ISO 27001 Eğitim Seviyeleri: Farkındalık, İç Tetkikçi, Baş Denetçi — Hangisi Kime?
12 Ağustos 2026
"ISO 27001 eğitimi alacağız" cümlesi, kurum içinde neredeyse her zaman en az iki farklı şeyi kastediyor. Biri tüm çalışanların bilgi güvenliği farkındalığını düşünüyor, diğeri belgelendirme denetimine gireceği için yetkin bir denetçi arıyor. İkisi aynı eğitim değil — süresi, çıktısı ve maliyeti de aynı değil.
Tek bir "27001 eğitimi" yok. Dört ayrı ihtiyaç var, dördü farklı programa karşılık geliyor. Bu yazı hangisinin kime uygun olduğunu ayırıyor.
Dört seviye, tek bakışta
| Seviye | Kime | Standarttaki karşılığı | Çıktısı |
|---|---|---|---|
| Farkındalık | Tüm çalışanlar | Madde 7.3 — farkındalık | Kurum içi kayıt, kişisel sertifika değil |
| Temel / Foundation | Sürece yeni girenler, proje ekibi | Madde 7.2 — yetkinlik | Akredite kişi sertifikası (temel düzey) |
| İç tetkikçi | İç tetkik yapacak personel | Madde 9.2 — iç tetkik | Tetkik yürütme yetkinliği |
| Baş denetçi / Lead Auditor | Denetim yürütecekler | ISO 19011 · ISO/IEC 17021-1 | Akredite kişi sertifikası (lead düzey) |
Beşinci bir sütun da var ve sık atlanıyor: sistemi kuran kişi. O, denetçi değil — Lead Implementer (baş uygulayıcı)'dır. Aşağıda ayrı ele alıyoruz.
1. Farkındalık eğitimi — zorunlu, ama sertifika işi değil
ISO/IEC 27001 Madde 7.3, kuruluşun ilgili tüm personelin bilgi güvenliği politikasından, kendi katkısından ve uygunsuzluğun sonuçlarından haberdar olmasını gerektirir. Yani farkındalık eğitimi bir "nice to have" değil, standardın açık gerekliliğidir ve denetimde kanıtı sorulur.
Ama şunu netleştirelim: farkındalık eğitiminin çıktısı kişisel bir sertifikasyon değildir. Burada aranan şey, kurumun eğitimi verdiğini ve kimlerin katıldığını gösteren kayıttır — katılım listesi, içerik, tarih, ölçme sonucu.
Bu yüzden farkındalık eğitimi tipik olarak kuruma özel tasarlanır: sizin politikanız, sizin varlıklarınız, sizin gerçek olay örnekleriniz üzerinden. Yarım günden bir güne kadar sürer ve genelde tekrarlanır — çünkü personel değişir, tehdit değişir.
Kimler almalı: herkes. Yönetim dâhil.
2. Foundation — sürece girecekler için temel
Foundation, standardın kavramlarını, yapısını ve terminolojisini öğreten temel düzeydir. PECB tarafında 2 gün / 14 CPD kredisi olarak yürütülür ve ön koşulu yoktur.
Kimler almalı: BGYS projesine yeni dâhil olanlar, proje ekibinde yer alan ama uzmanlaşmayacak roller, satın alma veya İK gibi süreçle temas eden birimler; bir de Lead programına geçmeden önce zemin isteyen adaylar.