TÜBİTAK Teknik Kriterleri ile ISO 27001 Karşılaştırması

TÜBİTAK teknik kriterleri ile ISO 27001, kripto varlık ve finans teknolojisi alanında faaliyet gösteren kuruluşların sıklıkla birlikte değerlendirdiği iki farklı çerçevedir. İkisi de bilgi sistemlerinin güvenli ve kontrollü biçimde işletilmesini hedefler; ancak kapsamları, bağlayıcılıkları ve odak noktaları birbirinden ayrışır. Bu ayrımın anlaşılması, hazırlık sürecinin doğru konumlandırılması açısından önem taşır.

Bu analizde iki çerçeve kategori düzeyinde karşılaştırılır. Amaç, birini diğerine üstün göstermek değil; hangi çerçevenin hangi soruya yanıt verdiğini netleştirmektir. Karşılaştırma, teknik uygulama tarifi değil, planlama perspektifi sunar.

İki Çerçevenin Temel Niteliği

ISO 27001, bilgi güvenliği yönetim sistemine ilişkin uluslararası bir standarttır ve kuruluşun bilgi güvenliğini süreç temelli bir yönetim döngüsüyle ele almasını öngörür. TÜBİTAK teknik kriterleri ise kripto varlık hizmet sağlayıcılarının bilgi sistemleri ve teknolojik altyapısı için tanımlanmış teknik gereksinimleri ifade eder. İlki genel bir yönetim standardı, ikincisi belirli bir alana özgü teknik ölçüttür.

Bu temel nitelik farkı, iki çerçevenin birbirinin yerine değil, birbirini tamamlayacak biçimde değerlendirilmesini gerektirir. ISO 27001 ile uyumlu bir yönetim yaklaşımı, TÜBİTAK kriterlerine yönelik hazırlığı destekleyebilir; ancak biri diğerinin karşılığı değildir. Bir çerçevede olgunluk kazanmış olmak, diğerinin beklentilerinin kendiliğinden karşılandığı anlamına gelmez.

Kapsam ve Amaç Farkı

ISO 27001 kapsamı, kuruluşun tanımladığı sınırlar içinde bilgi güvenliği risklerinin yönetilmesine odaklanır. Kapsam kuruluş tarafından belirlenir ve seçilen kontroller risk değerlendirmesine göre şekillenir. Bu esneklik, standardın farklı sektörlere uyarlanabilmesini sağlar. TÜBİTAK teknik kriterleri ise kapsamı düzenleyici beklentiyle tanımlanmış, alana özgü ve daha somut gereksinimler içerir.

Amaç açısından ISO 27001 bir yönetim sisteminin kurulmasını ve sürdürülmesini hedeflerken, TÜBİTAK kriterleri belirli teknik yeterliliklerin karşılanmasını gözetir. Bu nedenle biri "nasıl yönetiliyor" sorusuna, diğeri "hangi teknik gereksinimler karşılanıyor" sorusuna yanıt arar. İki sorunun da yanıtlanması, bütünlüklü bir hazırlık için gereklidir.

Kapsam belirleme yaklaşımındaki bu fark, iki çerçeveye yönelik hazırlığın nasıl planlanacağını da etkiler. ISO 27001 tarafında kuruluş, kendi risk değerlendirmesine göre hangi kontrollerin uygulanacağını gerekçelendirir; TÜBİTAK kriterleri tarafında ise beklenen teknik yeterliliklerin karşılandığının ortaya konması esas alınır. Bu durum, ilkinde gerekçelendirmenin, ikincisinde ise kanıtlanabilirliğin öne çıktığı bir hazırlık yaklaşımını beraberinde getirir.

Bağlayıcılık Açısından Fark

ISO 27001, kuruluşların isteğe bağlı olarak benimsediği bir standarttır; uyum, kuruluşun tercihine ve hedeflerine bağlıdır. TÜBİTAK teknik kriterleri ise ilgili alanda faaliyet göstermeyi planlayan kuruluşlar için düzenleyici çerçevenin bir parçası olarak konumlanır. Bu ayrım, hazırlık önceliklerinin belirlenmesinde belirleyici olur.

İsteğe bağlı bir standardın benimsenmesi kuruluşa zaman ve kapsam esnekliği tanırken, düzenleyici çerçevenin parçası olan gereksinimler belirli bir takvim ve beklenti düzeyi ile ele alınır. Bu nedenle iki çerçeve, planlama sürecinde farklı önceliklendirme mantıklarıyla değerlendirilir.

Teknik Odak Alanları

Her iki çerçeve de güvenlik, erişim yönetimi, süreklilik ve izlenebilirlik gibi ortak başlıkları içerir. Ancak ISO 27001 bu başlıkları yönetim kontrolleri düzeyinde ele alırken, TÜBİTAK kriterleri alana özgü teknik beklentileri daha belirgin biçimde tanımlar. Ortak başlıklarda yapılan çalışmaların bir bölümü her iki çerçeveye de hizmet edebilir; ancak ayrışan beklentilerin ayrıca karşılanması gerekir. Aşağıdaki tablo, iki çerçevenin yaklaşımını kategori düzeyinde özetler.

Sık Karşılaşılan Yanlış Anlamalar

İki çerçevenin karşılaştırılmasında en sık rastlanan yanılgı, birinin diğerinin yerine geçebileceği varsayımıdır. ISO 27001 çerçevesini benimsemiş bir yönetim sistemine sahip olmak, alana özgü teknik gereksinimlerin tümüyle karşılandığı anlamına gelmez; benzer biçimde, teknik gereksinimlerin karşılanması da bilgi güvenliğinin süreç temelli yönetildiğini kendiliğinden göstermez.

Bir diğer yaygın karışıklık, teknik kriterlerin faaliyet izniyle eş tutulmasıdır. Teknik gereksinimlerin karşılanması hazırlığın önemli bir bileşenidir; ancak faaliyet iznine ilişkin değerlendirme ayrı bir süreçtir ve farklı bir merci tarafından yürütülür. Bu ayrımın gözetilmesi, hazırlık sürecinde gerçekçi beklentiler kurulmasını sağlar.

Hazırlık Açısından Değerlendirme

Hazırlık sürecinde iki çerçeve birbirini dışlamaz. ISO 27001 çerçevesini esas alan bir yönetim yapısı kurmuş bir kuruluş, güvenlik yönetimine ilişkin birçok başlıkta olgunluk kazanmış olur; bu olgunluk TÜBİTAK kriterlerine yönelik hazırlığı kolaylaştırabilir. Buna karşın, alana özgü teknik gereksinimlerin ayrıca ele alınması gerekir. TÜBİTAK KVHS teknik kriterlerinin ne olduğu ve uyum sürecinin nasıl planlandığı, bu hazırlığın temelini oluşturur.

Sağlıklı bir yaklaşım, iki çerçeveyi ortak ve ayrışan başlıklar üzerinden haritalandırmakla başlar. Ortak başlıklarda tekrar eden çalışmalar birleştirilir; ayrışan başlıklarda ise her çerçevenin kendine özgü beklentisi ayrıca karşılanır.

Bu haritalandırma, hazırlık eforunun görünür kılınması açısından da değer taşır. Hangi çalışmanın her iki çerçeveye birden hizmet ettiği, hangisinin yalnızca birine özgü olduğu netleştiğinde, kaynaklar daha isabetli biçimde yönlendirilebilir. Böylece iki ayrı hazırlık süreci gibi görünen çalışma, büyük ölçüde ortak bir zemin üzerinde yürütülebilir hale gelir.

Sonuç

TÜBİTAK teknik kriterleri ile ISO 27001, farklı sorulara yanıt veren tamamlayıcı çerçevelerdir. ISO 27001 bilgi güvenliğinin nasıl yönetildiğine, TÜBİTAK kriterleri ise alana özgü teknik gereksinimlerin karşılanıp karşılanmadığına odaklanır. İkisini birbirinin yerine koymak yerine birlikte ve doğru sırayla ele almak, hazırlık sürecinin verimli yürütülmesini sağlar.