Bulut Hizmetlerinde Kişisel Verilerin Korunması Yönetim Sistemi (BKYS)

BKYS başvurusunu yalnız standart numarası seçerek başlatmayın. İhtiyaç buluttaki kişisel verilerin korunması ile ilgili olmalıdır. Önce mevcut bilgi güvenliği belgenizin durumunu ve başvurunun hangi hizmet veya tesisleri kapsayacağını kontrol edin.

Programın odağını doğru belirleyin

TSE, TS EN ISO/IEC 27018 hizmetini buluttaki kişisel verilerin korunması kapsamında tanımlar. TSE BKYS, Bilgi

Hangi kişisel veri grubunun hangi bulut hizmetinde işlendiğini, veriye kimlerin eriştiğini ve hizmeti hangi kuruluşun sunduğunu hazırlık notunuzda gösterin. Gerçek kişilere ait örnek kayıtları gereksiz yere başvuru dosyasına eklemeyin. Kapsam notunu, mevcut belgenizin faaliyet açıklamasıyla karşılaştırın. İki metindeki kuruluş, tesis ve hizmet adları farklıysa bunun nedenini başvuru öncesinde açıklığa kavuşturun.

Önce uygun ISO/IEC 27001 belgesini kontrol edin

Güncel bilişim başvuru prosedürü 27017, 27018 ve 27019 başvurularında ISO/IEC 27001 belgesini esas alır. Belge, IAF üyesi akreditasyon kuruluşunca akredite edilmiş ve akreditasyon kapsamında ISO/IEC 27001 bulunan bir belgelendirme kuruluşundan alınmalıdır. BGYS belgesi bulunmayan kuruluş önce BGYS için başvurur. Mevcut belge başvuru formuna eklenir. SB-BTYS-PR-001, 06.02.2026/7, Başvurunun Kabulü

Sadece bir danışmanlık sözleşmesi veya eğitim sertifikası bulunması bu ön koşulu karşılamaz. Belgenizin kuruluş adı, kapsamı ve geçerlilik durumunu okunabilir şekilde hazırlayın; kabulü birimin değerlendirmesine bırakın.

Akreditasyon bilgisini başka programa taşımayın

TSE hizmet sayfası, TS EN ISO/IEC 27018 belgelendirmesi için akreditasyonunun bulunmadığını açıkça belirtir. TSE BKYS, Bilgi — akreditasyon açıklaması

Bu bilgiyle ön koşul olan BGYS belgesinin akreditasyon şartını karıştırmayın. Müşteri veya ihale şartınız özellikle akredite belge istiyorsa hangi standardı ve hangi kapsamı kastettiğini belgeyi sipariş etmeden netleştirin. Başka bir TSE programının akreditasyonu burada otomatik kanıt değildir.

Form ve sistem kayıtlarını birlikte hazırlayın

Bilişim başvuru formunda 27018 için uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisi sayılır. Kapsam Türkçe ve İngilizce yazılır; merkez dışı tesisler ayrıca bildirilir. C-1 notunda tetkik öncesi en az bir iç tetkik ve yönetimin gözden geçirmesi ile muhtemel belgelendirmeye kadar en az iki aylık sistem uygulaması yer alır. Bilişim başvuru formu, A4, B ve C-1

Mevcut BGYS dosyanızdan yararlanırken bu programa özgü kapsamı görünür kılın. Kopyalanmış fakat yeni faaliyeti açıklamayan bir politika yerine kullanılan süreç ve sorumlulukları doğru anlatın. Bu hazırlık, başvurunun kabul edileceği veya tetkikin tek seferde biteceği vaadi değildir.

Kişisel verinin hizmet içindeki yolunu görünür kılın

Bir insan kaynakları yazılımını bulut üzerinden sunan kuruluş için çalışan özlük bilgileri, müşteri şirketin yetkili kullanıcıları ve destek talepleri aynı kayıt grubu değildir. Hazırlıkta her birinin hangi işlevde kullanıldığını ve hangi tarafın sorumluluğunda olduğunu ayrı açıklayın. Bu örnek, bütün bulut hizmetlerinin aynı verileri işlemesi gerektiği anlamına gelmez.

Teknik ekipten yalnız sunucuların listesini almak yeterli bir kapsam açıklaması sağlamayabilir. Müşteri verisinin uygulamaya girişi, yetkili destek personelinin erişimi, hizmet sağlayıcısının değişmesi ve hizmetin sona ermesi gibi aşamalarda fiilen ne yapıldığını öğrenin. Ardından sözleşme ve politika metinlerindeki anlatımla karşılaştırın. Böylece belgede sözü edilen hizmet ile satılan hizmet arasındaki sınır daha anlaşılır olur.

Çalışma dosyasında hangi bilgileri eşleştirebilirsiniz?

Aşağıdaki düzen bir hazırlık önerisidir; ISO/IEC 27018'in bütün teknik hükümlerinin veya zorunlu form alanlarının yerine geçmez:

• Faaliyet: Veriyi kullanan belirli hizmet veya işlem.
• Taraf ve görev: Müşteri, hizmet sağlayıcısı ve varsa alt hizmet sağlayıcısının yaptığı iş.
• Kayıt yeri: Uygulama, destek sistemi veya başka saklama ortamı.
• Erişim ve değişiklik: İşlemi yapabilen ekip ile yetkiyi belirleyen sorumlu.
• Hizmetin sona ermesi: Verinin iadesi veya silinmesiyle ilgili mevcut düzenleme ve açık sorular.
• Dayanak: Bu açıklamayı destekleyen yürürlükteki sözleşme, politika veya uygulama kaydı.

Örneğin sözleşmede “müşteri verisine destek ekibi erişmez” yazarken destek çalışanlarının gerçek kayıtlara erişebildiği görülüyorsa önce bu farkın nedenini çözün. Kâğıt üzerindeki ifade değiştirilmeden veya uygulama değerlendirilmeden sadece yeni belge adı eklemek, kapsamı açıklığa kavuşturmaz.

Hassas başvuru dokümanları nasıl ele alınır?

Bilişim başvuru formu varlıklar ve hassas bilgiye ilişkin kısıtları da sorar. Prosedürde BGYS dokümanlarının güvenlik nedeniyle sunulamaması konusu birimin değerlendirmesine bağlanır. “Gizli” etiketi koyarak istenen bütün eklerden tek taraflı vazgeçmeyin; hangi dokümanın hangi yöntemle inceleneceğini başvuru birimiyle netleştirin. Başvuru formu, A7; Başvuru prosedürü, sayfa 4

Başvuru hazırlığında gerçek kişilere ait toplu veriyi gereksiz yere çoğaltmak yerine istenen sistem dokümanını belirleyin. Bir politikanın varlığını göstermek ile binlerce müşterinin kaydını paylaşmak farklı işlemlerdir. Bu rehber üzerinden kişisel veri veya gizli müşteri dosyası göndermeniz gerekmez.

Belge beklentisini satın alma şartıyla karşılaştırın

Müşterinin talebi 27018 belgesi ise kendi bulut tedarikçinizin belgesini şirketinizin belgesi olarak sunamazsınız. Talep edilen kuruluş, faaliyet, standart baskısı ve akreditasyon ifadesi aynı olmalıdır. BKYS belgesi almayı, her veri aktarımının veya bütün kişisel veri işlemlerinin hukuken uygunluğuna ilişkin genel onay olarak da yorumlamayın. Kapsam seçimini ayrıntılandırmak için 27017 ve 27018 karşılaştırmasını inceleyin.

İmzalı başvuruyu ve ilgili program ayrımını izleyin

Hizmet sayfasında ıslak imzalı posta başvurusu belirtilir. Prosedür elden, posta veya kargoyla form ve eklerin alınmasını; mücbir sebeple e-imza kullanımında geçerlilik kontrolünü açıklar. TSE BKYS, Başvuru SB-BTYS-PR-001, Başvurunun Kabulü

Başvuru kapsamınızı karşılaştırmak için Bulut Hizmetlerinde Bilgi Güvenliği Yönetim Sistemi (BBYS) Belgelendirmesi yazısını da okuyun. Standartların yakın numaralara sahip olması, birinin diğerinin yerini tuttuğu anlamına gelmez.