Bilgi Güvenliği Yönetim Sistemi (BGYS) Belgelendirmesi

BGYS belgelendirmesine hazırlanırken ilk soru hangi güvenlik yazılımını satın alacağınız değildir. Hangi bilgileri, iş süreçlerini ve kuruluş birimlerini belgenin kapsamında yöneteceğinizi belirleyin. Başvuru formu bu sınırı ve sistemin uygulandığını gösteren hazırlığı somutlaştırır.

Kapsamı bilgi işlem departmanıyla sınırlı düşünmeyin

TSE, TS ISO/IEC 27001 yaklaşımını çalışanlar, iş süreçleri ve bilgi teknolojileriyle birlikte açıklar. Korunan özellikler gizlilik, bütünlük ve erişilebilirliktir. Risk analizi, politika, farkındalık, kontroller, izleme ve iyileştirme aynı yönetim yaklaşımının parçalarıdır. TSE BGYS, Bilgi ve Bilgi güvenliği yönetimi

Hazırlık için müşteri bilgisi, çalışan kaydı ve hizmet verisi gibi varlıklarınızın kim tarafından, nerede ve hangi amaçla kullanıldığını çıkarın. Bu örnekler zorunlu bir envanter sınıflandırması değildir; kapsam cümlenizde unutulan bir iş akışı olup olmadığını görmenize yardımcı olur.

Formda merkez, şube ve uzaktan çalışmayı gösterin

Bilişim başvuru formu kapsamı Türkçe ve İngilizce ister. Merkez ile diğer tesislerin çalışan sayıları, vardiya ve taşeronlar, teknolojik alanlar, sektörler ve uzaktan/hibrit yürütülen süreçler ayrı alanlardır. Merkez dışındaki her tesis için Bölüm B düzenlenir. Bilişim başvuru formu, A4–A11 ve B

Ticari unvan, hizmet kapsamı ve tesis listesini aynı dosya içinde tutarlı yazın. Örneğin uzaktan çalışan yazılım ekibi kapsamdaysa yalnız ofisteki personel sayısını kullanmayın. Belge üzerinde yer almasını istediğiniz faaliyetleri satış sloganı yerine yürütülen iş olarak anlatın.

Sistem belgelerini tetkik hazırlığıyla birlikte tamamlayın

Formun C-1 bölümü BGYS için uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisini sayar. Ayrıca kapsamın yasal şartlara uyum kaydı ve belirtilen istisnalarla ticaret sicili ile imza sirküleri istenir. Tetkike kadar en az bir iç tetkik ve yönetimin gözden geçirmesi tamamlanmalı; sistem muhtemel belgelendirme tarihine kadar en az iki aydır uygulanıyor olmalıdır. Bilişim başvuru formu, C-1 ve Not

Bunu iki ayda kesin belge alınacağı sözü olarak okumayın. Dosyanın hazır görünmesi ile politikaların çalışanlar tarafından uygulanması farklıdır. İç tetkikte tespit ettiğiniz aksaklıkların sorumlusunu, düzeltmesini ve sonucunu izleyin.

Hassas bilgi için inceleme yöntemini önceden netleştirin

A7 alanında tetkik ekibinin görmesinin sakıncalı olduğu gizli/hassas bilgi sorulur. Form, bu kısıt nedeniyle sistemin yeterince denetlenemediği sonucuna varılabileceğini belirtir. Başvuru prosedürü de güvenlik gerekçesiyle teslim edilmeyen belgelerin ilgili yönetici tarafından değerlendirilmesini düzenler. Bilişim başvuru formu, A7 SB-BTYS-PR-001, Başvurunun Değerlendirilmesi

Gizlilik sorununu dosya teslim günü ortaya çıkarmayın. Hangi kaydın nasıl incelenebileceğini birime önceden açıklayın; kendi seçtiğiniz karartmanın kabul edildiğini varsaymayın.

Başvuruyu doğru kanaldan iletin

Hizmet sayfası başvuruyu ıslak imzalı posta yolu olarak açıklar. Prosedürde elden, posta veya kargoyla imzalı form ve eklerin alınması; mücbir sebepte geçerli e-imzanın kontrol edilmesi düzenlenir. TSE BGYS, Başvuru SB-BTYS-PR-001, Başvurunun Kabulü

Başvurunuz hizmetlerin yönetimini de kapsıyorsa Bilgi Teknolojileri Hizmet Yönetimi Sistemi Belgelendirmesi ile farkı inceleyin. Entegre çalışmak, iki ayrı standardın başvuru ve kapsam bilgilerinin kendiliğinden aynı olması anlamına gelmez.

Bilişim formu ile genel formun bölüm numaraları farklı

Bu rehberde esas alınan bilişim formu SB-BTYS-FR-001’in 9 Şubat 2026 tarihli 19. revizyonudur. Genel SB-FR-001’de D30 altında görülen bilişim ekleri, bu hizmete özgü formda C1’dedir. Bilişim formu C1’de ticaret sicili gazetesinin kopyasını ister; kamu ve yurt dışı istisnası vardır. Genel formun yalnız tarih/sayı isteyen D1 satırını bu forma taşımayın. SB-BTYS-FR-001, C1, sayfa 6–7.

Teknoloji listesi bir alışveriş listesi değildir

A7; bilgi varlığı envanteri sayısını, sunucu teknolojisi ve sayısını, ağ/şifreleme teknolojisini, felaket kurtarma merkezinin bulunup bulunmadığını ve son kullanıcı sayısını sorar. A9’da bulut, yazılım, donanım, ağ ve veri tabanları gibi teknolojik alanlar; A10’da sektörler çoklu seçimle gösterilir. Formda bir teknolojinin sorulması, her başvurucunun o ürünü satın almasını veya aynı mimariyi kurmasını istemez. Mevcut yapıyı doğru anlatmak gerekir. SB-BTYS-FR-001, A7–A10, sayfa 4–5.

Örnek bir kontrol için bulutta çalışan bir uygulamanın hangi süreçte kullanıldığını, kimin yönettiğini ve kapsamınızdaki hangi bilgi gruplarıyla ilişkili olduğunu kendi kayıtlarınızla eşleştirebilirsiniz. Varlık envanteri sayısıyla çalışan sayısının farklı olabileceğini unutmayın. Şube personeli, taşeron ve uzaktan çalışan ekipleri formun ilgili alanlarında gösterin. Bu çalışma örneği bir zorunlu kontrol seçimi veya güvenlik yapılandırması önermez.

Transferde mevcut sertifikanın yanında raporlar da gerekir

C2; mevcut belge ve kapsam kopyası, transfer gerekçesi, geçerlilik durumuna ilişkin yazılı kayıt ve en son belgelendirme/yeniden belgelendirme ile sonraki gözetim raporlarını ekleriyle ister. Sadece sertifikanın ön yüzünü eklemek bu dosyayı tamamlamaz. Raporda geçen tesis ve kapsamın transfer talebinizle aynı olup olmadığını kontrol edin. SB-BTYS-FR-001, C2, sayfa 7.

Son sayfa, mücbir sebepler nedeniyle ıslak imzalanamayan başvuru belgelerinin e-imza ile imzalanabileceğini; tetkik sırasında veya sonrasında imzalı ve kaşeli gönderimin esas olduğunu açıklar. Bu istisnayı bütün başvuruların yalnız normal e-postayla tamamlanacağı şeklinde yorumlamayın. Gönderilen formun sürümü, imza yöntemi ve ek listesi başvuru kaydınızda birlikte bulunsun. SB-BTYS-FR-001, sayfa 9.