SEKTÖREL BELGELENDİRME VE UYGUNLUK

Bilgi Teknolojileri, Yazılım ve Telekomünikasyon
için Belgelendirme

Hizmet kataloğu, bilgi varlıkları, bulut ve tedarikçi bağımlılıkları ile kritik hizmetleri ISO 27001, ISO 20000-1 ve iş sürekliliği çerçevesinde ele alır.

Öncelikli belge ve uygunluk yolları Kapsamınızı paylaşın

SEKTÖREL BELGELENDİRME VE UYGUNLUK

Öncelikli belge ve uygunluk yolları

Aşağıdaki eşleşmeler başlangıç rehberidir. Nihai kapsam; ürün, proses, tesis, müşteri şartı ve hedef pazara göre doğrulanır.

Sık karşılaşılan ihtiyaçlar

01ISO/IEC 27001 Bilgi Güvenliği 02ISO/IEC 20000-1 BT Hizmet Yönetimi 03ISO 22301 İş Sürekliliği 04ISO 9001 Kalite Yönetim Sistemi

Faaliyete ve ürüne göre değerlendirilenler

01ISO 10002 Müşteri Memnuniyeti 02ISO 37001 Rüşvetle Mücadele

SEKTÖREL REHBER

BT, yazılım ve telekom hizmetlerinde ISO kapsamı nasıl belirlenir?

Teknoloji şirketinde doğru kapsam sunucu listesinden başlamaz; müşteriye verilen hizmet, hizmet seviyesi, veri akışı ve bağımlı tedarikçiler önce tanımlanır.

Hizmet kataloğu ile bilgi güvenliği sınırını eşleştirin

Yazılım geliştirme, SaaS, veri merkezi, yönetilen hizmet, telekom altyapısı veya teknik destek faaliyetlerinin müşteriye sunduğu çıktı farklıdır. Kapsam; şirket birimleri, lokasyonlar, ürünler, bulut ortamları, geliştirme ve operasyon ekipleri ile dış kaynakları içerir. ISO/IEC 27001 bilgi güvenliği risklerini yönetir. Sertifika kapsamının yalnız genel şirket adını taşıması yeterli değildir; müşterinin kullandığı hizmet, ilgili süreçler ve tesisler belgedeki ifadeyle gerçekten örtüşmelidir.

Bilgi varlıkları kod deposu, müşteri verisi, üretim ortamı, kimlikler, ağ yapılandırması, yedekler, sözleşmeler ve personel bilgilerini kapsar. Sahiplik, sınıflandırma, erişim, saklama ve imha kuralları veri yaşam döngüsüne göre belirlenir. Risk değerlendirmesi hazır bir tehdit listesini puanlamak yerine varlık, iş etkisi, mevcut kontrol ve gerçek tehdit senaryolarıyla yürütülür. Uygulanabilirlik Bildirgesi seçilen kontrolleri risk işleme kararlarıyla bağlar ve güncel uygulamayı yansıtmalıdır.

ISO 20000-1 ile hizmet yönetimini ölçülebilir kılın

ISO/IEC 20000-1 hizmet yönetim sistemi; hizmet portföyü, seviye yönetimi, talep-kapasite, olay, problem, değişiklik, konfigürasyon, tedarikçi ve hizmet raporlama süreçlerini bütünleştirir. ISO 27001 ile ortak kontrolleri bulunur fakat aynı amaçta değildir. Güvenli bir sistem kötü hizmet yönetilebilir; iyi çalışan bir destek süreci de yeterli bilgi güvenliği olmadan risklidir. Entegre yapıda ortak politika ve denetim kullanılabilir, ancak her standardın beklediği sonuç ve ölçüm korunur.

SLA yalnız yüzde kullanılabilirlik hedefinden oluşmaz. Ölçüm kaynağı, planlı kesinti, destek saatleri, öncelik tanımı, yanıt ve çözüm süresi, veri kalitesi ve rapor inceleme yöntemi açıklanır. Olay kayıtlarının kapatma hızını artırmak için yanlış sınıflandırılması gerçek performansı bozar. Problem yönetimi tekrar eden olayların kök nedenine, değişiklik yönetimi ise risk, test, onay, geri dönüş ve sonuç değerlendirmesine odaklanır. DevOps hızını korurken görev ayrılığı ve izlenebilirlik risk bazlı kurulabilir.

Bulut tedarikçileri ve iş sürekliliğini gerçek senaryolarla test edin

Bulut hizmeti kullanmak güvenlik ve süreklilik sorumluluğunu tamamen sağlayıcıya devretmez. Paylaşılan sorumluluk modeli, veri konumu, alt işleyenler, olay bildirimi, yedekleme, şifreleme, log erişimi, denetim hakkı ve hizmetten çıkış koşulları sözleşmeyle netleşir. Tedarikçi sertifikası değerli bir kanıttır; ancak kuruluşun kendi yapılandırma hatası, erişim yönetimi veya veri kullanım risklerini otomatik kapatmaz. Kritik tedarikçiler performans ve değişiklik açısından izlenmelidir.

ISO 22301 iş etki analiziyle kritik hizmetleri, kabul edilebilir kesinti süresini ve kaynak bağımlılıklarını belirler. Bölge kesintisi, kimlik sağlayıcı arızası, fidye yazılımı, telekom kaybı, personel erişimsizliği veya hatalı dağıtım gibi senaryolar masa başı tartışmayla sınırlı kalmamalıdır. Yedek geri dönüşü, alternatif iletişim ve müşteri bilgilendirmesi ölçülür. Tatbikat sonuçları mimari, kapasite, sözleşme ve prosedür değişikliğine dönüştüğünde sertifika hedefi yaşayan bir hizmet dayanıklılığına dönüşür.

İLK KAPSAM ANALİZİ

Doğru belgeyi seçmeden önce neyi netleştiriyoruz?

Yanlış veya gereksiz bir sertifika yoluna girmemek için kuruluşun gerçek rolü ve hedefi önce tanımlanır.

Sunulan BT hizmetleri ve SLA yapısı

Bilgi varlıkları ve veri sınıfları

Bulut, veri merkezi ve tedarikçiler

Kritik hizmetlerin süreklilik hedefleri

KAYRA İLE SEKTÖREL YOL HARİTASI

Dört adımda uygulanabilir kapsam

Sektör adı tek başına karar vermez; kanıt, mevzuat ve ticari gereklilik birlikte değerlendirilir.

Faaliyeti tanımlayın

Ürün, hizmet, tesis, proses ve kuruluş rolünü netleştirin.

Şartı doğrulayın

Mevzuat, müşteri, ihale ve pazar beklentilerini ayırın.

Boşluğu ölçün

Mevcut kayıt, teknik dosya ve uygulamaları gerekliliklerle karşılaştırın.

Yolu planlayın

Hazırlık, test, denetim, başvuru ve sürdürme adımlarını sıralayın.

SEKTÖRÜNÜZÜ UZMANA ANLATIN

Belge adından değil, gerçek ihtiyacınızdan başlayalım.

Ürününüzü, faaliyet alanınızı ve hedef pazarınızı paylaşın; uygulanabilir kapsamı birlikte netleştirelim.

Kapsamınızı paylaşın Bize ulaşın

Bilgi Teknolojileri, Yazılım ve Telekomünikasyon

Canlı Destek

Bilgi Teknolojileri, Yazılım ve Telekomünikasyon için Belgelendirme