ISO/IEC 27701:2025 Bilgi güvenliği, siber güvenlik ve gizlilik koruması — Gizlilik bilgi yönetim sistemleri — Gereksinimler ve kılavuz yeni dönem

Giriş

 Günümüzde hem regülasyonların artması hem de kullanıcı beklentilerinin değişmesi nedeniyle bilgi güvenliği birincil odak haline gelmiştir. Organizasyonlar artık yalnızca bilgi güvenliğini sağlamakla kalmıyor; aynı zamanda kişisel olarak tanımlanabilir bilgilerin (PII) işlenmesi, paylaşılması ve korunmasına dair sistematik bir yaklaşım benimsemek durumundalar. Bu bağlamda ISO/IEC 27701:2025 standardı, bir Gizlilik Bilgi Yönetim Sistemi (PIMS) kurmak, uygulamak, sürdürmek ve sürekli iyileştirmek için gereksinimler ve kılavuzlar sunmaktadır.

Bu makalede; standardın yeni sürümünde öne çıkan değişiklikler, temel gereksinimler, uygulama adımları ve kurumlara yönelik pratik tavsiyeler ele alınacaktır.

Yeni Dönemin Öne Çıkan Özellikleri

2025 sürümü, önceki 2019 versiyonuna göre önemli değişiklikler içermektedir. Özetle:

• Standart artık, bir organizasyonun mutlaka ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi’ne sahip olmasını ön koşul olarak gerektirmeyen, bağımsız bir PIMS standardı hâline gelmiştir.

• “Yüksek seviye yapı” (HLS – High Level Structure) ile diğer yönetim sistemi standartlarıyla daha kolay entegrasyon sağlayacak şekilde yapılandırılmıştır.

• Veri işleyen (processor) ve veri sorumlusu (controller) rollerine özgü kontrol ve hedefler daha açık biçimde ayrılmıştır.

• Yapay zeka, dijital ekosistemlerdeki PII kullanımı ve uluslararası veri transferleri gibi modern gizlilik risklerine yönelik daha fazla yönlendirme yer almaktadır.

Bu değişiklikler, giderek karmaşıklaşan gizlilik ve siber güvenlik ortamında organizasyonlara daha esnek ve kapsamlı bir çerçeve sunma hedefindedir.

Standartta Yer Alan Temel Gereksinimler

ISO/IEC 27701:2025’in gereksinimleri, genel olarak yönetim sistemi yaklaşımı çerçevesinde şekillenmiş olup organizasyonun bağlamı, liderliği, planlama, destek, operasyon, performans değerlendirmesi ve iyileştirme aşamalarını içerir. Aşağıda başlıca gereksinimlerin özü verilmiştir.

Annex SL yapısı genel olarak korunmuş olup, ISO 27001:2022 ile benzerlik göstermektidir. Bu kapsamda kontrol maddelerindeki değişikliklerin incelenmesi gerekmektedir.

Kontroller ve Ekler

Standart ayrıca, veri sorumlusu ve veri işleyen rollerine özgü kontrol hedefleri ve kontrolleri içeren ekler (Annex A, B vb.) sunmaktadır. Bu kontroller şu başlıkları içermektedir:

• Veri sorumluları için kontrol hedefleri ve kontroller

• Veri işleyenler için kontrol hedefleri ve kontroller

• Bilgi güvenliği kontrollerinin PII bağlamında uygulanması

Sözgelimi: “veri sahiplerinin haklarının gerçekleştirilmesi”, “veri minimizasyonu”, “amaçla sınırlılık”, “veri paylaşımı ve aktarımı” gibi gizliliğe özgü kontroller bulunur. 

Uygulama Yaklaşımı: Kurumlar İçin Yol Haritası

Standart uygulanırken kurumların izleyebileceği bir yol haritası aşağıdaki gibidir:

1. Durum Analizi ve Mevcut Durumun Değerlendirilmesi

   • Mevcut gizlilik ve bilgi güvenliği uygulamalarının haritalanması

   • Standardın gereksinimleriyle mevcut durum arasındaki farkın (gap) belirlenmesi

2. Kapsamın Tanımlanması

   • Hangi PII işlemlerinin ve iş birimlerinin PIMS kapsamına dahil edileceğinin belirlenmesi

   • Veri sorumlusu / işlemci rollerinin netleştirilmesi

3. Politikaların, Prosedürlerin ve Kontrollerin Tasarlanması

   • Gizlilik politikası, roller/sorumluluklar, veri işleme sözleşmeleri, DPIA süreçleri gibi belgelerin hazırlanması

   • Kontrollerin seçilmesi ve uygulanması

4. Eğitim, Farkındalık ve Organizasyonel Kültür

   • Tüm ilgili personele gizlilik farkındalığı eğitimi verilmesi

   • Üst yönetimin desteği ile gizlilik kültürünün yerleştirilmesi

5. Operasyonel Uygulama

   • Belirlenen kontrollerin günlük operasyonlarda işletilmesi

   • Veri işleyenlerle sözleşmelerin güncellenmesi, veri sahiplerinden gerekli bilgilendirme ve rıza mekanizmalarının kurulması

6. İzleme, Ölçme, Denetim ve Yönetimin Gözden Geçirmesi

   • PIMS performans göstergelerinin belirlenmesi

   • İç denetimler ve yönetim değerlendirme toplantılarının yapılması

7. Sertifikasyon ve Sürekli İyileştirme

   • Eğer planlanıyorsa uygun bir sertifikasyon kuruluşu ile denetim sürecine hazırlanılması

   • Sürekli iyileştirme kültürü ile PIMS’in güncel tutulması

Kurumlara Getirdiği Fırsatlar ve Zorluklar

Fırsatlar

• Güçlü bir PIMS sayesinde kurumlar müşteri/iş ortağı güvenini artırabilir ve rekabet avantajı elde edebilir.

• Veri koruması alanında regülasyonlara uyumu destekler; özellikle uluslararası veri transferlerinde avantaj sağlar.

• Bilgi güvenliği yönetim sistemiyle (ISMS) entegre edilmesi halinde sinerji yaratır ve süreçleri sadeleştirir.

Türkiye/Küresel Bağlamda Dikkat Edilmesi Gerekenler

• Türkiye’deki kişisel verilerin korunmasına dair mevzuat (örneğin Kişisel Verilerin Korunması Kanunu – KVKK) ve uluslararası gizlilik regülasyonlarıyla (örneğin General Data Protection Regulation – GDPR) uyum açısından ISO/IEC 27701:2025 önemli bir çerçeve sunmaktadır.

• Uluslararası veri akışları ve iş ortaklıklarında standartların gösterdiği uygunluk bir rekabet avantajı olabilir.

• Küçük ve orta ölçekli işletmeler (KOBİ) için bağımsız bir PIMS standardı olması, ISMS alt yapısı yoksa dahi gizlilik yönetimine başlanabilmesi açısından önemlidir.

• Türkçe dokümantasyonun ve uygulama rehberlerinin hazırlanması, organizasyonların yerel koşullara uygun adaptasyonunu kolaylaştıracaktır.

Sonuç

ISO/IEC 27701:2025, kurumların bilgi güvenliği ve gizlilik koruma stratejilerini entegre bir biçimde ele almalarını sağlayan güçlü bir yönetim sistemi standardıdır. Yeni sürümde “PIMS’in bağımsız bir yönetim sistemi olarak uygulanabilmesi”, “rol ve sorumlulukların netleştirilmesi” ve “gizlilik kontrollerinin modern ihtiyaçlara uygun biçimde yeniden yapılandırılması” gibi önemli değişiklikler yer almaktadır.

Kurumlar için en iyi sonuçların elde edilmesi; üst yönetimin desteği, kapsamlı durum analizi, uygun kontrollerin seçilmesi, eğitim ve farkındalığın sağlanması, performans izleme ve sürekli iyileştirme kültürünün yerleştirilmesiyle mümkün olacaktır.

Kurumsal ve Profesyonel Yaklaşım

Veri Güvenliği Akademisi olarak, ISO/IEC 27701:2025 standardının gereksinimlerine uygun biçimde gizlilik bilgi yönetim sistemlerinin (PIMS) kurulması, mevcut bilgi güvenliği yönetim sistemleriyle entegrasyonu ve sertifikasyon süreçlerine hazırlık konularında kurumlara destek olmaktan memnuniyet duyuyoruz.
Uzman ekibimiz; fark analizi, dokümantasyon geliştirme, eğitim ve iç denetim aşamalarında kurumunuza özel çözümler üretmektedi

Faydalı Bağlantılar:

• ISO/IEC 27701 Standardı Hakkında
• GDPR Hakkında Bilgi