ve etkinliğini kanıtlamasıdır.

İlgili teknik kontrollerin kapsamı için ISO 27001:2022 Ek-A kontrolleri içeriği incelenebilir. Uygulama katmanındaki güvenlik gerekliliklerinin daha ayrıntılı değerlendirilmesinde ise ISO/IEC 27034 uygulama güvenliği standardı tamamlayıcı bir referans niteliğindedir.

Kaynak Kod ve Fikri Mülkiyet Koruması

Yazılım şirketleri açısından kaynak kod, yalnızca teknik bir dosya bütünü değildir. Şirketin geliştirme maliyetini, rekabet avantajını, ürün farklılaşmasını ve fikri mülkiyet değerini temsil eder. Kaynak kod depolarına yetkisiz erişim, geliştirici hesaplarının ele geçirilmesi veya gizli anahtarların yanlışlıkla kod deposuna yüklenmesi, şirketin ticari varlıklarını doğrudan riske sokabilir.

Bu riskler yalnızca dış saldırganlardan kaynaklanmaz. Eski çalışanların erişimlerinin kapatılmaması, yüklenici hesaplarının gereğinden uzun süre açık tutulması, ortak kullanıcı hesapları ve aşırı yetkilendirme gibi iç kontrol eksiklikleri de ciddi güvenlik açıkları oluşturur.

ISO 27001 kapsamında bilgi varlıklarının envanterinin çıkarılması ve erişim yetkilerinin iş ihtiyacına göre düzenlenmesi beklenir. Yazılım şirketlerinde bu yaklaşımın GitHub, GitLab, Bitbucket, bulut yönetim panelleri, CI/CD araçları, paket kayıt sistemleri ve üretim ortamları üzerinde karşılığı bulunmalıdır.

Örnek bir erişim kontrol yaklaşımında:

• Geliştiriciler yalnızca görevleri için gerekli depolara erişebilmelidir.
• Kritik dallara doğrudan kod gönderimi sınırlandırılmalıdır.
• Pull request ve kod inceleme onayları tanımlanmalıdır.
• Yönetici yetkileri sınırlı sayıda kullanıcıya verilmelidir.
• Çok faktörlü kimlik doğrulama uygulanmalıdır.
• İşten ayrılan veya görev değiştiren personelin erişimleri zamanında güncellenmelidir.
• API anahtarları, parolalar ve erişim belirteçleri kaynak koddan ayrı, güvenli sır yönetimi mekanizmalarında tutulmalıdır.
• Ayrıcalıklı hesapların kullanımı kayıt altına alınmalı ve gözden geçirilmelidir.

Bu kontrollerin amacı yalnızca kaynak kodun çalınmasını önlemek değildir. Yetkisiz değişiklik, kötü amaçlı kod eklenmesi, yazılım tedarik zincirinin bozulması ve müşteri ortamlarına zararlı güncelleme gönderilmesi gibi risklerin de kontrol altına alınması gerekir.

ISO 27001 Belgesi Olmazsa Yazılım Şirketleri Ne İle Karşılaşır?

ISO 27001 belgesine sahip olmamak, her yazılım şirketinin hukuka aykırı faaliyet gösterdiği veya mutlaka bir güvenlik ihlali yaşayacağı anlamına gelmez. Ancak kurumsal bir BGYS'nin bulunmaması; güvenlik risklerinin kişisel inisiyatiflerle yönetilmesine, kontrol eksikliklerinin geç fark edilmesine ve müşterilere güvenlik kanıtı sunulmasında zorluk yaşanmasına neden olabilir.

Burada belgenin yokluğu ile bilgi güvenliği yönetiminin yokluğunu birbirinden ayırmak gerekir. Bir şirket ISO 27001 belgesi olmadan da etkili güvenlik kontrolleri uygulayabilir. Buna karşılık yalnızca belge sahibi olmak da sistemlerin her koşulda güvenli olduğu anlamına gelmez. Belgelendirme, tanımlı kapsamda kurulan yönetim sisteminin bağımsız denetimden geçtiğini gösterir; gerçek güvenlik performansı ise kontrollerin sürekliliğine bağlıdır.

Kaybedilen Kurumsal İhaleler ve Uzayan Satış Döngüleri

Kurumsal müşteriler, yazılım tedarikçilerini değerlendirirken yalnızca ürünün işlevsel yeterliliğine bakmaz. Müşterinin sistemlerine bağlanacak, kişisel verilerini işleyecek veya kritik iş süreçlerini destekleyecek bir yazılımın güvenlik seviyesi satın alma kararının önemli bir parçasıdır.

ISO 27001 belgesinin ön koşul olarak belirlendiği bir ihalede belgenin bulunmaması, teklifin teknik ve ticari değerlendirmeye geçmeden elenmesine neden olabilir. Belgenin zorunlu olmadığı durumlarda ise şirketin güvenlik kontrollerini ayrı ayrı kanıtlaması gerekebilir.

Bu durum özellikle küçük ve orta ölçekli yazılım şirketleri için ciddi bir zaman maliyeti oluşturur. Her potansiyel müşterinin farklı formatta gönderdiği güvenlik anketleri, teknik doküman talepleri, erişim kontrol açıklamaları ve olay yönetimi soruları; yazılım ekiplerinin geliştirme faaliyetlerinden zaman ayırmasına yol açar.

Sistematik bir BGYS bulunmadığında aynı sorulara verilen yanıtlar farklı ekipler arasında tutarsızlaşabilir. Satış ekibinin müşteriye sunduğu güvenlik taahhüdü ile teknik ekibin gerçek uygulamaları arasında fark oluşması, sözleşme ve itibar risklerini artırır.

ISO 27001 belgesi, kurumsal satış sürecindeki tüm güvenlik sorularını ortadan kaldırmaz. Ancak temel yönetim sisteminin bağımsız denetimden geçtiğini göstererek değerlendirmeyi kolaylaştırır. Şirketin mevcut kontrol kanıtlarını düzenli biçimde sunabilmesi, satış döngüsünün güvenlik incelemesi aşamasında yaşanan gecikmeleri azaltabilir.

Veri İhlalleri, Fidye Yazılımları ve Ağır Sözleşmesel Sonuçlar

Bir SaaS platformunda yaşanan veri ihlali, yalnızca etkilenen kullanıcı hesaplarıyla sınırlı kalmayabilir. Müşteri veri tabanlarının açığa çıkması, yönetici hesaplarının ele geçirilmesi, bulut depolama alanlarının yanlış yapılandırılması veya fidye yazılımı saldırısı sonucunda hizmetin kesintiye uğraması; birden fazla müşterinin operasyonlarını aynı anda etkileyebilir.

Bu tür olayların sonuçları birkaç başlıkta değerlendirilmelidir:

• Kişisel veri koruma yükümlülükleri: Şirketin veri sorumlusu veya veri işleyen olarak konumuna, işlenen verinin niteliğine ve gerçekleşen olayın koşullarına bağlı olarak KVKK ve ilgili durumlarda GDPR kapsamındaki yükümlülükler gündeme gelebilir. İhlal bildirimi, ilgili kişilerin bilgilendirilmesi, güvenlik tedbirleri ve idari yaptırımların değerlendirilmesi somut olayın koşullarına göre yapılır. ISO 27001 belgesi bu yükümlülükleri ortadan kaldırmaz ve tek başına mevzuata tam uyum kanıtı sayılmaz.
• SLA ve sözleşme ihlalleri: Kurumsal müşterilerle yapılan sözleşmelerde hizmet erişilebilirliği, veri güvenliği, olay bildirimi, yedekleme ve kurtarma süreleri gibi hükümler bulunabilir. Bir güvenlik olayı veya uzun süreli hizmet kesintisi, sözleşmedeki taahhütlerin ihlal edilmesine ve tazminat taleplerine yol açabilir.
• Fidye yazılımı ve operasyon kesintisi: Kaynak kod depolarının, geliştirme altyapısının veya müşteri sistemlerinin etkilenmesi; ürün geliştirme faaliyetlerini durdurabilir. Yedeklerin de saldırıdan etkilenmesi durumunda veri ve hizmet kurtarma süresi uzayabilir.
• İtibar ve müşteri kaybı: Özellikle B2B SaaS modelinde müşteri güveni, sözleşme yenileme ve uzun vadeli gelir açısından kritik önemdedir. Güvenlik olayının ardından müşterilerin tedarikçi değerlendirmesini yeniden yapması veya hizmeti sonlandırması mümkündür.

ISO 27001 kapsamında olay yönetimi, iş sürekliliği, yedekleme, erişim kontrolü ve tedarikçi güvenliği gibi konuların ele alınması, bu risklerin yönetilmesine katkıda bulunur. Bununla birlikte hiçbir yönetim sistemi siber saldırıların gerçekleşmeyeceğini garanti etmez. Esas hedef, riskleri kabul edilebilir seviyeye indirmek, olayları zamanında tespit etmek ve etkilerini kontrol altında tutmaktır.

Yatırım ve Şirket Değerlemesi Açısından Riskler

Teknoloji girişimleri için bilgi güvenliği, yalnızca müşteri kazanımı sırasında değerlendirilen bir konu değildir. Yatırım turları, şirket satın almaları, birleşmeler ve stratejik ortaklıklar öncesinde yürütülen teknik incelemelerde de önemli bir değerlendirme alanıdır.

Tech Due Diligence sürecinde yatırımcılar veya potansiyel alıcılar; yazılım mimarisini, kaynak kod yönetimini, üçüncü taraf bağımlılıklarını, bulut altyapısını, veri koruma uygulamalarını ve güvenlik açıklarının yönetimini inceleyebilir.

Bu incelemelerde karşılaşılabilecek zayıflıklar şunlardır:

• Bilgi varlıklarının ve veri akışlarının tanımlanmamış olması.
• Kaynak kod depolarında erişim yetkilerinin kontrol edilmemesi.
• Kritik güvenlik açıklarının kayıt altına alınmaması veya kapatılmaması.
• Üretim verilerinin test ortamlarında kontrolsüz kullanılması.
• Yedekleme ve geri yükleme testlerinin yapılmaması.
• Alt yüklenici ve bulut hizmet sağlayıcılarının güvenlik değerlendirmelerinin bulunmaması.
• Veri ihlali ve iş sürekliliği senaryolarının tanımlanmamış olması.

Bu eksiklikler, yatırımcının şirketin teknoloji altyapısına ilişkin risk algısını yükseltebilir. Gerekli kontrollerin kurulması için ek yatırım ve zaman ihtiyacı ortaya çıkabilir. Bazı durumlarda yatırım koşullarına güvenlik iyileştirme yükümlülükleri eklenebilir veya işlem ertelenebilir.

ISO 27001 belgesi, yatırımcı incelemesinde tek başına olumlu değerleme garantisi değildir. Ancak bilgi güvenliği yönetiminin kişilere bağlı olmayan, tanımlı ve denetlenebilir bir yapıya kavuştuğunu göstermesi açısından önemli bir kurumsal olgunluk göstergesidir.

Yazılım Sektöründe ISO 27001 ve Tamamlayıcı Standartlar

ISO 27001, kuruluşun bilgi güvenliği yönetim sistemini kurması, sürdürmesi ve sürekli iyileştirmesi için temel çerçeveyi sağlar. Ancak bulut hizmetleri, kişisel veri işleme ve uygulama güvenliği gibi özel alanlarda ek standartlar ve güvence modelleri de değerlendirilebilir.

Bu yapıların seçimi, şirketin hizmet modeline, müşteri kitlesine, veri işleme faaliyetlerine ve faaliyet gösterdiği pazarlara göre yapılmalıdır.

ISO 27017 – Bulut Hizmetleri İçin Bilgi Güvenliği Kontrolleri

ISO/IEC 27017, bulut hizmet sağlayıcıları ve bulut hizmet müşterileri açısından bilgi güvenliği kontrollerine yönelik rehberlik sunar. Bulut ortamlarında sorumlulukların belirlenmesi, sanal ortamların korunması, bulut yönetim faaliyetleri ve hizmet sağlayıcı ile müşteri arasındaki güvenlik yükümlülüklerinin ele alınması açısından önemlidir.

AWS, Microsoft Azure veya Google Cloud gibi platformlarda hizmet sunan SaaS şirketleri için bulut altyapısının güvenliğini değerlendirmek tek başına yeterli değildir. Bulut kaynaklarının yapılandırılması, kimlik ve erişim yönetimi, ağ güvenliği, günlük kayıtları, veri saklama ve hizmetten ayrılma süreçleri de kontrol edilmelidir.

ISO 27017, ISO 27001'in yerine geçen bir yönetim sistemi standardı olarak değerlendirilmemelidir. ISO 27001 kapsamındaki BGYS'yi bulut hizmetlerine özgü kontrol beklentileriyle destekleyen tamamlayıcı bir referanstır.

ISO 27018 – Bulutta Kişisel Veri Koruması

ISO/IEC 27018, kamuya açık bulut ortamlarında kişisel verilerin korunmasına yönelik kontrolleri ele alır. Özellikle bulut hizmet sağlayıcısının kişisel verileri müşteri adına işlediği senaryolarda veri işleme, erişim, saklama ve silme uygulamalarının değerlendirilmesine katkıda bulunur.

SaaS şirketleri açısından kişisel verilerin hangi ülkelerde saklandığı, kimlerin erişebildiği, alt işleyenlerin nasıl yönetildiği ve sözleşme sona erdiğinde verilerin nasıl ele alındığı önemli konulardır.

ISO 27018'in uygulanması, GDPR veya KVKK kapsamındaki tüm yükümlülüklerin otomatik olarak yerine getirildiği anlamına gelmez. Hukuki yükümlülükler ayrıca değerlendirilmelidir. Standart, bulut ortamındaki kişisel veri koruma kontrollerinin sistematik biçimde ele alınmasına yardımcı olur.

ISO/IEC 27034 – Uygulama Güvenliği

ISO/IEC 27034, uygulama güvenliğinin kuruluşun süreçlerine ve yönetim yapısına entegre edilmesini ele alır. Yazılım geliştiren şirketlerde güvenlik gereksinimlerinin belirlenmesi, uygulama güvenliği kontrollerinin tanımlanması ve geliştirme faaliyetlerinin güvenlik bakış açısıyla yönetilmesi açısından tamamlayıcıdır.

ISO 27001 kuruluş genelindeki bilgi güvenliği yönetim sistemini ve risk temelli kontrol yaklaşımını oluştururken ISO/IEC 27034 uygulama güvenliğine daha özel bir odak sunar.

Özellikle çok sayıda müşteri uygulaması geliştiren, farklı entegrasyonlar sunan veya kritik iş süreçlerini yöneten yazılım şirketleri için uygulama güvenliği kontrollerinin kurumsal süreçlere bağlanması önem taşır.

SOC 2 – ABD Pazarı İçin Güvence Raporlaması

ABD pazarına hizmet veren SaaS şirketleri, müşterilerinden SOC 2 raporu talebiyle karşılaşabilir. SOC 2, AICPA'nın Trust Services Criteria çerçevesi kapsamında hizmet kuruluşlarının belirli güven ve kontrol kriterlerine ilişkin bağımsız incelemesini içeren bir raporlama yaklaşımıdır.

SOC 2 ile ISO 27001 aynı belge veya denetim modeli değildir. ISO 27001, sertifikalandırılabilen bir yönetim sistemi standardıdır. SOC 2 ise belirli kontrol kriterleri kapsamında hazırlanan bir güvence raporudur. SOC 2 Type I, kontrollerin belirli bir tarihteki tasarımına; Type II ise belirli bir dönem boyunca kontrollerin tasarımına ve işleyişine odaklanır.

ABD'deki kurumsal müşterilerle çalışan SaaS şirketleri, müşteri taleplerine göre ISO 27001 belgesini SOC 2 raporlamasıyla birlikte değerlendirebilir. Bu iki yapının ortak kontrol alanları bulunmakla birlikte biri diğerinin otomatik karşılığı değildir.

Bu konuda daha kapsamlı değerlendirme için SaaS şirketleri için SOC 2 ve bilgi güvenliği içeriği incelenebilir.

Vertacert ile Yazılım ve Teknoloji Şirketleri İçin ISO 27001 Belgelendirme

Yazılım şirketlerinde BGYS kapsamının doğru belirlenmesi, belgelendirme çalışmalarının en kritik aşamalarından biridir. Şirketin yalnızca idari faaliyetlerinin değil; yazılım geliştirme süreçlerinin, kaynak kod depolarının, bulut altyapısının, müşteri verilerinin, teknik destek faaliyetlerinin ve dış hizmet ilişkilerinin de risk temelli olarak değerlendirilmesi gerekir.

Vertacert, yazılım evlerinin, SaaS girişimlerinin ve teknoloji şirketlerinin bulut mimarilerini, yazılım geliştirme süreçlerini ve bilgi varlıklarını uluslararası ISO/IEC 27001:2022 standartlarına göre bağımsız olarak denetler ve belgelendirir. Kurumsal müşteri portföyünüzü genişletmek, kaynak kod güvenliğinizi tescillemek ve küresel pazarlarda rekabet avantajı kazanmak için uzman başdenetçi kadromuzla yanınızdayız.

Belgelendirme kapsamının oluşturulmasında şirketin faaliyetleri, hizmet modeli, lokasyonları, bilgi varlıkları ve dış kaynak kullanımı dikkate alınmalıdır. Örneğin yalnızca yazılım geliştirme hizmeti veren bir şirket ile müşterilerine çok kiracılı (multi-tenant) SaaS platformu sunan bir kuruluşun risk profili aynı değildir. Bu nedenle standart maddelerinin genel ifadelerle karşılanması yerine gerçek operasyonların ve güvenlik kontrollerinin değerlendirilmesi gerekir.

ISO 27001 belgelendirme süreci hakkında bilgi almak ve kuruluşunuzun faaliyetlerine uygun kapsamı değerlendirmek için ISO 27001 Bilgi Güvenliği Yönetim Sistemi belgelendirme sayfasını ziyaret edebilirsiniz.

Sıkça Sorulan Sorular