ISO 27701: Kişisel Veri Gizliliği Yönetim Sistemi

ISO 27701, ISO 27001'i temel alan ve kişisel veri gizliliği yönetim sistemleri için bir uzantı standardıdır. Bu standart, KVKK ve GDPR gibi veri koruma yasalarına uyumluluk sağlamak için kritik öneme sahiptir ve organizasyonların kişisel verileri güvenli bir şekilde işlemesi, koruması ve yönetmesi için kapsamlı bir çerçeve sunar.

İstanbul merkezli BARLAS Cyber Security ekibi olarak; İstanbul, Türkiye ve Avrupa genelinde faaliyet gösteren kuruluşların ISO 27701, ISO 27001, KVKK ve GDPR uyumluluk projelerinde kişisel veri gizliliği yönetim sistemi (PIMS) tasarımı, uygulaması ve denetimi konularında uçtan uca danışmanlık desteği sunuyoruz.

ISO 27701 Nedir?

ISO 27701 (Privacy Information Management System - PIMS), kişisel verilerin işlenmesi, korunması ve yönetimi için gereken şartları belirleyen bir uluslararası standarttır. Bu standart, ISO 27001 (Information Security Management System - ISMS) standardının üzerine kurulmuştur ve gizlilik yönetimi için ek gereksinimler sağlar.

ISO 27701 standardı, ISO/IEC 27701:2019 olarak da bilinir ve Uluslararası Standardizasyon Örgütü (ISO) tarafından 2019 yılında yayınlanmıştır. Bu standart, hem veri sorumluları (data controllers) hem de veri işleyenler (data processors) için gereksinimler içerir.

ISO 27701'in Temel Bileşenleri

ISO 27701 standardı, aşağıdaki temel bileşenlerden oluşur:

1. Gizlilik Yönetim Sistemi (PIMS)

Kişisel verilerin güvenli bir şekilde işlenmesi, korunması ve yönetilmesi için sistematik bir yaklaşım sunar. ISO 27001'in üzerine kurulu olan PIMS, gizlilik özelinde ek kontroller ve gereksinimler içerir.

2. Veri Sorumluları İçin Gereksinimler

Kişisel verileri işleyen organizasyonlar (veri sorumluları) için özel gereksinimler tanımlar. Bu gereksinimler, veri toplama, saklama, işleme ve silme süreçlerini kapsar.

3. Veri İşleyenler İçin Gereksinimler

Veri sorumluları adına kişisel verileri işleyen organizasyonlar (veri işleyenler) için özel gereksinimler sağlar. Bu gereksinimler, veri işleme süreçlerinin güvenli bir şekilde yönetilmesini sağlar.

4. Gizlilik Kontrolleri

ISO 27001'deki güvenlik kontrollerine ek olarak, gizlilik için özel kontroller içerir. Bu kontroller, kişisel verilerin korunması ve gizlilik haklarının sağlanması için tasarlanmıştır.

ISO 27701'in Avantajları

ISO 27701 uyumluluğu, organizasyonlara önemli avantajlar sağlar:

• Yasal Uyumluluk: KVKK, GDPR ve diğer veri koruma yasalarına uyumluluğun sağlanması
• Kişisel Verilerin Güvenli İşlenmesi: Kişisel verilerin güvenli bir şekilde işlenmesi, saklanması ve korunması
• Gizlilik Risklerinin Yönetimi: Gizlilik risklerinin sistematik olarak tanımlanması, değerlendirilmesi ve yönetilmesi
• Müşteri Güveninin Artması: Kişisel verilerin güvenli bir şekilde işlendiğini göstererek müşteri güveninin artması
• Rekabet Avantajı: Gizlilik yönetimi konusunda rekabet avantajı sağlanması
• Maliyet Tasarrufu: Veri ihlalleri ve yasal cezalardan kaynaklanan maliyetlerin azaltılması

ISO 27701 ve ISO 27001 İlişkisi

ISO 27701, ISO 27001'in bir uzantısıdır ve ISO 27001'in üzerine kurulmuştur. Bu nedenle, ISO 27701 uyumluluğu için öncelikle ISO 27001 uyumluluğu gereklidir. ISO 27701, ISO 27001'e gizlilik yönetimi için özel gereksinimler ekler.

Bu ilişki şu avantajları sağlar:

• Bilgi güvenliği ve gizlilik yönetiminin entegre edilmesi
• Meeting both security and privacy requirements with a single management system
• Kaynak ve maliyet etkinliği
• Süreç ve dokümantasyon paylaşımı

ISO 27701 ve KVKK Uyumluluğu

ISO 27701 standardı, KVKK (Kişisel Verilerin Korunması Kanunu) uyumluluğu için kritik öneme sahiptir. KVKK'nın gerektirdiği teknik ve idari tedbirler, ISO 27701 standardında detaylı bir şekilde tanımlanmıştır.

ISO 27701 uyumluluğu ile KVKK uyumluluğu arasındaki ilişki:

• KVKK's obligation to provide a secure environment can be met through ISO 27701
• Requirements for secure processing of personal data can be met through ISO 27701 controls
• Veri sorumlusu ve veri işleyen gereksinimleri ISO 27701'de tanımlıdır
• Veri ihlali bildirimi ve müdahale süreçleri ISO 27701'de yer alır

ISO 27701 Sertifikasyon Süreci

ISO 27701 sertifikasyonu için genel süreç şu adımlardan oluşur:

1. ISO 27001 Uyumluluğu: Öncelikle ISO 27001 uyumluluğunun sağlanması
2. Gap Analizi: Mevcut durumun ISO 27701 gerekliliklerine göre değerlendirilmesi
3. PIMS Tasarımı: Gizlilik yönetim sisteminin tasarımı ve uygulama planının hazırlanması
4. Uygulama: Gizlilik politikaları, prosedürleri ve kontrollerinin uygulanması
5. İç Tetkik: Sistemin iç tetkik ile doğrulanması
6. Yönetim Gözden Geçirmesi: Üst yönetimin sistem performansını gözden geçirmesi
7. Dış Tetkik ve Sertifikasyon: Bağımsız bir sertifikasyon kuruluşu tarafından tetkik edilmesi ve sertifikalandırılması

BARLAS'ın ISO 27701 Hizmetleri

BARLAS Cyber Security olarak, ISO 27701 uyumluluğu için kapsamlı destek sağlıyoruz. Hizmetlerimiz arasında:

• ISO 27701 gap analizi ve değerlendirmesi
• PIMS tasarımı ve uygulaması
• Gizlilik risk değerlendirmesi ve risk işleme planı hazırlanması
• Gizlilik kontrollerinin tasarımı ve uygulanması
• Dokümantasyon hazırlanması (gizlilik politikaları, prosedürler, talimatlar)
• Personel eğitimleri ve farkındalık programları
• İç tetkik desteği
• Sertifikasyon sürecine hazırlık desteği

Ayrıca, sızma testleri ve zafiyet analizleri ile veri gizliliği süreçlerinizi güçlendiriyoruz ve sistemlerinizdeki güvenlik açıklarını tespit ederek KVKK uyumluluğunuzu destekliyoruz.