Bulut güvenliğinde ISO 27017 ve ISO 27018 arasındaki farklar

Bulut hizmetinde ISO 27017 ile ISO 27018 aynı odakta değildir. TSE, ISO 27017’yi bulut hizmetlerinde bilgi güvenliği; ISO 27018’i bulut hizmetlerinde kişisel verilerin korunması başlığıyla sunar. Hizmetinizdeki bilgi güvenliği kapsamıyla kişisel veri işleme rolünü ayrı tanımlamak, uygun başvuru konusunu seçmenizi sağlar. TSE 27017, Bilgi; TSE 27018, Bilgi.

Bulut ilişkisindeki rolünüzü belirleyin

Kendi yazılımınızı bulut üzerinden mi sunuyorsunuz, başka bir sağlayıcının hizmetini mi kullanıyorsunuz? Müşteri verisini hangi ortamda tuttuğunuzu ve hangi alt hizmet sağlayıcılardan yararlandığınızı yazın. Aynı kuruluş bazı faaliyetlerde müşteri, diğerlerinde sağlayıcı olabilir.

Bir bulut altyapısı sağlayıcısının belgesini, sizin uygulamanızın veya bütün şirketinizin belgesi gibi tanıtmayın. Değerlendirilen hizmet, tüzel kişi ve sorumluluklar belgenin kapsamıyla birlikte okunmalıdır. TSE 27017 açıklaması bulut hizmeti sağlayıcısı ile kullanıcısının güvenlik sorumluluklarına birlikte değinir. TSE 27017.

Güvenlik kapsamı ile kişisel veri kapsamını eşleştirin

Önerilen hazırlık haritanızda hizmet adı, işlenen bilgi türü, kişisel veri bulunup bulunmadığı, sağlayıcı ve müşteri sorumlusu yer alabilir. Bu harita resmî zorunlu form değildir; başvuru kapsamının operasyonla tutarlılığını incelemek içindir.

Örneğin müşteri hesabı, destek kayıtları ve uygulama içeriği farklı veri akışları olabilir. Sadece sunucu konumunu yazmak; erişim, yönetim ve silme görevlerinin kimde olduğunu açıklamaz. Teknik ekip ile sözleşmeden sorumlu ekibin aynı hizmeti tarif ettiğini kontrol edin. Seçilecek önlemleri, kullandığınız standardın güncel şartları ve gerçek riskler üzerinden değerlendirin.

TSE’nin başvuru ve akreditasyon bilgisini okuyun

İncelenen SB-FR-001 formu, bu programlara başvuruda akredite kuruluştan ISO 27001 belgesi koşulunu belirtir. D-30 bölümünde uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisi gibi ekler listelenir. TSE başvuru formu, A-2 ve D-30.

Ayrıca TSE’nin incelenen 27017 ve 27018 hizmet sayfaları bu belgelendirmelerde akreditasyon bulunmadığını açıklar. Dolayısıyla mevcut ISO 27001 belgesinin akreditasyonunu bu ek programlara otomatik taşımayın; müşterinin talep ettiği akreditasyon kapsamını teklif aşamasında kontrol edin. 27017; 27018.

Sözleşme beklentisini somutlaştırın

• Müşteri hangi standardı ve hangi hizmet kapsamını istiyor?
• Başvuran kuruluşun rolü belli mi?
• Temel ISO 27001 belgesinin kapsamı aynı hizmeti içeriyor mu?
• Teklifin akreditasyon durumu açık mı?

Bir program belgesi, bütün kişisel veri mevzuatı yükümlülüklerinin tamamlandığına ilişkin genel bir onay olarak sunulmamalıdır. Program seçimi ile veri işleme faaliyetinin hukuki değerlendirmesi ayrı sorulardır.

Konuya ilişkin ana rehber: Bulut Hizmetlerinde Bilgi Güvenliği Yönetim Sistemi (BBYS) Belgelendirmesi.

Aynı işletmede iki kapsam nasıl ortaya çıkabilir?

Örneğin işletmeniz bulut üzerinden bir destek uygulaması sunuyor, uygulamanın altyapısını dışarıdan alıyor olsun. Uygulama hesaplarının yönetimi, hizmetin işletimi ve tarafların güvenlik sorumlulukları BBYS kapsam görüşmesinde açıklanacak konulardır. Uygulama içindeki kişisel verilerin işlenme rolü ve korunması ise BKYS görüşmesinin odağını belirginleştirir. Bu örnek iki belgeye de kesin başvurmanız gerektiği kararı değildir; hangi ihtiyacın hangi soruyla ilişkili olduğunu gösterir.

Önce müşterinizin talebini kelimesi kelimesine alın: sadece standart kodu mu yazıyor, belirli hizmet veya kuruluş kapsamı da var mı? Ardından kendi faaliyetinizle karşılaştırın. Dış sağlayıcıya ait bir belge, onun kapsamını anlatır. Sizin geliştirdiğiniz uygulamanın, destek ekibinizin veya bütün müşteri ilişkilerinizin ayrıca değerlendirildiğini tek başına göstermez.

Başvuru dosyasında ortak olanlar ve farklılaşanlar

6 Şubat 2026 bilişim prosedürü 27017 ve 27018 için uygun akreditasyon kapsamıyla düzenlenmiş ISO/IEC 27001 belgesini ön koşul olarak açıklar. 9 Şubat 2026 bilişim formunda her iki program için uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisi yer alır. Form ayrıca Türkçe/İngilizce kapsam ve merkez dışı tesis bilgilerini ister. SB-BTYS-PR-001, sayfalar 2–3; SB-BTYS-FR-001, A4, B ve C-1

Eklerin adının aynı olması dosyaların düşünmeden kopyalanabileceği anlamına gelmez. Kapsama alınan hizmeti, taraf rollerini ve o hizmete ilişkin mevcut uygulamayı doğru anlatmalıdır. Genel yönetim sistemleri formu ile bilişim formunun belge kodları ve sürümleri farklıdır; başvurunuzda kullanılacak paketi ilgili birim üzerinden seçin. Bir formun daha yeni tarihli olması, farklı başlıklı bütün belgeleri kendiliğinden kaldırdığı anlamına gelmez.

Karşılaştırma için beş soruluk not

• İstenen sonuç: Müşteri bilgi güvenliği mi, bulutta kişisel veri korunması mı, her ikisi mi istiyor?
• Taraf: Belgeyi başvuran şirket mi, onun altyapı sağlayıcısı mı sunacak?
• Faaliyet: Hangi hizmet ve tesis değerlendirme sınırında?
• Ön koşul: Mevcut BGYS belgesinin kuruluşu, kapsamı ve akreditasyon durumu uygun mu?
• Teslim beklentisi: Talepte özellikle standardın baskısı veya akredite belge niteliği yazıyor mu?

Bu notu hazırladıktan sonra açık soruları TSE ile kapsam görüşmesinde ele alabilirsiniz. Yakın standart numaralarından hareketle bütün kontrollerin aynı olduğu, birinin diğerini otomatik kapsadığı veya belgenin bütün hukuki yükümlülükleri karşıladığı sonucu çıkarılmamalıdır. Ayrıntılı hazırlık için BKYS rehberine geçebilirsiniz.