Proxy Eğitim ve Danışmanlık olarak müşterilerimize Yönetim Sistemleri ve Ürün Belgelendirme kapsamındaki tüm alanlarda etkin ve çözüm odaklı hizmet vermeyi ilke edindik. Her geçen gün referans listemize ülkenin önde gelen kurum ve kuruluşlarını katmanın heyecanı ve sevinci içindeyiz.

Proxy Eğitim ve Danışmanlık olarak müşterilerimize Yönetim Sistemleri ve Ürün Belgelendirme kapsamındaki tüm alanlarda etkin ve çözüm odaklı hizmet vermeyi ilke edindik. Her geçen gün referans listemize ülkenin önde gelen kurum ve kuruluşlarını katmanın heyecanı ve sevinci içindeyiz.

Demirkon Madencilik ISO 9001:2015 Kalite Yönetim Sistemi ve ISO 14001:2015 Çevre Yönetim Sistemi Belgeleri alımında Danışmanlık Hizmeti için bizi tercih etti. Firma vermiş olduğumuz Danışmanlık Hizmeti sonucunda Belgelendirme Kuruluşunun denetiminden başarı ile geçerek belgelerini almıştır. Firmaya bizi tercihinden dolayı teşekkür ederiz.

Standardın taslağı ISO/DIS 45001 Şubat 2016'da yayınlandı. Ülkemizde son halinin ise 2018 yılı içinde yayınlanması öngörülüyor.

ISO 45001 İş Sağlığı ve Güvenliği Yönetim Sistemi belgesini almak isteyen kuruluşlar ISO 45001 İş Sağlığı ve Güvenliği Yönetim Sistemi standardı genel şartlarını sağlamak için Danışmanlık Hizmeti almalı ve Belgelendirme yapan Kuruluşların denetiminden başarı ile geçmelidirler. Kuruluşlar bu denetimden sonra ISO 45001 İş Sağlığı ve Güvenliği Yönetim Sistemi belgesine sahip olabilirler.

Proxy Eğitim ve Danışmanlık olarak müşterilerimize Yönetim Sistemleri ve Ürün Belgelendirme kapsamındaki tüm alanlarda etkin ve çözüm odaklı hizmet vermeyi ilke edindik. Her geçen gün referans listemize ülkenin önde gelen kurum ve kuruluşlarını katmanın heyecanı ve sevinci içindeyiz.

Bu yazımızda ISO 9001 standardının 2008 ve 2015 sürümleri arasındaki farklılıklara değinmekteyiz. Anahtar tanımlardaki değişikliklere ek olarak altı adet yeni şart eklenmiştir. Bu geçişin zaman çizelgesiyle uyumlu olarak, yeni gereksinimleri karşılamayabilmek için, hazırlık yapmanız ve kalite yönetim sisteminizi uyarlamanız gerekecektir.

Fark Analizi ve Hazırlık/Uyarlamalar

Aşağıdaki galeriden Fark Analizi ve Karşılaştırmalı Uyarlamalara bakabilirsiniz.

Amacı ISO Yönetim Sistemleri Danışmanlık & Eğitim alanındaki ve Teknoloji alanındaki gelişmeleri paylaşmak olan blog yayına girdi. İlgili alanlarda bilgi edinmek, haberlere ulaşmak olan herkesin ziyaret edebileceği blog A.Kerim Subaşı tarafından hazırlanmıştır. Sektöre katkısı olacağını düşündüğümüz bloga herkesin ziyaretini bekleriz.

Bilgi güvenliği sadece bilginin başkasının eline geçmesi yani gizliliğinden ibaret değildir. McCumber Bilgi Güvenliği Modeli’ne göre (McCumber, 1991) bilginin karakteri, “gizlilik”, “bütünlük” ve “kullanılabilirlik” (confidentiality, integrity, availability) olarak isimlendirilen üç unsurdan oluşur. ISO 27001 de bu bilginin güvenliğini tariflemek için üç unsuru temel almaktadır.

Üç unsuru kısaca açacak olursak:

Gizlilik (Confidentiality): Bilginin yetkisiz kişilerin eline geçmemesidir. Örnek vermek için evinizde bir milyon dolarınız olduğunu düşünün (para, burada herkesin ortak ve ölçülebilir bir  değer biçtiği varlık olması açısından örnek olarak verilmiştir). Sizin bu meblada bir paranız olduğunun, sizce bilmesini istemediğiniz kişilerce bilinmesi paranın gizlilik güvenliğini tehlikeye sokmaktadır. Gizlilik, ifşa olduğunda tehditlere açık olmanın yanı sıra, direk bu durumdan zarar görme anlamına da gelebilmektedir. Hatta BGYS sistemlerinin günümüzdeki karar yaygın olmadığı yıllarda ISO 27001 belgesine sahip şirketler, kendilerine tehdit çekmemek adına açık biçimde belgeleri olduğunu söylemeyebiliyorlardı. McCumber modelinde bilgi gizliliğinin sağlanması amacıyla, bilginin transferi ve depolanması süreçlerinde kripto kullanımı önerilmektedir (McCumber, 2005). Elektronik ortamdaki bilginin gizlilik etiketi, bilgi erişim sırasında kişisel bilgilerin ve bireysel hakların korunması; bilginin gizliliği kapsamındaki başlıca konulardır.

Bütünlük (Integrity): Bilginin yetkisiz kişiler tarafından değiştirilmesi silinmesi ya da herhangi bir şekilde tahrip edilmesi tehditlerine karşı içeriğinin korunmasıdır. Diyelim ki evinizdeki bir milyon dolarınızı bankaya yatırarak korumak istediniz ancak bu büyüklükte bir meblayı yatırırken işlem hatası yüzünden bir sıfır eksik yazıldı ve artık paranız yüz bin dolar olarak görünüyor, bu bütünlük bozulmasıdır. Bütünlük güvenlik sorunları için kısaca kazara veya kasıtlı olarak bilginin orjinal halinden farklılaşmasıdır diyebiliriz. McCumber’e göre bilginin bütünlüğü; kripto çözümleri, karşılaştırmalı analiz, inkâr edememe, kimlik doğrulama ve erişim kontrolü süreçlerini de içine almaktadır (McCumber, 2005). Kimlik doğrulama ve erişim kontrolü ile ilgili yetkisiz erişimi tespit etme ve engelleme sürecinde; kimlik tanımlama, kimlik doğrulama ve yetkilendirme yöntemleri (kullanıcı adı, şifre, parmak izi, elektronik güvenlik sertifikaları, elektronik kart vd.) uygulanarak, kullanıcının önceden yetkilendirilmiş kaynaklara ihtiyaç duyabileceği en düşük yetki ile erişimi sağlanır

Kullanılabilirlik/ Erişilebilirlik/ Devamlılık (Availability): Bilginin her ihtiyaç duyulduğunda ilgili ya da yetkili kişilerce ulaşılabilir ve kullanılabilir durumda olmasıdır. Para örneğinden devam edecek olursak, bankadaki paranızla bir yatırım yapacaksınız, o anda paranızı çekmeye ihtiyacınız var ve sistem aynı gün yüzbin dolar üstünde para çekmenize izin vermiyor, bu bir kullanılabilirlik güvenlik sorunudur. Ayrıca herhangi bir sorun ya da problem çıkması durumunda bile bilginin erişilebilir olması kullanılabilirlik özelliğinin bir gereğidir. Bu erişim tanımlanmış kullanıcı erişim hakları çerçevesinde olmalıdır. Kullanılabilirlik ilkesince her kullanıcı erişim hakkının bulunduğu bilgi kaynağına, yetkili olduğu zaman diliminde mutlaka erişebilmelidir. Veri depolama alanları ile kullanıcılar her an güncel bilgiye erişebilmektedir, ayrıca bu sistemlere hizmet veren cihazların altyapı yedekliliği ve yeterliliği, düzenli yedekleme yönetimi ve gerektiğinde en kısa sürede hizmete erişim bu unsurun önemsediği teknik alanlardır.

Bu üç unsura dikkat edecek olursanız, tüm alternatif güvenlik senaryolarını kapsadıklarını göreceksiniz. Kişisel görüşüm olarak gizlilik riskleri ilk bakışta daha çok akla gelse de, bütün ve kullanılabilir biçimde bilgi varlıklarını korumanızın da gizlilik unsuru riskleriniz kadar değerli olduğunu düşünüyorum. Ayrıca gizlilik unsurunun fazlasıyla desteklenmesi ve uygulanan güvenlik önlemlerinin bilgiye erişimi gereğinden fazla zorlaştırması nedeniyle güvenlik önlemi ile erişilebilirlik dengesi doğru biçimde kurulamayabilir böylelikle bilgi kaynaklarına erişim kısıtlanabilmektedir.

Bu durumu, bilgi güvenliği unsurları için çok kullanılan “üç bacaklı tabure” örneği ile gözünüzde canlandırabilirsiniz. Bu tabure üç bacak aynı uzunlukta ve sağlamlıkta olduğu sürece dengede durmaya uygundur. Herhangi bir unsurda zayıflık olduğu anda o yöne doğru taburenin dengesi bozulmaktadır.

Aynı zamanda bilgi güvenliği için “en zayıf halka” kıyaslaması da kullanılmaktadır. Bu unsurlardan en güçsüzü kadar bilginiz güvende demektir. Başka bir yönden bakacak olursak, bilginiz ihmal ettiğiniz unsurlar nedeniyle tehlikededir diyebiliriz.

Bilgi güvenliği yönetiminde bilginin sahibi, bilgi kullanıcısı ya da bilginin bulunduğu sistemin yöneticisi iseniz bu unsurları korumada sorumluluk sahibisiniz anlamına gelmektedir.

ISO 27001 Belgesi / Sertifikası Nasıl Alınır sorusunun cevabında iki aşama vardır.

1. Danışmanlık Hizmeti Aşaması

Bir kuruluş sertifikalı hale gelebilmek için, gerekli standart şartlarını yerine getirmelidir. Bunun içinde danışmanlık firmalarından Danışmanlık Hizmeti almalıdır. Bu süreçte ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardının gereklilikleri(Dokümantasyon, Eğitimler, Kayıtlar vb.) yerine getirilir.

2. Belgelendirme Denetimi Aşaması

Bir kuruluş sertifikalı hale gelebilmek için, gerekli standart şartlarını yerine getirdikten sonra Belgelendirme Kuruluşu tarafından yapılan denetimi geçmelidir. Sertifika denetimi aşağıdaki adımları takip etmektedir:

• Aşama 1 denetimi ( Dokümantasyon denetimi) – Denetçiler tüm belgeleri denetleyeceklerdir.
• Aşama 2 denetimi ( Ana Denetim) - Denetçiler kuruluştaki tüm etkinliklerinISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı ile uyumlu olup olmadığını kontrol etmek için tesis içi örnekleme metoduna göre denetim gerçekleştireceklerdir.

Gözetim denetimleri- Sertifika alındıktan sonra, 3 yıl geçerliliği süresince, denetçiler şirketin ISO 27001 BGYS’yi sürdürüp sürdürmediğini kontrol edeceklerdir.

ISO 27001 Bilgi Güvenliği Danışmanlığı/Danışmanlık Hizmeti, ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi almak isteyen kişi veya kuruluşların gerek Denetim öncesi gerekse Denetim esnasında yapmaları gereken/hazırlamaları gereken/uymaları gereken standart şartları ile ilgili olarak aldıkları hizmettir.

Proxy Eğitim ve Danışmanlık olarak ISO 27001 Bilgi Güvenliği Danışmanlığı/Danışmanlık Hizmeti kapsamında ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurulumu için ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardı içerisinde istenilen belli başlı dokümanların hazırlatılmasını sağlıyoruz. Bunlar;

Risk Değerlendirme Metodolojisi,  Risk Analizi, Risk İşleme Planı

Planlar

Varlık Envanteri

Etkinlik Ölçüm Tabloları

Prosedürler

Politikalar

Uygulanabilirlik Bildirgesi

Talimatlar vb.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı gereği hazırlanması gerekenler hazırlanıp Belgelendirme Firması tarafından denetim hizmetinin alınması ve bu esnada refakat işlemi de tarafımızdan sunulmaktadır.

Proxy Eğitim ve Danışmanlık olarak TS ISO/IEC 15504 SPICE Belgesi alabilmeniz için TS ISO/IEC 15504 SPICE danışmanlık kapsamındaki aşağıdaki çalışmaları sizin için yapmaktayız.
• Planlama, İç Organizasyon
• Mevcut Durum Analizi
• Uygulama
• Denetim Firmaları ile Bağlantılar
• İç Denetim
• Ön Denetim Hazırlık
• Eğitimler
• Süreç Dokümantasyon Çalışmaları
• Resmi Denetim Sürecinde Refakat
• Süreç Uygunsuzluklarının ve İyileştirme Çalışmalarının Takibi
• Yönetim Danışmanlığı
• Eğitimler