ISO 27001, NIST, SOC 2 ve NIS2: Uyum Süreçlerinde İnsan Riski Yönetimi

ISO 27001, NIST ve SOC 2, bilgi güvenliğini farklı açılardan ele alan çerçevelerdir. Üçünün ortak noktası, çalışan farkındalığını ve eğitimini güvenlik yönetiminin zorunlu bir parçası olarak görmeleridir. AB'nin NIS2 direktifi ise bu beklentiyi bir adım öteye taşıyarak yönetim kurulu üyelerinin de siber güvenlik eğitimi almasını şart koşuyor. Bu yazıda bu çerçevelerin farkını, insan riskinin bu süreçlerdeki yerini ve NIS2'nin Türk şirketlerini nasıl etkileyebileceğini ele alıyoruz.

ISO 27001, NIST ve SOC 2: hangi durumda hangisi?

NIST Cybersecurity Framework
Kapsamlı bir risk yönetimi modelidir. Enerji, finans, sağlık, kamu ve kritik altyapılarda yaygındır. En güçlü olduğu alanlar risk değerlendirmesi, olgunluk ölçümü ve teknik kontrollerin haritalanmasıdır.

ISO 27001
Uluslararası kabul görmüş bilgi güvenliği yönetim sistemi standardıdır. Teknoloji, finans, sağlık ve üretim gibi birçok sektörde kullanılır. Kurum genelinde bir yönetim sistemi kurmayı ve politika ile süreç bütünlüğünü sağlamayı hedefler. Belgelendirilebilir olması, tedarikçi ve müşteri ilişkilerinde güçlü bir güven kanıtı sağlar.

SOC 2
Özellikle SaaS ve bulut tabanlı hizmet sunan şirketler için tercih edilir. Müşteri denetimlerinde, satış süreçlerinde güven sağlamada ve operasyonel kontrollerin doğrulanmasında öne çıkar.

Kısaca:

ISO 27001'de çalışan eğitimi zorunlu mu?

Evet. ISO/IEC 27001:2022, yetkinlik ve farkındalık başlıklarında kurumun çalışanlarının bilgi güvenliği politikasından, kendi katkılarından ve uyumsuzluğun sonuçlarından haberdar olmasını ister. Ek A kontrolleri arasında da bilgi güvenliği farkındalığı, eğitimi ve öğretimi ayrı bir kontrol olarak yer alır.

Denetimlerde sorulan sorular genellikle şunlardır:

• Farkındalık programınız var mı ve ne sıklıkla uygulanıyor?
• İçerik çalışanların rollerine ve risklerine göre uyarlanmış mı?
• Programın etkinliğini nasıl ölçüyorsunuz?
• Bunun kayıtları nerede?

Oltalama simülasyonları, özellikle "etkinliği nasıl ölçüyorsunuz" sorusuna somut cevap verir.

NIS2: yönetim kurulu da eğitim almak zorunda

AB'nin NIS2 direktifi, 20. maddesinde yönetim organlarına doğrudan sorumluluk yüklüyor:

• Yönetim organları siber güvenlik risk yönetimi tedbirlerini onaylamalı ve uygulanmasını denetlemeli.
• Yönetim organı üyeleri, riskleri tanıyabilmek ve uygulamaları değerlendirebilmek için eğitim almalı.
• Yükümlülüklerin ihlali durumunda yönetim organının sorumlu tutulabileceği öngörülüyor.

Ayrıntılar her AB ülkesinin kendi mevzuatına bağlı. Ama yön açık: Siber güvenlik artık yönetim kurulunun gündeminde.

NIS2 Türk şirketlerini etkiler mi?

NIS2 Türkiye'de doğrudan geçerli değil. Ancak dolaylı etkisi büyük olabilir:

• AB'ye ihracat yapan şirketler: AB'li müşteriler tedarik zincirlerindeki riskleri yönetmekle yükümlü. Bu yüzden tedarikçilerinden benzer güvenlik önlemleri bekleyecekler.
• Tedarikçi soru formları: Sözleşmelerde ve tedarikçi değerlendirme formlarında çalışan farkındalığı ve yönetim seviyesinde eğitim soruları giderek daha sık yer alacak.
• AB'de iştiraki olan gruplar: Grup şirketleri arasında ortak politika uygulayan holdingler bu beklentiyle doğrudan karşılaşabilir.

Uyum süreçlerinde insan riski neden kritik?

Her üç çerçevede ve NIS2'de de teknik kontroller kadar insan davranışı önemlidir. Çünkü ihlallerin önemli bir kısmı bir çalışanın tıklaması, paylaşması veya bir süreci atlamasıyla başlar. Uyum belgesi almak için yapılan tek seferlik bir eğitim, denetimi geçmenize yardım edebilir. Ama gerçek bir saldırı anında çalışanın doğru davranmasını sağlamaz.

Etkili bir yaklaşım şunları birleştirir:

1. Role göre farkındalık içerikleri
2. Düzenli oltalama simülasyonları
3. Yönetici ve yönetim kurulu seviyesinde özel oturumlar
4. Denetimde sunulabilecek kayıtlar ve eğilim raporları

Sık sorulan sorular

---
InfoLore, ISO 27001, SOC 2 ve NIS2 süreçleri için belgelenebilir farkındalık programları ve yönetim kurulu seviyesinde siber güvenlik eğitimleri sunar. Uyum hazırlığınızı konuşmak için bize ulaşabilirsiniz.