Bulut bilişimde ISO 27017 ve ISO 27018 standartları nedir? Bulutta kişisel veri mahremiyeti, çok kiracılı mimari ve denetim hazırlık rehberini keşfedin.
Hızlı Özet (TL;DR)
Şirketlerin ERP, CRM, İK, e-posta ve ortak dosya sunucularını geleneksel yerel sistem odalarından (On-Premises) genel bulut (Public Cloud - AWS, Azure, Google Cloud), yerel veri merkezleri veya hibrit bulut (Hybrid Cloud) ortamlarına taşıması, beraberinde geleneksel ISO 27001 standardının tek başına karşılayamadığı yeni güvenlik, izolasyon ve mahremiyet riskleri getirmiştir. ISO/IEC 27017, bulut hizmeti sağlayanlar (CSP) ve bulut hizmeti alan müşteriler (CSC) için özel bilgi güvenliği kontrolleri tanımlarken; ISO/IEC 27018, genel bulut ortamlarında işlenen Kişisel Verilerin (PII - Personally Identifiable Information) korunması, mahremiyeti ve KVKK/GDPR uyumu üzerine odaklanmış ilk uluslararası denetim standardıdır.
Neden Tek Başına ISO 27001 Bulut Ortamları İçin Yetersizdir?
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS), bir kurumun kendi fiziksel sınırları içindeki bilgi varlıklarını koruması için mükemmel bir çerçeve sunar. Ancak verinizi kendi sunucunuzdan çıkarıp üçüncü taraf bir bulut veri merkezine (IaaS, PaaS veya SaaS) taşıdığınız anda kontrolün bir kısmını bulut sağlayıcıya devredersiniz:
- Fiziksel disklere kimlerin dokunduğunu doğrudan göremezsiniz.
- Sizin sanal sunucunuzla aynı fiziksel sunucu (Hypervisor) üzerinde rakip bir firmanın veya güvensiz bir başka müşterinin sanal sunucusu çalışıyor olabilir (Multi-Tenancy / Çok Kiracılı Mimari).
- Bulut sağlayıcının sistem yöneticilerinin sizin veritabanınıza erişip erişemediğini, verilerinizin hangi ülkedeki veri merkezine replike edildiğini ve sözleşme bittiğinde disklerden gerçekten silinip silinmediğini denetlemek için buluta özgü ek kontrollere ihtiyaç vardır.
İşte ISO/IEC 27017 ve ISO/IEC 27018, ISO 27001’in Ek-A (Annex A) kontrollerini bulut bilişim ekosistemine uyarlayan ve genişleten iki kritik kılavuz standarttır.
ISO 27001, ISO 27017 ve ISO 27018 Standartları Karşılaştırma Tablosu
Üç uluslararası standardın kapsamı, hedef kitlesi ve denetim odakları aşağıdaki tabloda karşılaştırmalı olarak sunulmuştur:
| Karşılaştırma Kriteri | ISO/IEC 27001 (Temel BGYS) | ISO/IEC 27017 (Bulut Güvenliği) | ISO/IEC 27018 (Bulutta Kişisel Veri / PII) |
|---|---|---|---|
| Temel Odak Alanı | Kurum genelinde Bilgi Güvenliği Yönetim Sistemi kurulumu ve işletimi | Bulut bilişim hizmetlerinde (IaaS, PaaS, SaaS) teknik ve operasyonel güvenlik | Genel bulutta saklanan Kişisel Verilerin (PII) gizliliği ve mahremiyeti |
| Kapsadığı Taraf | Her ölçekten ve sektörden tüm kurumlar | Hem Bulut Sağlayıcı (CSP) hem de Bulut Müşterisi (CSC) | Kişisel veri işleyen Bulut Hizmet Sağlayıcıları (Veri İşleyen - Data Processor) |
| Eklenen Özel Kontroller | 93 temel kontrol (ISO 27001:2022 Annex A) | Temel kontrollere ek 7 yeni bulut kontrolü ve 37 genişletilmiş uygulama rehberi | KVKK/GDPR ilkeleriyle uyumlu mahremiyet, rıza, şeffaflık ve alt yüklenici kontrolleri |
| Temel Risk Senaryosu | Yetkisiz erişim, fiziksel güvenlik, iş sürekliliği, siber saldırılar | Çok kiracılı (Multi-tenant) izolasyon hatası, sanal ağ sızıntısı, paylaşımlı sorumluluk belirsizliği | Müşteri verisinin reklam/pazarlama/yapay zeka eğitimi için izinsiz kullanılması, yurt dışına veri çıkışı |
| Yasal Mevzuat Karşılığı | Genel Siber Güvenlik, BDDK, EPDK, Savunma Sanayii uyumu | Bulut hizmet sözleşmeleri (SLA) ve tedarik zinciri güvenliği | 6698 Sayılı KVKK (Madde 9 ve 12) ve Avrupa Birliği GDPR uyumluluğu |
ISO/IEC 27017 Kapsamındaki 7 Özel Bulut Güvenliği Kontrolü
ISO 27017 standardı, bulut müşterisi ile bulut sağlayıcı arasındaki gri alanları ortadan kaldırmak için şu 7 kritik kontrol alanını zorunlu kılar:
- Paylaşımlı Roller ve Sorumluluklar (
CLD.6.3.1): Güvenlik duvarı, işletim sistemi yamaları, yedekleme ve şifreleme işlemlerinin hangisinden bulut sağlayıcının, hangisinden müşterinin sorumlu olduğu sözleşmede (Shared Responsibility Matrix) açıkça tanımlanmalıdır. - Bulut Müşteri Varlıklarının Kaldırılması ve İadesi (
CLD.8.1.5): Hizmet sözleşmesi sona erdiğinde müşterinin tüm veritabanlarını, sanal disklerini ve ortak dosya sunucusu ve yedekleme arşivlerini standart ve okunabilir bir formatta geri alabilmesi ve ardından buluttaki kopyaların geri döndürülemez biçimde silinmesi garanti edilmelidir. - Sanal Ortamların Ayrıştırılması ve İzolasyonu (
CLD.9.5.1): Çok kiracılı (Multi-tenant) bir bulutta A şirketinin sanal makinesi, ağ trafiği ve depolama alanı (LUN/Datastore), B şirketinin ortamından mantıksal ve kriptografik olarak %100 izole edilmelidir. - Sanal Makine Sıkılaştırma (
CLD.9.5.2): Bulutta açılan sanal sunucuların imajları (Golden Image) gereksiz servislerden arındırılmalı, açık yönetim portları (SSH/RDP) dış dünyaya kapatılarak yalnızca güvenlik duvarı çözümleri ve VPN arkasından erişilebilir olmalıdır. - Yönetici Operasyonlarının Güvenliği (
CLD.12.1.5): Bulut yönetim konsoluna (AWS Console, Azure Portal, vCloud Director) yapılan tüm erişimler MFA ile korunmalı ve yapılan her işlem değiştirilemez loglarda tutulmalıdır. - Bulut Hizmetlerinin İzlenmesi (
CLD.12.4.5): Müşteriye kendi sanal makinelerinin CPU, disk, ağ ve güvenlik loglarını gerçek zamanlı izleyebileceği arayüzler sunulmalıdır. - Sanal ve Fiziksel Ağ Güvenliği Uyumu (
CLD.13.1.4): Sanal ağ (VLAN / SDN / VPC) yapılandırmaları fiziksel ağ güvenlik politikalarıyla birebir uyumlu olmalıdır.
ISO/IEC 27018 ve KVKK Açısından Bulutta Kişisel Veri Mahremiyeti
Bir şirket müşteri bilgilerini, çalışan bordrolarını veya sağlık verilerini bulut tabanlı bir yazılımda (SaaS CRM/ERP) veya bulut sunucuda tuttuğunda 6698 sayılı KVKK uyarınca şirket “Veri Sorumlusu”, bulut firması ise “Veri İşleyen” sıfatını taşır. ISO 27018 standardı, Veri İşleyen bulut sağlayıcıya şu katı kuralları getirir:
- Pazarlama ve Yapay Zeka Yasağı: Bulut sağlayıcı, müşterinin buluta yüklediği kurumsal verileri ve kişisel bilgileri müşterinin açık yazılı onayı olmadan asla reklam hedeflemesi, veri madenciliği veya yapay zeka eğitimi amacıyla işleyemez ve tarayamaz.
- Coğrafi Konum ve Yurt Dışı Aktarım Şeffaflığı: Bulut sağlayıcı, verilerin ve yedeklerin fiziksel olarak hangi ülke ve şehirdeki veri merkezlerinde saklandığını müşteriye bildirmek zorundadır.
- Alt Yüklenici (Sub-processor) Bildirimi: Bulut sağlayıcı altyapı için başka bir alt taşeron kullanacaksa bunu önceden müşteriye bildirmeli ve onay almalıdır.
- Kriptografik Anahtar Kontrolü (BYOK - Bring Your Own Key): Buluttaki veriler AES-256 ile şifrelenirken, şifreleme anahtarının bulut sağlayıcıda değil, müşterinin kendi yerel anahtar yönetim sisteminde tutulması tavsiye edilir.
Hibrit Bulut Mimarisi: Kritik Veriyi Yerelde Tutup Bulutu Güvenle Kullanmak
Özellikle üretim fabrikaları, savunma sanayii tedarikçileri ve finansal verisi kritik işletmeler için en güvenli ve denetim dostu model Hibrit Mimaridir. Bu modelde şirketin ana ERP veritabanı, CAD/CAM tasarım dosyaları ve KVKK 5651 yasal loglama kayıtları fabrikanın kendi sistem odasındaki yüksek güvenlikli fiziksel sunucularda tutulur; bulut ortamı ise yalnızca AES-256 ile şifrelenmiş felaket kurtarma yedekleri (Encrypted Off-Site Backup) veya izole web servisleri için kullanılır.
Bulut ve yerel sunucu ortamlarınızda veri kaybını, yetkisiz erişimleri ve KVKK/ISO denetim risklerini önlemek için DLP Veri Güvenliği çözümlerimizi inceleyin.
Sıkça Sorulan Sorular
Yurt dışı merkezli bulut servislerini (AWS, Azure, M365) kullanmak KVKK’ya aykırı mıdır?
KVKK’nın 9. maddesinde 2024 yılında yapılan değişikliklerle birlikte; yurt dışındaki veri merkezlerinde kişisel veri barındırılabilmesi için ilgili ülke hakkında Yeterlilik Kararı bulunması veya taraflar arasında Kurul tarafından ilan edilen Standart Sözleşme Maddelerinin (SCC) imzalanarak KVKK’ya bildirilmesi ve gerekli teknik güvenlik tedbirlerinin (ISO 27017/27018 uyumu, şifreleme, DLP) alınması gerekmektedir.
Bulut sağlayıcımızın ISO 27017 ve 27018 sertifikası olması bizim şirketimizin de uyumlu olduğu anlamına gelir mi?
Hayır. Bulut sağlayıcının sertifikası yalnızca fiziksel veri merkezinin ve hipervizör altyapısının güvenli olduğunu kanıtlar (Security OF the Cloud). Bulut üzerinde açtığınız sanal sunucunun şifresi, açık bırakılan portları, kullanıcı yetkileri, yedekleme politikası ve DLP veri sızıntısı önleme kontrolleri tamamen sizin sorumluluğunuzdadır (Security IN the Cloud).
Buluta yüklediğimiz yedek dosyalarını bulut sağlayıcının sistem yöneticilerinin bile okuyamamasını nasıl sağlarız?
İstemci Taraflı Şifreleme (Client-Side Encryption) kullanarak. Verileriniz henüz şirketinizin yerel sunucusundan çıkmadan önce sizin belirlediğiniz 256-bitlik bir kriptografik anahtarla (AES-256) şifrelenir ve buluta şifreli bloklar halinde yüklenir. Şifreleme anahtarı buluta hiç gönderilmediği için, bulut sağlayıcının sistem yöneticileri veya o veri merkezine sızan saldırganlar dosyalarınıza erişse dahi içindeki hiçbir veriyi okuyamaz.