ISO/IEC 27001:2022 ile 2013 Arasındaki Farklar
9 Ağustos 2026
ISO/IEC 27001'in güncel sürümü ISO/IEC 27001:2022. Bir önceki sürüm 2013 tarihliydi ve aradaki fark yalnız "birkaç madde güncellendi" değil — kontrol yapısı baştan kurgulandı. Belge sahibi kurumlar için de, sertifika almayı planlayan profesyoneller için de bilinmesi gereken farkları toparladık.
En görünür değişiklik: Ek A yeniden yapılandırıldı
2013 sürümünde Ek A'da 114 kontrol, 14 başlık altında toplanmıştı. 2022 sürümünde kontroller 93'e indi ve 4 tema altında yeniden gruplandı:
| Tema | Kontrol sayısı |
|---|---|
| Organizasyonel | 37 |
| Kişiler | 8 |
| Fiziksel | 14 |
| Teknolojik | 34 |
Kontrol sayısının azalması "gereklilik azaldı" anlamına gelmiyor. Birbirini tekrarlayan kontroller birleştirildi; kapsam daralmadı, düzen sadeleşti.
11 yeni kontrol geldi
2022 sürümüyle birlikte, 2013'te karşılığı olmayan 11 yeni kontrol eklendi. Bunlar son on yılda değişen tehdit ortamını yansıtıyor:
- Tehdit istihbaratı
- Bulut hizmetleri kullanımı için bilgi güvenliği
- İş sürekliliği için BİT hazırlığı
- Fiziksel güvenlik izleme
- Yapılandırma yönetimi
- Bilgi silme
- Veri maskeleme
- Veri sızıntısı önleme
- İzleme faaliyetleri
- Web filtreleme
- Güvenli kodlama
Listeye bakınca eğilim net: bulut, veri sızıntısı ve izleme. 2013'te bunlar ya yoktu ya da başka kontrollerin içine dağılmıştı.
Öznitelikler (attributes) kavramı
2022 sürümünün getirdiği yapısal yeniliklerden biri, her kontrole öznitelik etiketleri atanabilmesi: kontrol türü, bilgi güvenliği özellikleri, siber güvenlik kavramları, operasyonel yetenekler, güvenlik alanları.
Bu, kontrolleri farklı bakış açılarıyla süzmeyi mümkün kılıyor — örneğin "önleyici kontroller" veya "gizlilikle ilgili kontroller" diye filtrelemek. Zorunlu bir gereklilik değil, ama raporlama ve iletişimi kolaylaştırıyor.
Ana metindeki değişiklikler
Madde 4–10 arasındaki ana gövde büyük ölçüde korundu; ISO'nun Uyumlaştırılmış Yapısı'na (Harmonized Structure) uyum için ifade düzeltmeleri yapıldı. Öne çıkanlar:
- Madde 4.4 — süreçlerin ve etkileşimlerinin belirlenmesi vurgusu netleşti