ISO 27001 sigorta şirketleri ve yazılım tedarikçileri için neden önemli?

ISO 27001, kuruluşların bilgi güvenliği yönetim sistemini (BGYS, Information Security Management System, ISMS) kurmasını, işletmesini, izlemesini ve sürekli iyileştirmesini tanımlayan uluslararası standarttır. Tam adı ISO/IEC 27001 olan standardın güncel sürümü 2022 yılında yayımlanmıştır ve Türkiye'de Türk Standardları Enstitüsü (TSE) tarafından Türk standardı olarak da benimsenmiştir. Standart bir güvenlik ürünleri listesi değildir; hangi bilginin nasıl korunacağına risk temelli karar veren, bu kararları belgeleyen ve düzenli olarak denetleyen bir yönetim sistemi çerçevesidir.

Sigorta şirketleri; kimlik, iletişim, araç, sağlık ve banka bilgisi gibi yüksek hassasiyetli verileri acente, banka, eksper, anlaşmalı servis, sağlık kurumu ve yazılım tedarikçisi gibi çok sayıda tarafla paylaşarak iş yapar. Bu nedenle ISO 27001 sigorta sektöründe yalnızca şirketin kendisi için değil, veri zincirindeki her halka için ortak bir güven dili işlevi görür.

ISO 27001 sigorta şirketleri için neden önemli?

ISO 27001, sigorta şirketine dağınık güvenlik önlemlerini denetlenebilir tek bir yönetim sistemine bağlama imkânı verir. Standart; yönetim sorumluluğunu, risk değerlendirmesini, kontrol seçimini ve iç denetimi aynı iyileştirme döngüsüne yerleştirir.

Sigorta sektörü açısından öne çıkan nedenler şunlardır:

• Özel nitelikli veri yoğunluğu: Sağlık ve hayat ürünleri, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında özel nitelikli kişisel veri işler. KVKK uyumlu sigorta yazılımı tasarımında beklenen teknik ve idari tedbirlerin önemli bir kısmı ISO 27001 kontrolleriyle örtüşür.
• Düzenleyici beklentiler: SEDDK, sigorta ve emeklilik şirketlerinden bilgi sistemlerinin güvenli yönetimi, iş sürekliliği ve bağımsız denetim konularında beklentiler ortaya koyar. ISO 27001 bu düzenlemelerin yerine geçmez; ancak istenen süreçlerin sistematik biçimde işletildiğini gösteren güçlü bir altyapı sağlar. Konu, sigorta yazılımında mevzuat uyumu başlığıyla birlikte ele alınmalıdır.
• Çok taraflı entegrasyonlar: SBM, bankasürans kanalı, acente portalları ve ödeme kuruluşlarıyla kurulan bağlantılar saldırı yüzeyini genişletir. Erişim yönetimi, kayıt tutma ve değişiklik yönetimi kontrolleri bu entegrasyonların tutarlı biçimde yönetilmesini sağlar.
• Uluslararası grup ve reasürans ilişkileri: Yurt dışı ortaklı şirketler, ana ortaklarının ve reasürörlerinin bilgi güvenliği anketlerine yanıt verir. Geçerli ve kapsamı doğru belirlenmiş bir sertifika bu süreçleri kısaltır.
• Siber risk ve itibar: Bir veri ihlali, sigorta şirketi için hem idari yaptırım hem de müşteri güveni kaybı anlamına gelir. Standart, olay yönetimini önceden tasarlanmış ve prova edilmiş bir süreç hâline getirir.

Yazılım tedarikçileri için ISO 27001 neden önemli?

Sigorta şirketine yazılım geliştiren, entegrasyon kuran veya sistem işleten bir tedarikçi, müşterisinin veri zincirinin doğrudan parçasıdır. ISO 27001, tedarikçinin bu sorumluluğu belgelenmiş süreçlerle yönettiğini bağımsız bir denetimle kanıtlamasını sağlar.

Standardın 2022 sürümü tedarikçi ilişkilerini ayrıntılı ele alır: tedarikçi ilişkilerinde bilgi güvenliği, tedarikçi sözleşmelerinde güvenlik şartları, bilgi ve iletişim teknolojileri tedarik zinciri, tedarikçi hizmetlerinin izlenmesi ve bulut hizmetlerinin güvenli kullanımı ayrı kontroller olarak tanımlanmıştır. Bu, sertifikalı bir sigorta şirketinin tedarikçisinden sözleşme, denetim ve izleme düzeyinde somut kanıt isteyeceği anlamına gelir.

Yazılım tedarikçisinden beklenen somut uygulamalar genellikle şunlardır:

• Güvenli yazılım geliştirme yaşam döngüsü, güvenli kodlama kuralları ve düzenli güvenlik testleri
• Geliştirme, test ve canlı ortamların birbirinden ayrılması
• Test ortamında gerçek müşteri verisi kullanılmaması ya da verinin maskelenmesi
• Kaynak kod, yapılandırma ve erişim bilgileri için yetki yönetimi ve çok faktörlü kimlik doğrulama
• Güvenlik olaylarının müşteriye bildirilme süresi ve yönteminin tanımlı olması
• Alt yüklenici kullanımı ve kritik personel değişikliklerinin müşteriye bildirilmesi

Sertifika, sigorta yazılım firması seçimi sürecinde tek başına karar ölçütü olmamalıdır. Ancak sertifikanın kapsam ifadesi ve uygulanabilirlik bildirgesi, tedarikçinin güvenlik olgunluğu hakkında somut ipuçları verir.

ISO 27001:2022 hangi yapıdan oluşur?

ISO 27001 iki ana bölümden oluşur: yönetim sistemi şartlarını tanımlayan 4 ile 10 arasındaki maddeler ve seçilebilecek güvenlik kontrollerini listeleyen Ek A (Annex A). Belgelendirme denetimi her iki bölümü de kapsar.

Yönetim sistemi maddeleri; kuruluşun bağlamı, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme başlıklarını içerir. Kapsam belirleme, risk değerlendirme metodolojisi, bilgi güvenliği hedefleri, iç denetim ve yönetimin gözden geçirmesi bu bölümün zorunlu unsurlarıdır.

2022 sürümünde Ek A, dört tema altında toplanmış 93 kontrolden oluşur:

2022 sürümüyle eklenen kontroller arasında tehdit istihbaratı, bulut hizmetlerinin güvenli kullanımı, yapılandırma yönetimi, bilginin silinmesi, veri maskeleme, veri sızıntısının önlenmesi, izleme faaliyetleri ve güvenli kodlama gibi başlıklar vardır. Bu başlıkların çoğu, dijital kanalları ve API entegrasyonları yoğun olan sigorta şirketleri için doğrudan önem taşır.

Kontrollerin tamamını uygulamak zorunlu değildir. Kuruluş, risk değerlendirmesine göre hangi kontrolleri uygulayacağını ve hangilerini neden dışarıda bıraktığını uygulanabilirlik bildirgesi (Statement of Applicability, SoA) adlı belgeyle gerekçelendirir.

ISO 27001 belgelendirmesi hangi adımlarla alınır?

ISO 27001 belgesi, akredite bir belgelendirme kuruluşunun yaptığı iki aşamalı denetim sonucunda verilir ve üç yıl geçerlidir; bu süre içinde yıllık gözetim denetimleri yapılır. Hazırlık süresi, kuruluşun mevcut olgunluğuna ve kapsamın genişliğine göre değişir.

1. Kapsamı belirleyin. Hangi lokasyonların, süreçlerin, sistemlerin ve hizmetlerin BGYS'ye dahil olacağını tanımlayın. Sigorta şirketinde çekirdek sistemler, veri merkezi ve dijital kanallar; yazılım tedarikçisinde ise geliştirme, entegrasyon ve destek hizmetleri tipik kapsamdır.
2. Yönetim taahhüdünü alın. Bilgi güvenliği politikası, roller ve sorumluluklar üst yönetim tarafından onaylanmalıdır.
3. Varlık envanterini çıkarın. Uygulamalar, veri tabanları, entegrasyon noktaları, belgeler ve tedarikçiler listelenmeli ve her birine sahip atanmalıdır.
4. Risk değerlendirmesi yapın. Her varlık için tehdit, zafiyet, olasılık ve etki değerlendirilmeli; kabul edilemeyen riskler için risk işleme planı hazırlanmalıdır.
5. Uygulanabilirlik bildirgesini hazırlayın. Ek A kontrollerinin her biri için uygulanıp uygulanmadığını ve gerekçesini yazın.
6. Kontrolleri uygulayın ve kanıt üretin. Politika yazmak yetmez; erişim gözden geçirme kayıtları, eğitim katılım listeleri, yedekten geri dönüş testleri gibi kanıtlar düzenli üretilmelidir.
7. İç denetim ve yönetimin gözden geçirmesini yapın. Belgelendirme denetiminden önce en az bir tam döngü tamamlanmalıdır.
8. Belgelendirme denetimine girin. Birinci aşamada doküman ve hazırlık, ikinci aşamada kontrollerin uygulamadaki etkinliği denetlenir.

Hangi yaygın hatalar sertifikanın değerini düşürür?

Sertifikanın değeri, kapsamının gerçek riski kapsayıp kapsamadığına ve sistemin denetimler arasında da işletilip işletilmediğine bağlıdır. Kâğıt üzerinde kalan bir BGYS, ilk ciddi olayda işe yaramaz.

• Dar kapsam: Yalnızca merkez ofis veya tek bir veri merkezi kapsama alınıp asıl riskli olan yazılım geliştirme ya da dijital kanallar dışarıda bırakılabilir. Sertifikanın kapsam ifadesi mutlaka okunmalıdır.
• Şablon risk analizi: Sektöre özgü tehditleri içermeyen genel risk listeleri. Acente kullanıcılarının hesap paylaşması, teklif ekranları üzerinden toplu veri sorgulanması veya hasar dosyası belgelerinin yetkisiz paylaşımı gibi senaryolar risk analizinde yer almalıdır.
• Tedarikçi yönetiminin atlanması: Kritik tedarikçiler için güvenlik şartlarının sözleşmeye yazılmaması ve düzenli değerlendirme yapılmaması.
• Geliştirme sürecinin dışarıda kalması: Güvenli kodlama ve güvenlik testi kontrollerinin yalnızca politika metninde yer alması, geliştirme hattına (pipeline) yansımaması.
• Denetim öncesi kampanya: Kanıtların yılda bir kez, denetimden hemen önce toplu olarak üretilmesi.

Bu riskler, sigortacılıkta siber güvenlik önlemlerinin teknik tarafıyla birlikte ele alındığında anlam kazanır. ISO 27001 çerçeveyi kurar; sızma testi, kimlik yönetimi ve izleme gibi teknik önlemler çerçevenin içini doldurur.

Sigorta şirketi ve tedarikçi için ortak kontrol listesi

Aşağıdaki sorular, bir yazılım tedarikçisiyle çalışmaya başlamadan önce ya da mevcut bir ilişkiyi yıllık olarak gözden geçirirken kullanılabilir:

• Tedarikçinin ISO 27001 sertifikasının kapsamı, verilen hizmeti gerçekten içeriyor mu?
• Sertifika ISO/IEC 27001:2022 sürümüne göre mi düzenlenmiş, geçerlilik tarihi ve belgelendirme kuruluşunun akreditasyonu doğrulandı mı?
• Sözleşmede güvenlik olayı bildirim süresi, denetim hakkı ve iş bitiminde veri iadesi ya da imhası maddeleri var mı?
• Test ortamlarında gerçek kişisel veri kullanılmadığı nasıl kanıtlanıyor?
• Tedarikçi personelinin sistem erişimleri kişiye özel mi ve düzenli gözden geçiriliyor mu?
• Kaynak kod, yapılandırma ve gizli anahtarlar nerede ve nasıl saklanıyor?
• Sızma testleri hangi sıklıkla yapılıyor ve bulguların kapanışı izleniyor mu?
• İş sürekliliği ve felaket kurtarma senaryoları iki taraf arasında birlikte test ediliyor mu?

ProdayTech olarak sigorta şirketleriyle yürüttüğümüz geliştirme ve entegrasyon projelerinde bu soruları proje başlangıcında birlikte cevaplamayı ve güvenlik gereksinimlerini sonradan eklenen bir kontrol olarak değil, teslimatın parçası olarak ele almayı tercih ediyoruz.