Siber Güvenlik Sertifikasyonları: Kuruma ve Kişiye Yön Veren Standartlar
ISO 27001’den temel hijyen sertifikalarına, kurumsal ve bireysel sertifikasyonlar güveni nasıl belgeler? Hangisi ne işe yarar?
Sertifikasyon, bir kurumun, ürünün ya da kişinin belirli bir ölçütü karşıladığını bağımsız biçimde belgelemesidir. İyi bir sertifika müşterilere ve iş ortaklarına güven verir; kurum içinde de disiplinli bir güvenlik pratiği kurmaya yardımcı olur. Ancak sertifika, alındığı andaki durumu belgeler; güvenlik ise süreklidir.
Üç farklı sertifikasyon türü
| Tür | Neyi belgeler? | Örnek |
|---|---|---|
| Yönetim sistemi | Kurumun bilgi güvenliğini sistematik yönettiğini | ISO/IEC 27001 (BGYS) |
| Ürün / sistem | Bir ürünün güvenlik işlevlerinin bağımsız değerlendirildiğini | Common Criteria (ISO/IEC 15408) |
| Kişi | Bireyin bilgi ve becerisini | Sektörün tanıdığı uzman sertifikaları |
Kurumsal sertifikasyon: ISO/IEC 27001
Bilgi güvenliği↗ yönetim sistemi (BGYS) için uluslararası standarttır; risk temelli ve süreç odaklıdır. Belgelendirmeyi bağımsız bir belgelendirme kuruluşu yapar; kuruluşun yetkinliğini ulusal akreditasyon kurumu (Türkiye’de TÜRKAK) güvence altına alır, bu yüzden belgelendirme kuruluşunun akreditasyonunu önceden kontrol edin. Adım adım uygulama için ayrı rehbere bakın.
Sektörel ve yasal uyum
Finans, sağlık, kamu ve kritik altyapı gibi alanlarda sektöre özgü düzenleme ve denetimler bulunur. Bunlar ISO sertifikasından bağımsızdır: bir sertifikaya sahip olmak, yasal yükümlülüklerin karşılandığı anlamına gelmez. 7545 sayılı Siber Güvenlik↗ Kanunu kapsamında kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetleri Başkanlıkça yetkilendirilmiş ve belgelendirilmiş sağlayıcılardan tedarik edilmelidir (m.7/1).
Temel hijyen programları
Birçok ülkede, en yaygın saldırıların çoğunu engelleyen temel kontrolleri belgeleyen, ulaşılabilir programlar vardır. KOBİ’ler için iyi bir başlangıçtır; kapsamı programı yayımlayan kurumun resmî belgesinden teyit edin.
Bireysel sertifikasyonlar
Uzmanlar için sertifikalar kariyer boyunca yol gösterir: temel seviye, savunma/operasyon, sızma testi↗, mimari ve yönetişim odaklı olanlar. Hangi sertifikanın hangi role uyduğunu görmek için NIST NICE Çerçevesi’nin iş rolleri ve görev, bilgi, beceri ifadeleri iyi bir ölçüttür. Sertifika yetkinlik garantisi değildir; öğrenmeyi yapılandırır ve ortak bir dil sağlar. Almadan önce şunlara bakın:
- Sınav uygulamalı mı yoksa yalnızca bilgi ölçen mi?
- Yenileme ve sürekli eğitim şartı var mı?
- İşverenin ya da ilan ettiğiniz rolün gerçekten aradığı belge bu mu?
Sertifika bir bitiş değil, başlangıçtır
Asıl değer, sertifikanın gerektirdiği pratikleri günlük işleyişe kalıcı olarak yerleştirmektir. Belgeyi vitrine koymak yerine, denetimde çıkan bulguları iyileştirme planına bağlayın.
Kaynaklar ve son gözden geçirme
- ISO/IEC 27001:2022 ve ISO/IEC 15408 (standart metinleri ISO veya TSE’den).
- 7545 sayılı Siber Güvenlik Kanunu (Resmî Gazete 32846): m.7/1.
- NIST SP 800-181 Rev. 1 (NICE Çerçevesi).
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır.
