Diller
İletişim Bilgilerimiz
Bizi Takip Edin

ISO 27017 Sertifikası Bulut hizmetlerinde bilgi güvenliği

ISO 27017 Sertifikası Bulut hizmetlerinde bilgi güvenliği ile alakalı belgelendirme talepleriniz için Ekol Belgelendirme firmamıza hemen site üzerinden ulaşabilirsiniz. 

ISO 27017 Sertifikası: Bulut Hizmetlerinde Bilgi Güvenliği Standardı

Dijital dönüşümün hızlanmasıyla birlikte şirketlerin bilgi teknolojileri altyapıları geleneksel veri merkezlerinden bulut tabanlı sistemlere doğru önemli ölçüde değişmiştir. Dosya depolama sistemlerinden kurumsal uygulamalara, müşteri yönetim yazılımlarından yedekleme altyapılarına kadar birçok kritik süreç artık bulut hizmetleri üzerinden yürütülmektedir. Bu dönüşüm işletmelere ölçeklenebilirlik, erişilebilirlik ve operasyonel esneklik sağlarken bilgi güvenliği açısından yeni sorumlulukları da beraberinde getirmektedir. Bu noktada ISO 27017 Sertifikası ve ISO/IEC 27017 standardının sunduğu bulut güvenliği yaklaşımı önem kazanmaktadır.

ISO/IEC 27017, bulut hizmetlerinde bilgi güvenliği kontrollerinin uygulanmasına yönelik uluslararası bir standarttır. ISO/IEC 27002 üzerinde yapılandırılan standart, mevcut bilgi güvenliği kontrollerinin bulut ortamlarında nasıl uygulanabileceğine ilişkin ek rehberlik sağlar ve bulut hizmetlerine özgü güvenlik konularını ele alan ek kontroller içerir.

2026 yılında yayımlanan güncel ISO/IEC 27017:2026, hem bulut hizmeti sağlayıcılarının hem de bulut hizmeti müşterilerinin karşılaştığı güvenlik risklerine odaklanmaktadır. Bu yaklaşımın temelinde bulut sistemlerinde sorumlulukların çoğu zaman müşteri ile hizmet sağlayıcı arasında paylaşılması gerçeği bulunmaktadır.

Bulutta hangi tarafın hangi güvenlik tedbirinden sorumlu olduğu açık şekilde belirlenmediğinde yetkilendirme, veri yönetimi, sistem değişiklikleri, izleme, yapılandırma ve operasyonel güvenlik gibi alanlarda önemli boşluklar oluşabilir. ISO 27017 bulut güvenliği standardı, bu tür belirsizliklerin sistematik şekilde yönetilmesini destekleyen bir çerçeve sunmaktadır.

Ekol Belgelendirme kapsamında ISO 27017 belgelendirme süreci hakkında araştırma yapan kuruluşların öncelikle standardın kapsamını, mevcut bilgi güvenliği yönetim sistemleriyle ilişkisini ve bulut hizmetlerindeki rollerini doğru anlamaları önemlidir.

ISO 27017 Nedir?

ISO 27017 nedir? sorusu özellikle bulut altyapısı kullanan veya müşterilerine SaaS, PaaS ya da IaaS gibi bulut hizmetleri sağlayan şirketler tarafından sıklıkla araştırılmaktadır.

ISO/IEC 27017, bilgi güvenliği kontrollerinin bulut hizmetlerine uyarlanmasına yönelik rehberlik sağlayan uluslararası standarttır. Standardın amacı yalnızca teknik güvenlik önlemlerini artırmak değildir. Bulut hizmetinin satın alınmasından yapılandırılmasına, işletilmesinden sonlandırılmasına kadar bütün yaşam döngüsünde sorumlulukların ve kontrollerin daha açık hale getirilmesini hedefler.

Bir kuruluş fiziksel sunucularını kendi veri merkezinde yönetirken altyapı üzerindeki kontrolünün büyük bölümünü doğrudan elinde tutabilir. Bulut ortamına geçildiğinde ise fiziksel altyapı, sanallaştırma katmanı, ağ bileşenleri veya platform hizmetlerinin bazı bölümleri üçüncü taraf sağlayıcı tarafından yönetilebilir.

Böyle bir ortamda güvenlik sorumluluğunun yalnızca bulut sağlayıcısına bırakılması doğru değildir. Aynı şekilde bütün sorumlulukların müşteriye ait olduğu varsayımı da hatalı olabilir.

ISO/IEC 27017, bulut müşterisi ve bulut hizmet sağlayıcısı rollerinin daha açık biçimde değerlendirilmesine yardımcı olur.

ISO/IEC 27017:2026 ile Bulut Güvenliğinde Güncel Yaklaşım

ISO/IEC 27017 standardının güncel sürümü ISO/IEC 27017:2026 olarak yayımlanmıştır. Önceki ISO/IEC 27017:2015 sürümü yerini yeni baskıya bırakmıştır.

Güncel standart, ISO/IEC 27002 üzerinde yapılandırılan bilgi güvenliği kontrollerini bulut ortamlarına uyarlayan bir yaklaşım benimser. Public cloud, private cloud, hybrid cloud ve multi-cloud gibi farklı bulut modellerinde güvenlik sorumluluklarının daha iyi anlaşılması açısından değerlendirilebilir.

Bu nedenle ISO 27017 sertifikası almak isteyenler güncel standardı ve uygulanacak belgelendirme programının şartlarını dikkate almalıdır.

Özellikle geçmiş yıllarda hazırlanmış dokümantasyonlarda hâlâ ISO/IEC 27017:2015 referansı bulunabilir. Kuruluşların mevcut politika, prosedür, sözleşme ve risk değerlendirmelerini güncel standartla karşılaştırması önemlidir.

ISO 27017 Sertifikası Ne İşe Yarar?

ISO 27017 sertifikası, kuruluşların bulut hizmetleriyle ilişkili bilgi güvenliği uygulamalarını sistematik şekilde ele aldıklarını göstermek amacıyla kullanılan önemli bir güvence aracıdır.

Bulut hizmeti sağlayan teknoloji şirketleri açısından güvenlik, müşterilerin hizmet seçiminde önemli kriterlerden biridir. Kurumsal müşteriler hizmet sağlayıcılarından yalnızca teknik özellikler ve performans bilgileri istememekte; verilerinin nasıl korunduğunu, erişimlerin nasıl yönetildiğini, olayların nasıl takip edildiğini ve tarafların güvenlik sorumluluklarının nasıl belirlendiğini de sorgulamaktadır.

ISO 27017 yaklaşımı sayesinde kuruluşlar;

bulut hizmetlerinde güvenlik sorumluluklarını tanımlayabilir, erişim yönetimini geliştirebilir, sanal ortamların korunmasına yönelik kontroller oluşturabilir, bulut hizmetlerinin izlenmesini sistematik hale getirebilir ve müşteri ile sağlayıcı arasındaki güvenlik yükümlülüklerini daha açık biçimde yönetebilir.

Bu çalışmalar aynı zamanda müşteri güveninin geliştirilmesine ve kurumsal bilgi güvenliği kültürünün güçlendirilmesine katkı sağlayabilir.

Bulut Hizmetlerinde Bilgi Güvenliği Neden Önemlidir?

Bulut hizmetlerinde bilgi güvenliği, yalnızca siber saldırıları önlemek anlamına gelmez.

Bilginin gizliliği, bütünlüğü ve erişilebilirliği bütün bilgi güvenliği çalışmalarının temelini oluşturur. Bulut ortamında bu üç unsurun korunması farklı tarafların koordineli çalışmasını gerektirebilir.

Gizlilik, bilgiye yalnızca yetkili kişilerin erişmesini hedefler. Bütünlük, verilerin yetkisiz veya hatalı biçimde değiştirilmesini önlemeye yöneliktir. Erişilebilirlik ise bilgi ve sistemlerin ihtiyaç duyulduğu anda kullanılabilir olmasını amaçlar.

Bulut sistemlerinde yanlış yapılandırılmış depolama alanları, gereğinden geniş yetkiler, yönetilmeyen kullanıcı hesapları, yetersiz loglama veya belirsiz sorumluluklar güvenlik riskleri oluşturabilir.

ISO 27017 bilgi güvenliği kontrolleri, kuruluşların bu riskleri yalnızca teknik açıdan değil süreç, sorumluluk ve yönetişim açısından da değerlendirmesini destekler.

ISO 27017 Kimler İçin Uygundur?

ISO/IEC 27017’nin önemli özelliklerinden biri hem bulut hizmet sağlayıcılarını hem de bulut hizmet müşterilerini kapsamasıdır.

SaaS hizmeti sağlayan yazılım şirketleri, veri merkezi ve hosting işletmeleri, bulut altyapısı sağlayıcıları, yönetilen hizmet sağlayıcıları, teknoloji şirketleri ve bulut tabanlı platformlar bu standardı değerlendirebilir.

Bunun yanında kendi faaliyetlerinde yoğun biçimde bulut hizmeti kullanan kuruluşlar da standardın kapsamına giren güvenlik yaklaşımlarından faydalanabilir.

Finans, sağlık, üretim, e-ticaret, lojistik, eğitim, telekomünikasyon ve profesyonel hizmetler gibi çok farklı sektörlerde faaliyet gösteren işletmeler bulut servislerinden yararlanmaktadır.

Dolayısıyla ISO 27017 belgesi kimler alabilir? sorusuna yalnızca teknoloji firmaları şeklinde cevap vermek doğru değildir.

Bulut hizmeti sağlayan veya kritik iş süreçlerinde bulut hizmetlerinden yararlanan kuruluşlar için ISO 27017 önemli bir bilgi güvenliği çerçevesi olarak değerlendirilebilir.

Bulut Hizmet Sağlayıcısı ve Bulut Müşterisinin Sorumlulukları

Bulut güvenliğinde en kritik kavramlardan biri paylaşılan sorumluluk modelidir.

Bir bulut hizmetinin güvenliğinden yalnızca hizmet sağlayıcısı veya yalnızca müşteri sorumlu değildir. Sorumluluğun dağılımı kullanılan hizmet modeline göre farklılaşabilir.

Örneğin altyapı hizmeti kullanılan bir modelde müşteri işletim sistemi, uygulamalar ve kullanıcı erişimleri üzerinde daha fazla sorumluluk sahibi olabilir. Daha yönetilen bir yazılım hizmetinde ise altyapı ve uygulama platformunun önemli bölümü hizmet sağlayıcısı tarafından yönetilebilir.

Ancak son kullanıcı yetkilendirmeleri, parola yönetimi, kurumsal hesapların yaşam döngüsü veya hizmetin şirket içerisinde nasıl kullanıldığı gibi konular müşteri tarafında kalabilir.

ISO 27017 standardı, bu sorumlulukların daha açık şekilde tanımlanmasını destekler.

Belirsiz sorumluluk alanlarının azaltılması güvenlik olaylarının önlenmesi açısından son derece önemlidir.

ISO 27017 ve ISO 27001 Arasındaki Fark Nedir?

ISO 27017 ve ISO 27001 arasındaki fark, bu konuda en çok araştırılan başlıklardan biridir.

ISO/IEC 27001, bilgi güvenliği yönetim sistemine ilişkin gereklilikleri tanımlayan temel yönetim sistemi standardıdır. Kuruluşların bilgi güvenliği risklerini belirlemesi, değerlendirmesi, uygun kontrolleri uygulaması ve yönetim sistemini sürekli geliştirmesi için çerçeve sağlar.

ISO/IEC 27017 ise özellikle bulut hizmetlerinde kullanılan bilgi güvenliği kontrollerine odaklanmaktadır.

Başka bir ifadeyle ISO 27001 genel bilgi güvenliği yönetim sisteminin temelini oluştururken ISO 27017 bu yapıyı bulut hizmetlerine özgü güvenlik konularıyla derinleştirir.

Bu nedenle ISO 27017 uygulamalarının ISO/IEC 27001 ile birlikte değerlendirilmesi güçlü bir bilgi güvenliği yaklaşımı oluşturabilir.

Belgelendirme programına bağlı olarak ISO 27017 belgelendirmesi, kuruluşun mevcut ISO/IEC 27001 bilgi güvenliği yönetim sistemiyle ilişkili biçimde değerlendirilebilir.

ISO 27017 ile ISO 27018 Arasındaki Fark

ISO 27017 ve ISO 27018 farkı da sık sorulan konular arasındadır.

ISO 27017, genel olarak bulut hizmetlerinde bilgi güvenliği kontrollerine odaklanır. Hem bulut hizmet müşterilerini hem de hizmet sağlayıcılarını ilgilendiren geniş bir güvenlik yaklaşımı sunar.

ISO/IEC 27018 ise özellikle halka açık bulut ortamlarında kişisel olarak tanımlanabilir bilgilerin korunmasına yönelik rehberlik sunmaktadır.

Bu nedenle iki standardın amaçları birbirine yakın görünse de odak noktaları farklıdır.

Bir kuruluş hem genel bulut güvenliği kontrollerini hem de kişisel verilerin korunmasına ilişkin daha özel gereksinimleri değerlendirmek istiyorsa ilgili standartları birlikte ele alabilir.

ISO 27017 Bulut Güvenliği Kontrolleri

ISO 27017 kontrolleri, klasik bilgi güvenliği yönetimi ile bulut hizmetlerine özgü risklerin birlikte ele alınmasını amaçlar.

Kontrollerin uygulanmasında kuruluşun bulut hizmetindeki rolü önemlidir. Bulut sağlayıcısına uygulanacak bir kontrol ile aynı hizmeti kullanan müşteriye düşen sorumluluk aynı olmayabilir.

Bu nedenle kuruluşların öncelikle hangi servislerde hizmet sağlayıcısı, hangi servislerde müşteri olduğunu belirlemesi gerekir.

Bazı şirketler iki rolü aynı anda taşıyabilir. Örneğin bir yazılım şirketi kendi müşterilerine SaaS hizmeti sunarken altyapısını başka bir büyük bulut sağlayıcısından satın alabilir.

Bu durumda şirket bir taraftan bulut hizmet sağlayıcısı, diğer taraftan bulut hizmet müşterisi konumunda olacaktır.

ISO 27017 yaklaşımının güçlü yanlarından biri bu karmaşık hizmet ilişkilerinin güvenlik açısından daha görünür hale getirilmesidir.

Bulut Hizmetlerinde Rol ve Sorumlulukların Belirlenmesi

Bilgi güvenliği sorunlarının önemli bölümü kontrolün bulunmamasından değil, kontrolün kim tarafından gerçekleştirileceğinin açık olmamasından kaynaklanabilir.

Bu nedenle bulut güvenliği sorumluluk matrisi oluşturmak kuruluşlar açısından önemli bir uygulamadır.

Kim kullanıcı hesabı açıyor?

Kim erişim yetkilerini onaylıyor?

Kim logları inceliyor?

Kim güvenlik olaylarını müşteriye bildiriyor?

Yedekleme hangi tarafın sorumluluğunda?

Bulut hizmeti sona erdiğinde müşteri verileri nasıl siliniyor?

Sanal sistemlerdeki güvenlik açıklarının giderilmesinden kim sorumlu?

Bu soruların cevaplarının sözleşmelerde, prosedürlerde ve operasyonel uygulamalarda net olması gerekir.

ISO 27017 bu noktada bulut güvenliği yönetiminin yalnızca teknik ekiplerin görevi olmadığını gösterir.

Bulut Hizmeti Sözleşmelerinde Bilgi Güvenliği

Bulut hizmeti sözleşmesi hazırlanırken hizmet seviyesi kadar güvenlik yükümlülüklerinin de açık biçimde tanımlanması önemlidir.

Hizmetin nerede ve nasıl sunulduğu, tarafların sorumlulukları, güvenlik olaylarının bildirimi, verilerin geri alınması, hizmet sona erdiğinde veri imhası, loglama ve erişim yönetimi gibi konular sözleşme sürecinde değerlendirilebilir.

Bulut hizmeti müşterisinin satın alma aşamasında güvenlik gereksinimlerini tanımlamaması ilerleyen dönemlerde ciddi belirsizliklere neden olabilir.

Bu nedenle ISO 27017 uyumluluğu yalnızca bilgi işlem departmanının yürüttüğü teknik bir proje olmamalıdır.

Bilgi güvenliği, hukuk, satın alma, operasyon, insan kaynakları ve ilgili iş birimlerinin sürece gerektiği ölçüde dahil edilmesi daha bütüncül bir yaklaşım sağlar.

Sanal Ortam Güvenliği

Bulut bilişimin temel teknolojilerinden biri sanallaştırmadır.

Tek fiziksel altyapı üzerinde birden fazla sanal sistemin çalıştırılması kaynakların daha verimli kullanılmasını sağlayabilir. Ancak bu yapı güvenlik açısından izolasyonun doğru şekilde yönetilmesini gerektirir.

Sanal ortam güvenliği, bir müşteriye ait iş yükünün veya verinin başka müşterilerden uygun şekilde ayrıştırılmasını, sanal makinelerin yönetilmesini ve yönetim arayüzlerine erişimin sınırlandırılmasını içerir.

Sanal makinelerin gereksiz biçimde açık bırakılması, güncel olmayan imajların kullanılması veya test sistemlerinin kontrolsüz şekilde devreye alınması güvenlik riskleri oluşturabilir.

ISO 27017 yaklaşımı, bulut altyapısında sanal sistemlerin yaşam döngüsünün kontrollü şekilde yönetilmesini destekler.

Bulut Ortamında Erişim Kontrolü

Bulut erişim güvenliği, bilgi güvenliğinin temel alanlarından biridir.

Bulut sistemleri internet üzerinden erişilebilir yapıda olduğu için kimlik doğrulama ve yetkilendirme süreçlerinin güçlü şekilde yönetilmesi gerekir.

Her kullanıcı yalnızca görevi için gerekli sistemlere ve verilere erişebilmelidir. Gereksiz yetkilerin verilmesi riskleri artırabilir.

Çalışanların görev değiştirmesi veya şirketten ayrılması durumunda erişim yetkileri hızlı şekilde güncellenmelidir.

Yönetici hesapları normal kullanıcı hesaplarından daha yüksek risk taşır. Bu nedenle ayrıcalıklı hesapların kontrolü, izlenmesi ve gerektiğinde ek güvenlik önlemleriyle korunması önemlidir.

Çok faktörlü kimlik doğrulama, uygun sistemlerde erişim güvenliğini geliştiren yöntemlerden biri olarak değerlendirilebilir.

Bulut Yapılandırma Güvenliği

Bulut güvenliği ihlallerinin önemli nedenlerinden biri hatalı yapılandırmalardır.

Bir depolama alanının yanlışlıkla herkesin erişimine açılması, güvenlik grubunun gereğinden geniş tanımlanması veya yönetim servislerinin internet üzerinden kontrolsüz erişilebilir olması önemli riskler yaratabilir.

Bu nedenle bulut yapılandırma yönetimi kuruluşların güvenlik programlarının önemli bir parçası olmalıdır.

Standart yapılandırmalar oluşturulabilir, değişiklikler yetkilendirme süreçlerinden geçirilebilir ve kritik ayarlar periyodik olarak kontrol edilebilir.

Otomasyon araçlarının kullanıldığı ortamlarda yapılandırmaların kod olarak yönetilmesi de güvenlik süreçlerinin daha tutarlı hale gelmesine yardımcı olabilir.

Bulut Sistemlerinde Loglama ve İzleme

Bir güvenlik olayının gerçekleştiğinin anlaşılabilmesi için yeterli kayıtların bulunması gerekir.

Bulut log yönetimi, kullanıcı girişleri, yönetici işlemleri, güvenlik ayarı değişiklikleri, veri erişimleri ve kritik sistem olayları gibi faaliyetlerin uygun biçimde kayıt altına alınmasını içerir.

Logların yalnızca toplanması yeterli değildir. Yetkisiz değişikliklere karşı korunması, uygun süre boyunca saklanması ve gerektiğinde analiz edilebilmesi gerekir.

Hangi logların müşteri tarafından görülebileceği ve hangi kayıtların sağlayıcı tarafından tutulduğu da hizmet modeline göre değişebilir.

Bu nedenle loglama sorumluluklarının sözleşmelerde ve güvenlik prosedürlerinde açık şekilde tanımlanması önemlidir.

Bulut Hizmetlerinde Güvenlik Olayı Yönetimi

Hiçbir bilgi sistemi tamamen risksiz değildir. Bu nedenle kuruluşların yalnızca olayları önlemeye değil, olay gerçekleştiğinde ne yapacaklarına da hazırlıklı olması gerekir.

Bulut güvenlik olayı yönetimi, geleneksel sistemlere göre daha karmaşık olabilir. Çünkü olayın araştırılması için gerekli bazı loglar veya altyapı bilgileri bulut hizmet sağlayıcısının kontrolünde olabilir.

Müşteri ile sağlayıcı arasındaki iletişim kanalları önceden belirlenmelidir.

Olay kime bildirilecek?

Ne kadar sürede yanıt verilecek?

Hangi kayıtlar paylaşılabilecek?

Adli inceleme gerekiyorsa hangi prosedür uygulanacak?

Hizmet kesintisinde müşteriye nasıl bilgi verilecek?

Bu soruların olay meydana gelmeden önce cevaplanması gerekir.

Bulut Verilerinin Silinmesi ve Hizmetin Sonlandırılması

Bulut hizmetlerinde sık gözden kaçan konulardan biri hizmet ilişkisinin sona ermesidir.

Bir şirket sağlayıcı değiştirdiğinde veya belirli bir bulut hizmetini kullanmayı bıraktığında verilerin ne olacağı açık şekilde belirlenmelidir.

Buluttan veri silme, yalnızca kullanıcının dosyayı silmesi anlamına gelmeyebilir. Yedekler, replikalar, geçici kopyalar ve farklı sistemlerde bulunan kayıtlar da değerlendirilmelidir.

Kuruluşların hizmet sözleşmelerinde veri iadesi, veri taşınabilirliği ve güvenli silme koşullarını dikkate alması önemlidir.

Bu yaklaşım hem bilgi güvenliği hem de hizmet sağlayıcısı bağımlılığı risklerinin yönetilmesine katkı sağlar.

ISO 27017 Risk Değerlendirmesi Nasıl Yapılır?

ISO 27017 risk değerlendirmesi, kuruluşun genel bilgi güvenliği risk yönetimi sürecinin bulut ortamlarını kapsayacak şekilde genişletilmesini gerektirir.

İlk olarak kullanılan bütün bulut hizmetleri belirlenmelidir.

Resmi olarak satın alınmış kurumsal servislerin yanı sıra çalışanların kendi inisiyatifleriyle kullandığı ve kuruluş tarafından yönetilmeyen bulut servisleri de risk oluşturabilir.

Ardından hangi bilgilerin hangi bulut ortamlarında işlendiği değerlendirilmelidir.

Kritik ticari bilgiler, müşteri verileri, çalışan bilgileri, fikri mülkiyet ve operasyonel kayıtlar farklı koruma seviyelerine ihtiyaç duyabilir.

Risk değerlendirmesinde tehditler, güvenlik açıkları, mevcut kontroller ve olası etkiler birlikte değerlendirilerek gerekli iyileştirmeler planlanabilir.

ISO 27017 Belgelendirme Süreci

ISO 27017 belgelendirme süreci kuruluşun mevcut bilgi güvenliği yapısına, bulut servislerinin kapsamına ve uygulanacak belgelendirme programına göre değişebilir.

İlk aşamada kapsamın doğru belirlenmesi önemlidir. Hangi bulut hizmetleri, hangi lokasyonlar, hangi sistemler ve hangi organizasyonel birimler değerlendirmeye dahil edilecektir?

Ardından mevcut durum analizi yapılabilir.

Kuruluşun mevcut politika ve prosedürlerinin standardın beklentileriyle ne kadar uyumlu olduğu değerlendirilir. Eksik alanlar belirlendikten sonra aksiyon planı hazırlanabilir.

Risk değerlendirmelerinin güncellenmesi, sorumlulukların tanımlanması, bulut hizmeti sözleşmelerinin gözden geçirilmesi, erişim kontrollerinin düzenlenmesi ve gerekli dokümantasyonun oluşturulması bu süreçte ele alınabilecek başlıklardır.

Uygulamalar tamamlandıktan sonra iç denetim ve yönetim değerlendirmesi gibi süreçlerle sistemin etkinliği kontrol edilebilir.

Belgelendirme aşamasında ise kuruluşun uygulanabilir program şartlarını sağladığının bağımsız değerlendirmeyle doğrulanması amaçlanır.

ISO 27017 İçin Hangi Dokümanlar Hazırlanmalıdır?

ISO 27017 dokümanları kuruluşun kapsamına göre değişebilir.

Bulut güvenliği politikası, risk değerlendirmesi, görev ve sorumluluk tanımları, erişim kontrol prosedürleri, olay yönetimi süreçleri, değişiklik yönetimi kayıtları ve bulut hizmeti sözleşmeleri önemli dokümanlar arasında değerlendirilebilir.

Ayrıca hizmet envanteri oluşturulması son derece yararlıdır.

Kuruluş hangi bulut servislerini kullanıyor?

Bu servislerde hangi veriler tutuluyor?

Servisin sahibi hangi departman?

Bulut sağlayıcısı kim?

Kritiklik seviyesi nedir?

Hangi güvenlik kontrolleri uygulanıyor?

Bu bilgilerin merkezi bir envanterde izlenmesi bilgi güvenliği yönetimini önemli ölçüde kolaylaştırabilir.

ISO 27017 Gap Analizi Nedir?

ISO 27017 gap analizi, mevcut uygulamalar ile standardın beklentileri arasındaki farkların belirlenmesi amacıyla gerçekleştirilen değerlendirmedir.

Gap analizi sırasında yalnızca dokümanların bulunup bulunmadığına bakılması yeterli değildir.

Politikada yazılı bir erişim kontrol kuralının sistem üzerinde gerçekten uygulanıp uygulanmadığı da değerlendirilmelidir.

Örneğin kuruluş çok faktörlü kimlik doğrulama kullanacağını belirtiyorsa kritik bulut sistemlerinde bu kontrolün aktif olup olmadığı incelenebilir.

Gap analizi sonucunda elde edilen bulgular önem ve risk seviyelerine göre sınıflandırılarak iyileştirme planına dönüştürülebilir.

ISO 27017 Belgesinin Kuruluşlara Faydaları

ISO 27017 belgesinin faydaları yalnızca sertifikanın müşterilere gösterilmesiyle sınırlı değildir.

Standart sistematik bir güvenlik yaklaşımının oluşturulmasına katkı sağlar.

Bulut hizmeti müşterileri ile sağlayıcıları arasındaki sorumlulukların daha açık tanımlanmasına yardımcı olabilir.

Kuruluşların bulut envanterini daha iyi yönetmesini sağlayabilir.

Erişim, olay yönetimi, sözleşme, loglama ve sistem yönetimi süreçlerinin daha kontrollü hale gelmesini destekleyebilir.

Kurumsal müşterilerle yapılan işlerde güvenlik gereksinimlerine cevap verilmesini kolaylaştırabilir.

Bilgi güvenliği denetimlerinde bulut sistemlerinin daha sistematik şekilde değerlendirilmesine yardımcı olabilir.

En önemlisi de bulut güvenliğinin tek seferlik bir teknik proje olmaktan çıkarılıp sürekli yönetilen kurumsal bir süreç haline gelmesini destekler.

ISO 27017 ve Müşteri Güveni

Bulut hizmeti satın alan işletmeler açısından güven en önemli kriterlerden biridir.

Müşteri, verisini fiziksel olarak görmediği ve altyapının tamamını yönetmediği bir ortamda hizmet sağlayıcının güvenlik yaklaşımını anlamak ister.

Bu nedenle bulut hizmetlerinde güvenilirlik, teknik performans kadar önem taşımaktadır.

ISO 27017 çerçevesinde oluşturulan kontroller ve bağımsız değerlendirme süreçleri hizmet sağlayıcının bilgi güvenliğine sistematik yaklaştığını göstermesine yardımcı olabilir.

Özellikle kurumsal müşterilere hizmet veren SaaS ve teknoloji şirketlerinde bu tür güvence mekanizmaları satın alma ve tedarikçi değerlendirme süreçlerinde önemli hale gelebilir.

ISO 27017 SaaS Firmaları İçin Neden Önemlidir?

SaaS firmaları için ISO 27017, müşterilere internet üzerinden yazılım hizmeti sunulduğu için özellikle önemlidir.

SaaS sağlayıcıları çoğu zaman müşterilerin kritik verilerini kendi uygulamaları içerisinde işler veya saklar.

Kullanıcı erişimleri, uygulama güvenliği, müşteri verilerinin ayrıştırılması, yedekleme, olay yönetimi ve altyapı sağlayıcı ilişkileri bu şirketlerin güvenlik süreçlerinde temel alanlardır.

Bir SaaS firması kendi hizmetini farklı bir bulut altyapısı üzerinde çalıştırıyorsa hem bulut sağlayıcısının müşterisi hem de kendi müşterilerine karşı bulut hizmet sağlayıcısı rolünde olabilir.

Bu çift yönlü sorumluluk ISO 27017 yaklaşımının SaaS işletmeleri açısından neden değerli olduğunu açık biçimde göstermektedir.

ISO 27017 IaaS ve PaaS Hizmetlerinde Nasıl Değerlendirilir?

IaaS güvenliği ile PaaS güvenliği aynı şekilde yönetilmez.

Infrastructure as a Service modelinde müşteri genellikle işletim sistemi, uygulamalar, kullanıcı hesapları ve birçok güvenlik yapılandırması üzerinde daha fazla kontrole sahiptir.

Platform as a Service modelinde ise işletim sistemi ve bazı altyapı bileşenleri sağlayıcı tarafından yönetilebilir.

Bu nedenle güvenlik sorumluluklarının kullanılan hizmet modeline göre değerlendirilmesi gerekir.

ISO 27017 tek bir teknik yapılandırmayı bütün bulut servislerine uygulamak yerine tarafların rollerini ve hizmet modelini dikkate alan daha sistematik bir yaklaşımı teşvik eder.

Multi-Cloud Ortamlarda ISO 27017

Günümüzde birçok işletme yalnızca tek bir bulut sağlayıcısını kullanmamaktadır.

Bir sistem farklı bir sağlayıcıda, veri analitiği başka bir platformda, ofis uygulamaları ise üçüncü bir bulut hizmetinde çalışabilir.

Bu yapı multi-cloud güvenliği konusunu önemli hale getirmektedir.

Farklı platformların farklı erişim yöntemleri, loglama sistemleri, güvenlik seçenekleri ve sorumluluk modelleri olabilir.

Kuruluşların bütün bu sistemler için ortak güvenlik prensipleri oluşturması gerekir.

ISO 27017 yaklaşımı farklı bulut hizmetlerinde temel bilgi güvenliği prensiplerinin tutarlı şekilde ele alınmasına yardımcı olabilir.

ISO 27017 İç Denetimi

Belgelendirme öncesi ve sonrasında ISO 27017 iç denetimi, uygulamaların gerçekten çalışıp çalışmadığının değerlendirilmesi açısından önemlidir.

İç denetimde yalnızca yazılı prosedürler değil gerçek sistem kayıtları ve uygulamalar da incelenmelidir.

Kullanıcı hesapları zamanında kapatılıyor mu?

Yetkiler periyodik olarak gözden geçiriliyor mu?

Bulut hizmet sağlayıcıları değerlendiriliyor mu?

Güvenlik olaylarının kayıtları mevcut mu?

Bulut yapılandırmalarındaki kritik değişiklikler onay süreçlerinden geçiyor mu?

Hizmet sonlandırma prosedürleri uygulanabiliyor mu?

Bu sorular iç denetim programının önemli unsurları arasında yer alabilir.

ISO 27017 Sertifikası İçin Ekol Belgelendirme Süreci

ISO 27017 Sertifikası hakkında araştırma yapan kuruluşlar açısından ilk adımlardan biri mevcut bilgi güvenliği altyapısını ve bulut hizmeti kapsamını doğru tanımlamaktır.

Ekol Belgelendirme ile süreç hakkında iletişime geçilirken kuruluşun faaliyet alanı, kullandığı veya sunduğu bulut hizmetleri, mevcut ISO/IEC 27001 yapısı ve belgelendirme kapsamına dahil edilmesi planlanan hizmetler hakkında bilgi paylaşılması değerlendirme sürecinin doğru planlanmasına yardımcı olabilir.

Belgelendirme programının uygulanabilir şartları, denetim kapsamı ve mevcut yönetim sistemiyle ilişkisi kuruluş özelinde değerlendirilmelidir.

Özellikle güncel ISO/IEC 27017:2026 sürümünün yayımlanmış olması nedeniyle eski sürüm referanslarına sahip dokümantasyonların gözden geçirilmesi önem taşımaktadır.

Kuruluşların belgelendirmeyi yalnızca ticari bir belge edinme süreci olarak görmemesi gerekir. Asıl amaç bulut hizmetlerinde bilgi güvenliği risklerinin sistematik, ölçülebilir ve sürdürülebilir biçimde yönetilmesidir.

ISO 27017 Sertifikası Hakkında Sıkça Sorulan Sorular

ISO 27017 Sertifikası nedir?

ISO 27017 Sertifikası, bulut hizmetlerinde bilgi güvenliği kontrollerinin ISO/IEC 27017 yaklaşımı doğrultusunda uygulandığını göstermek amacıyla kullanılan belgelendirme ifadesidir. Belgelendirme programlarının kapsamı ve ISO/IEC 27001 ile ilişkisi programa göre değerlendirilmelidir.

Güncel ISO 27017 standardı hangisidir?

Güncel standart ISO/IEC 27017:2026 sürümüdür. Önceki ISO/IEC 27017:2015 sürümü geri çekilmiş ve yeni baskıyla değiştirilmiştir.

ISO 27017 neyi kapsar?

Standart, bulut hizmetlerinde bilgi güvenliği kontrollerini kapsar. Bulut hizmet müşterileri ve sağlayıcılarına yönelik güvenlik rehberliği sunar ve ISO/IEC 27002 kontrollerini bulut ortamlarına özgü konularla genişletir.

ISO 27017 kimler için uygundur?

Bulut hizmet sağlayıcıları, SaaS şirketleri, hosting ve veri merkezi işletmeleri, teknoloji firmaları ve kritik iş süreçlerinde bulut kullanan kuruluşlar için değerlendirilebilir.

ISO 27017 zorunlu mudur?

ISO 27017’nin uygulanması genel anlamda bütün işletmeler için otomatik olarak yasal zorunluluk anlamına gelmez. Ancak sözleşmeler, müşteri gereksinimleri, sektör şartları veya tedarikçi değerlendirme kriterleri nedeniyle talep edilebilir. Kuruluşlar kendi yasal ve sözleşmesel yükümlülüklerini ayrıca değerlendirmelidir.

ISO 27017 ile ISO 27001 arasındaki fark nedir?

ISO 27001, bilgi güvenliği yönetim sisteminin gerekliliklerini belirler. ISO 27017 ise bilgi güvenliği kontrollerinin bulut hizmetlerinde uygulanmasına yönelik özel rehberlik sunar. İki standart birbirini tamamlayıcı şekilde değerlendirilebilir.

ISO 27001 olmadan ISO 27017 alınabilir mi?

Bu konu uygulanacak belgelendirme programına bağlıdır. ISO 27017 uygulamaları ISO/IEC 27001 ve ISO/IEC 27002 temelli bilgi güvenliği yapısıyla güçlü şekilde ilişkilidir. Bazı belgelendirme programlarında ISO/IEC 27001 sertifikasyonu ile bağlantılı şartlar bulunabilir. Bu nedenle uygulanacak programın koşulları belgelendirme öncesinde doğrulanmalıdır.

ISO 27017 ile ISO 27018 aynı mıdır?

Hayır. ISO 27017, genel olarak bulut hizmetlerinde bilgi güvenliği kontrollerine odaklanırken ISO 27018, public cloud ortamlarında kişisel olarak tanımlanabilir bilgilerin korunmasına yönelik özel rehberlik sunar.

SaaS firmaları ISO 27017 alabilir mi?

SaaS hizmeti sağlayan şirketler ISO 27017 açısından önemli hedef kuruluş gruplarından biridir. Çünkü bu işletmeler müşterilerine bulut tabanlı hizmet sunarken müşteri verileri ve bulut altyapısı üzerinde güvenlik sorumlulukları taşır.

Bulut müşterileri de ISO 27017 kapsamında mıdır?

Evet. ISO/IEC 27017 yalnızca sağlayıcılara yönelik değildir. Bulut hizmet müşterileri de standardın kapsamındaki güvenlik yaklaşımından yararlanabilir.

ISO 27017 hangi bulut modellerinde kullanılabilir?

Public cloud, private cloud, hybrid cloud ve multi-cloud ortamlarında uygulanabilir. Kontroller kuruluşun rolüne ve kullandığı hizmet modeline göre değerlendirilmelidir.

ISO 27017 belgelendirme süreci nasıl başlar?

Süreç genellikle kapsam belirleme ve mevcut durum değerlendirmesiyle başlar. Kullanılan veya sağlanan bulut hizmetleri, bilgi varlıkları, tarafların sorumlulukları ve mevcut güvenlik kontrolleri analiz edilir.

ISO 27017 için risk analizi gerekli midir?

Risk temelli yaklaşım bilgi güvenliğinin temel unsurlarındandır. Bulut hizmetlerindeki varlıkların, tehditlerin, güvenlik açıklarının ve mevcut kontrollerin değerlendirilmesi gerekli güvenlik önlemlerinin belirlenmesine yardımcı olur.

ISO 27017 için hangi departmanlar çalışmalıdır?

Bilgi teknolojileri ve bilgi güvenliği ekipleri temel rollere sahip olsa da hukuk, satın alma, insan kaynakları, operasyon ve ilgili iş birimlerinin de görevlerine göre sürece dahil edilmesi gerekebilir.

ISO 27017 müşteri güvenini artırır mı?

Standardın uygulanması, kuruluşun bulut güvenliği konusunda sistematik bir yaklaşım benimsediğini göstermesine yardımcı olabilir. Bağımsız belgelendirme de uygun kapsam dahilinde müşteriler ve iş ortakları için ek güvence sağlayabilir.

ISO 27017 veri güvenliğini nasıl destekler?

Erişim yönetimi, sorumlulukların belirlenmesi, bulut yapılandırmalarının kontrolü, loglama, olay yönetimi ve hizmet sonlandırma gibi alanlarda sistematik güvenlik yaklaşımı sağlayarak bilgi güvenliğini destekler.

ISO 27017 siber saldırıları tamamen önler mi?

Hayır. Hiçbir standart bütün siber saldırıların gerçekleşmesini garanti ederek engelleyemez. ISO 27017 risklerin sistematik şekilde belirlenmesine, güvenlik kontrollerinin uygulanmasına ve olaylara hazırlığın geliştirilmesine yardımcı olur.

ISO 27017 belgesinin geçerliliği nasıl takip edilir?

Belgenin geçerliliği, uygulanacak belgelendirme programının şartlarına ve gözetim süreçlerine göre değerlendirilir. Kuruluşların sistemlerini yalnızca ilk denetim için değil sürekli şekilde işletmesi gerekir.

ISO 27017 denetiminde nelere bakılır?

Denetim kapsamına göre risk değerlendirmeleri, politikalar, sorumluluklar, erişim kontrolleri, bulut hizmeti ilişkileri, sözleşmeler, güvenlik olayları, loglama süreçleri ve uygulama kanıtları incelenebilir.

ISO 27017 Sertifikası almak isteyen kuruluşlar ne yapmalıdır?

İlk olarak bulut hizmetlerini ve bu hizmetlerdeki rollerini belirlemeleri, mevcut bilgi güvenliği uygulamalarını değerlendirmeleri ve güncel ISO/IEC 27017 gereksinimleriyle aralarındaki farkları analiz etmeleri faydalıdır.

Ekol Belgelendirme ile ISO 27017 süreci nasıl değerlendirilir?

Ekol Belgelendirme ISO 27017 süreci hakkında bilgi alınırken kuruluşun faaliyet kapsamı, bulut hizmet modeli, mevcut bilgi güvenliği yönetim sistemi ve hedeflenen belgelendirme kapsamı paylaşılabilir. Güncel standarda ve uygulanacak belgelendirme programına uygun şartlar kuruluş özelinde değerlendirilmelidir.

Bulut Güvenliğinde ISO 27017 ile Sistematik Bir Yaklaşım Oluşturun

Bulut bilişim artık işletmeler için yalnızca alternatif bir teknoloji modeli değildir. Günümüzde şirketlerin e-posta sistemlerinden finansal uygulamalarına, müşteri verilerinden yedekleme altyapılarına kadar kritik süreçlerin önemli bölümü bulut servislerinde çalışmaktadır.

Bu nedenle bulut hizmetlerinde bilgi güvenliği, kurumsal risk yönetiminin temel başlıklarından biri haline gelmiştir.

Bulut sistemlerinin güvenliği yalnızca sağlayıcının altyapısına güvenmekle sağlanamaz. Müşteri ve sağlayıcı arasındaki sorumlulukların belirlenmesi, erişimlerin kontrol edilmesi, güvenli yapılandırmaların oluşturulması, olay yönetiminin planlanması, logların takip edilmesi ve hizmet sonlandırma süreçlerinin güvenli biçimde yürütülmesi gerekir.

ISO/IEC 27017:2026, bu alanlarda kuruluşlara uluslararası kabul gören sistematik bir güvenlik yaklaşımı sunmaktadır.

ISO/IEC 27001 ile oluşturulan bilgi güvenliği yönetim sistemini bulut hizmetlerine özgü kontrollerle geliştirmek isteyen işletmeler açısından ISO 27017 belgelendirme süreci önemli bir adım olabilir.

SaaS firmaları, bulut altyapı sağlayıcıları, teknoloji şirketleri, veri merkezi işletmeleri ve yoğun şekilde bulut hizmeti kullanan kuruluşlar standardın sunduğu yaklaşımı kendi risk profilleri doğrultusunda değerlendirebilir.

Başarılı bir ISO 27017 çalışmasının temelinde yalnızca dokümantasyon hazırlamak bulunmaz. Güvenlik sorumluluklarının gerçekten uygulanması, teknik kontrollerin etkin şekilde çalışması, çalışanların görevlerini bilmesi ve bulut hizmetlerinin sürekli olarak izlenmesi gerekir.

ISO 27017 Sertifikası hakkında çalışma planlayan kuruluşlar için doğru başlangıç noktası mevcut bulut hizmetlerinin envanterini çıkarmak, riskleri belirlemek ve güncel ISO/IEC 27017 yaklaşımıyla mevcut uygulamalar arasındaki farkları değerlendirmektir.

Ekol Belgelendirme ile ISO 27017 Sertifikası ve bulut hizmetlerinde bilgi güvenliği kapsamında süreç değerlendirilirken kuruluşun gerçek faaliyet alanının ve bulut hizmetlerindeki rolünün esas alınması, uygulanacak güvenlik ve belgelendirme çalışmalarının daha sağlıklı planlanmasına yardımcı olacaktır.

İlginizi Çekebilecek Diğer Bloglar
Whatsapp
Instagram