ISO/IEC 27001:2022 yeni sürüm geçişi: Ek A kontrolleri, tehdit istihbaratı, veri sızıntısı önleme ve imalat sanayi bilgi güvenliği denetim hazırlık kılavuzu.
Hızlı Özet (TL;DR)
ISO/IEC 27001 standardının 2022 revizyonu, bilgi güvenliği yönetim sistemini (BGYS) günümüzün modern bulut mimarileri, hibrit çalışma düzeni, tedarik zinciri entegrasyonları ve sofistike fidye yazılımı (ransomware) tehditlerine göre kökten güncellemiştir. Eski sürümdeki (ISO/IEC 27001:2013) 14 ana bölüm ve 114 kontrol, 4 stratejik tema (Organizasyonel, İnsan, Fiziksel ve Teknolojik) altında toplanarak 93 kontrole sadeleştirilmiş; bununla birlikte imalat, mühendislik ve teknoloji firmalarını doğrudan ilgilendiren 11 yeni güvenlik kontrolü eklenmiştir. Otomotiv, makine, kimya, havacılık ve savunma sanayii tedarikçileri için ISO 27001:2022 uyumluluğu, küresel OEM ihalelerine katılımda ve ihracat sözleşmelerinde artık ticari bir ön şarttır.
İmalat Sanayisinde Bilgi Güvenliği Neden Kritik Bir Üretim Kısıtıdır?
Geçmişte bilgi güvenliği denildiğinde akla yalnızca bankalar, finans kuruluşları veya yazılım şirketleri gelirdi. Ancak Endüstri 4.0 dönüşümüyle birlikte modern bir fabrikada üretilen en değerli varlık sadece fiziksel metal veya plastik parça değil; o parçayı üreten 3 boyutlu CAD kalıp tasarımları, CAM takım yolu (G-code) algoritmaları, özel alaşım reçeteleri, müşteri fiyatlandırma tabloları ve İmalat ERP Çözümleri üzerinde tutulan üretim verileridir.
Bir sanayi kuruluşunun siber saldırıya uğraması veya kritik Ar-Ge çizimlerinin rakip ülkelere sızdırılması, şirketin yıllarca biriktirdiği rekabet üstünlüğünü bir gecede yok edebilir. Üstelik küresel ana sanayi firmaları (OEM), kendi ağlarına EDI veya tedarikçi portalları üzerinden bağlanan yan sanayi üreticilerinin siber güvenlik zafiyetlerini doğrudan kendilerine yönelik bir tehdit olarak görür. Bu nedenle ISO/IEC 27001:2022 standardı, soyut bir evrak ve klasör çalışması olmaktan çıkıp bizzat fabrika sahasını, sunucu odasını ve mühendislik istasyonlarını koruyan canlı bir kalkan haline gelmiştir.
2013 Sürümünden 2022 Sürümüne Yapısal Dönüşüm
Eski 2013 standardındaki karmaşık 14 alanlık yapı, yeni sürümde çok daha anlaşılır ve sorumluluk bazlı 4 ana kategoriye ayrılmıştır:
- Bölüm 5 — Organizasyonel Kontroller (37 Kontrol): Bilgi güvenliği politikaları, bulut hizmetleri, tehdit istihbaratı, tedarikçi ilişkileri ve iş sürekliliği yönetimi.
- Bölüm 6 — İnsan Kontrolleri (8 Kontrol): İşe alım öncesi doğrulama, gizlilik sözleşmeleri (NDA), siber güvenlik farkındalık eğitimleri ve uzaktan çalışma kuralları.
- Bölüm 7 — Fiziksel Kontroller (14 Kontrol): Fabrika çevresi, turnikeler, sistem odası iklimlendirme/yangın koruması, kamera izleme ve ekipman imhası.
- Bölüm 8 — Teknolojik Kontroller (34 Kontrol): Uç nokta güvenliği, ağ segmentasyonu, şifreleme, veri sızıntısı önleme (DLP), log yönetimi ve güvenli yazılım geliştirme.
ISO 27001:2022 ile Gelen 11 Yeni Güvenlik Kontrolü
İmalatçıların geçiş ve denetim sürecinde hem dokümantasyon (Uygulanabilirlik Bildirgesi - SoA) hem de teknik altyapı düzeyinde devreye alması gereken 11 yeni kontrol şunlardır:
| Kontrol No | Yeni Güvenlik Kontrolü | İmalat Sektöründeki Saha ve BT Karşılığı |
|---|---|---|
| A.5.7 | Tehdit İstihbaratı (Threat Intelligence) | Tedarik zincirine, sektöre veya kullanılan güvenlik duvarı/ERP sürümlerine yönelik aktif siber saldırı vektörlerini (USOM, CERT, CVE) önceden izleme |
| A.5.23 | Bulut Hizmetleri İçin Bilgi Güvenliği | Bulut tabanlı ERP, CRM, CAD paylaşım ve yedekleme servislerinin (AWS, Azure vb.) güvenlik sorumluluk matrisini ve SLA sözleşmelerini denetleme |
| A.5.30 | İş Sürekliliği İçin ICT Hazırlığı | Üretim sunucularının, SCADA ve ERP veritabanlarının olası bir donanım arızası veya fidye saldırısı anında belirlenen RTO/RPO sürelerinde yedeğe geçişi |
| A.7.4 | Fiziksel Güvenlik İzleme | Fabrika girişleri, Ar-Ge laboratuvarı, kalıphane ve sistem odasının 7/24 kamera, hareket ve kapı açılma sensörleriyle izlenmesi |
| A.8.9 | Konfigürasyon Yönetimi | Endüstriyel switch, router, firewall, sunucu ve PLC’lerin güvenlik sıkılaştırma (Hardening) şablonlarının tanımlanması ve yetkisiz değişimin engellenmesi |
| A.8.10 | Bilgi Silme (Information Deletion) | Saklama süresi dolan kişisel verilerin, eski müşteri projelerinin ve hurdaya ayrılan disklerin geri döndürülemez biçimde (Wiping) temizlenmesi |
| A.8.11 | Veri Maskeleme (Data Masking) | Yazılım test veya eğitim ortamlarında gerçek müşteri, fiyat ve personel verilerinin anonimleştirilerek veya maskelenerek kullanılması |
| A.8.12 | Veri Sızıntısı Önleme (DLP) | Teknik resim (DXF, STEP), maliyet tablosu ve müşteri listelerinin USB bellek, kişisel e-posta veya bulut sürücülerle dışarı çıkarılmasının bloklanması |
| A.8.16 | İzleme Faaliyetleri (Monitoring Activities) | Ağ trafiğindeki, sunucu erişimlerindeki ve güvenlik duvarındaki şüpheli anomalilerin merkezi log ve SIEM araçlarıyla 7/24 izlenmesi |
| A.8.23 | Web Filtreleme (Web Filtering) | Şirket ve üretim ağında oltalama (Phishing), komuta kontrol (C2) sunucuları ve zararlı yazılım barındıran sitelere erişimin kategori bazlı engellenmesi |
| A.8.28 | Güvenli Kodlama (Secure Coding) | Şirket içinde veya dış tedarikçiye yaptırılan MES, ERP ve web portallarında OWASP Top 10 standartlarına uygun güvenli yazılım mimarisi |
Fabrika Sahasında Kritik Kontrollerin Teknik Uygulaması
Denetçiler artık sadece “Bilgi Güvenliği Politikamız var” yazılı kağıtları görmek istemiyor; yukarıdaki maddelerin sahada gerçekten çalıştığına dair ekran görüntüleri, log kayıtları ve test raporları talep ediyor. İmalat tesislerinde en çok zorlanılan üç teknik kontrol alanı şunlardır:
1. A.8.12 Veri Sızıntısı Önleme (DLP) ve Fikri Mülkiyet Koruması
Bir makine veya kalıp imalatçısında en kritik bilgi, tasarım bölümündeki mühendislerin hazırladığı SolidWorks, Catia veya NX dosyalarıdır. İşten ayrılma hazırlığındaki bir personelin binlerce saatlik tasarım emeğini harici bir diske kopyalamasını engellemek için uç nokta DLP Veri Sızıntısı Önleme çözümleri devreye alınmalıdır. USB portları varsayılan olarak kapatılmalı, kurumsal e-posta dışına .step, .dwg veya şifreli .zip uzantılı dosya gönderimi yönetici onayına bağlanmalıdır.
2. A.5.30 ICT Sürekliliği ve 3-2-1-1-0 Yedekleme Kuralı
Üretim yapan bir fabrikada ERP ve MES sunucularının çökmesi, sevkiyat irsaliyesi kesilememesi ve tezgahların iş emri alamaması demektir. A.5.30 kontrolü kapsamında işletmeler; verilerinin en az 3 kopyasını, 2 farklı depolama medyasında, 1 tanesini fabrika dışında (Off-site) ve 1 tanesini tamamen çevrimdışı veya değiştirilemez (Immutable Backup) olarak saklamak zorundadır. Ayrıca yılda en az iki kez “Felaket Kurtarma Tatbikatı” yapılarak yedekten geri dönüş süresi (RTO) saniyesi saniyesine tutanak altına alınmalıdır.
3. A.8.16 ve A.8.23 Ağ İzleme, Loglama ve Web Filtreleme
Fabrika ağındaki her bir cihazın (bilgisayar, el terminali, IP kamera, PLC) ürettiği trafik kayıt altına alınmalı ve zararlı web adreslerine erişim güvenlik duvarı seviyesinde kesilmelidir. Özellikle Savunma Sanayii İmalat Ağ ve Siber Güvenlik ekosisteminde yer alan firmalar için ağ segmentasyonu ve anlık anomali tespiti denetimin kalbidir.
İmalatçılar İçin Adım Adım ISO 27001:2022 Geçiş Yol Haritası
- Varlık Envanteri ve Boşluk Analizi (Gap Analysis): Fabrikanızdaki tüm fiziksel sunucuları, sanal makineleri, mühendislik yazılımlarını, OT/PLC cihazlarını ve bilgi varlıklarını kayıt altına alın. Mevcut durumunuzu 93 kontrol ve özellikle 11 yeni maddeyle karşılaştırın.
- Risk Değerlendirmesi ve Uygulanabilirlik Bildirgesi (SoA): Varlıklarınıza yönelik tehditleri (fidye yazılımı, içeriden veri sızıntısı, yangın, donanım arızası) puanlayın. Hangi kontrollerin hangi gerekçeyle uygulandığını SoA dokümanında yeni 4 temalı yapıya göre güncelleyin.
- Teknik Altyapı Yatırımları (Firewall, DLP, Loglama, Yedekleme): Eksik olan A.8.12 DLP, A.8.16 İzleme ve A.8.23 Web Filtreleme gereksinimlerini karşılamak üzere güvenlik donanım ve yazılımlarınızı devreye alın.
- Personel Farkındalık Eğitimi ve Oltalama Testi: Mavi ve beyaz yaka çalışanlara sahte oltalama (Phishing) e-postaları göndererek farkındalık seviyesini ölçün ve kayıtlı eğitimler düzenleyin.
- İç Tetkik, Yönetimin Gözden Geçirmesi (YGG) ve Belgelendirme Denetimi: TÜRKAK veya uluslararası akreditasyona sahip belgelendirme kuruluşunun (Stage 1 ve Stage 2) denetimi öncesinde bağımsız bir iç denetim gerçekleştirerek uygunsuzlukları kapatın.
ISO 27001:2022 denetimlerinde tam uyumlu log izleme ve web filtreleme altyapısı için KVKK ve 5651 Çözümleri ve A.8.28 güvenli kodlama standartlarında geliştirilmiş kurumsal sistemler için Özel Yazılım Geliştirme sayfamıza göz atabilirsiniz.
Sıkça Sorulan Sorular
ISO 27001:2022 denetiminde fabrika üretim sahası (OT) da denetleniyor mu?
Evet, eğer belgelendirme kapsamınız “Tasarım, Üretim ve Satış” süreçlerini içeriyorsa denetçiler bizzat üretim sahasına iner. CNC ve PLC panolarının kilitli olup olmadığını, saha bilgisayarlarında ekran koruyucu şifresi bulunup bulunmadığını, ortalıkta sahipsiz teknik resim kağıtlarının bırakılıp bırakılmadığını (Temiz Masa / Temiz Ekran politikası) ve üretim ağının ofis ağından izole edilip edilmediğini denetlerler.
11 yeni kontrolün tamamını uygulamak ve pahalı yazılımlar almak zorunda mıyız?
ISO 27001 risk tabanlı bir yönetim sistemidir. Bir kontrolü nasıl uygulayacağınız işletmenizin büyüklüğüne, bütçesine ve risk iştahına bağlıdır. Örneğin küçük ölçekli bir tesiste devasa bir kurumsal DLP yazılımı yerine, Active Directory Grup Politikaları (GPO) ile tüm USB portlarını kapatmak, yerel yönetici (Local Admin) yetkilerini kaldırmak ve güvenlik duvarı üzerinden dosya yükleme sitelerini bloklamak da A.8.12 kontrolünü karşılayan geçerli bir teknik tedbirdir.
Otomotivdeki TISAX ile ISO 27001:2022 arasındaki temel fark nedir?
TISAX (Trusted Information Security Assessment Exchange), Alman Otomotiv Sanayicileri Derneği (VDA ISA) tarafından doğrudan ISO/IEC 27001 temel alınarak oluşturulmuş sektörel bir denetim mekanizmasıdır. ISO 27001:2022 altyapısını eksiksiz kuran bir imalatçı, TISAX gereksinimlerinin %85’ini zaten tamamlamış olur; üzerine yalnızca prototip parça güvenliği ve otomotive özgü veri koruma maddelerini eklemesi yeterlidir.