Eski standart (2005 sürümü) a göre belgelendirmeler 30 Eylül 2014 e kadar devam edecektir.

2005 sürümüne göre belgelendirilmiş firmaların 30 Eylül 2016 a kadar 2013 sürümüne geçmesi
zorunludur. Ayrıca 2005 sürümü ile belgelenen firmaların sertifikalarında 2013 e güncelleme
yaptırmaları halinde 27001:2013 daha önce belegelenmiş olan 27001:2005 son tarihine kadar
geçerli olcaktır.

Örn: 20.10.2013 tarihinde 27001:2005 belgesini alan bir firma güncelleme ile sertifikasını
27001:2013 e yükseltebiliyor. Daha önceki sertifikanın geçerlilik süresi 20.10.2017 de sona
erdiği için güncellenmiş sertifika da (27001:2013 de) 20.10.2017 tarihinde sona erecektir.
15 Ekim 2005 de yayınlanan
Eski 2005 sürümü
11
Ek A daki Bölüm Sayısı (Ana Kontroller)
133
Ek A daki Kontrol Sayısı
 Risk Sahipleri (Madde 6.1.2 c)
 İlgili taraflar (Madde 4.2 )
25 Eylül 2013 de yayınlanan
Yeni 2013 sürümü
14
Ek A daki Bölüm Sayısı (Ana Kontroller)
114
Ek A daki Kontrol Sayısı
 Önleyici Faaliyet
 Doküman Kontrolü, İç Denetim ve Düzeltici
Faaliyet gereksinim olarak hala var fakat
dokümante edilmesi gerekmiyor.
 Ek B
 Ek C
2013 sürümünde gelen yeni güvenlik kontrolleri şunlardır:

 A.6.1.5 Proje Yönetiminde Bilgi Güvenliği

 14.2.1 Güvenli Geliştirme Politikası
 14.2.5 Güvenli Sistem Mühendisliği İlkeleri
 14.2.6 Güvenli Geliştirme Ortamı
 14.2.8 Sistem Güvenlik Testi
 16.1.4 Bilgi Güvenliği Olayları hakkında değerlendirilme ve karar verilmesi
 17.2.1 Bilgi İşleme Teçhizatının Erişilebilirliği

 İlgili Taraflar
Önemli
 Amaçlar, İzleme ve Ölçüm

 BGYS Kapsamı
 Bilgi Güvenliği Politikası

Değişim Derecesi

Orta Risk Değerlendirme ve İşleme

 İletişim
 Doküman Yönetimi
 Ek A Kontrolleri
 Liderlik ve Bağlılık
 Uygulanabilirlik Bildirgesi
 Risk İşleme Planı
Küçük  İnsan Kaynakları Yönetimi
 İç Denetim
 Yönetimin Gözden Geçirmesi
 Düzeltici Faaliyet
Madde 4.2 - İlgili tarafların ihtiyaç ve beklentilerinin anlaşılması

Bu bölüm tamamen yeni eklenmiş.

Kuruluş aşağıdakileri belirleyecektir:

a) Bilgi güvenliği yönetim sistemi ile ilgili taraflar ve

b) Bu ilgili tarafların bilgi güvenliği ile ilgili gereksinimleri.

NOT - İlgili tarafların gereksinimleri yasal ve düzenleyici gereksinimleri ve sözleşmeden doğan

yükümlülükleri içeriyor olabilir.

Madde 5 - Liderlik

Burada eski sürüme göre Yönetim kavramı yerine Liderlik kavramının kullanıldığını görüyoruz.
İçerik olarak çok fazla bir değişiklik mevcut değil.

Madde 6 - Planlama

Planlama yeni eklenmiş bir bölüm, önceki standartta yapılmakta olan faaliyetlerin bir planlama
çerçevesinde yapılması gerektiğini ifade ediyor. İçerik olarak çok fazla bir değişiklik söz konusu
değil.

Burada yeni bir kavram olarak “Fırsat” kavramı karşımıza çıkıyor. Standart fırsat kavramını
açıklamamış fakat kavram iyileştirme için fırsatlar olarak algılanabilir.

Madde 7 - Destek

Destek ana başlığı da standardda yeni bir başlık olarak göze çarpıyor. Destek den kasıt,
standart uygulanırken başarılı olunması için gereken destek unsurları olarak yorumlanabilir.
Bu ana başlık altında;

1. Kaynaklar
2. Yetkinlik
3. Farkındalık
4. İletişim
5. Yazılı bilgiler

Alt Başlıkları detaylandırılıyor.

Madde 8 - İşletim

İşletim ana başlığı da yeni ana başlıklardan. Bu ana başlık altında İşletimsel planlama ve
kontrol, Bilgi güvenliği risk değerlendirmesi ve risk işlemesi başlıkları mevcut. Risk Yönetimi
faaliyetleri bu başlık altında ele alınıyor.
Madde 9 - Performans Değerlendirmesi

Performans değerlendirmesi yeni bir başlık olmasına rağmen içeriğine bakıldığında eski
standarda göre fazla bir değişiklik olmadığı göze çarpıyor. İç Denetim ve Yönetimin gözden
geçirmesi faaliyetleri bu ana başlık altında yer alıyor.

Madde 10 - İyileştirme

İyileştirme ana başlığı altında Uygunsuzluk ve düzeltici faaliyet ve sürekli iyileştirme alt
başlıkları görünüyor. Burada önemli bir değişiklik Önleyici faaliyet kavramının kaldırılmış
olması. Bunun nedeni de bunun çok etkin olarak kullanılan bir yaklaşım olmaması olabilir.

EK A Kontrolleri

Ek A daki kontroller ile ilgili değişiklikler bu dokümanda madde 1.4 de verilmiştir.

Hazırlayan:

Erdal KALAYCI

IT Güvenlik Uzmanı

İletişim : +90-505-261-66-43

erdalkalayci@sertifika27001.com