ISO/IEC 27036 standart serisi, kuruluşların tedarikçi ilişkileri bağlamında bilgi ve bilgi sistemlerini güvence altına almalarına yardımcı olmak için rehberlik sağlayan çok parçalı bir standarttır. Bu seri, tedarikçi ilişkilerinde bilgi güvenliği risklerinin yönetilmesine yönelik kılavuzlar sunar.
ISO/IEC 27036, ISO/IEC 27001, 27002, 27005, 28000, 27017 ve 27701 gibi birçok standartla birlikte uyumlu kullanılabilir. Özellikle tedarikçi ilişkilerinde bilgi güvenliğini sağlamak, riskleri yönetmek ve bulut hizmetleri güvenliği açısından bu standartlarla entegre edilmesi önemlidir.
ISO/IEC 27036 serisi aşağıdaki parçalardan oluşur:
- ISO/IEC 27036-1:2021 – Siber güvenlik – Tedarikçi ilişkileri – Bölüm 1: Genel bakış ve kavramlar: Bu bölüm, serinin giriş kısmını oluşturur ve tedarikçi ilişkileri bağlamında bilgi güvenliğini sağlamaya yönelik genel bir bakış ve temel kavramları sunar.
- ISO/IEC 27036-2:2022 – Siber güvenlik – Tedarikçi ilişkileri – Bölüm 2: Gereksinimler: Bu bölüm, tedarikçi ilişkilerinde bilgi güvenliğini sağlamak için gerekli olan spesifik gereksinimleri tanımlar.
- ISO/IEC 27036-3:2023 – Siber güvenlik – Tedarikçi ilişkileri – Bölüm 3: Donanım, yazılım ve hizmetler tedarik zinciri güvenliği için kılavuzlar: Bu bölüm, donanım, yazılım ve hizmetlerin tedarik zincirinde bilgi güvenliği risklerinin yönetilmesine yönelik kılavuzlar sağlar.
- ISO/IEC 27036-4:2016 – Siber güvenlik – Tedarikçi ilişkileri – Bölüm 4: Bulut hizmetlerinin güvenliği için kılavuzlar: Bu bölüm, bulut hizmetleri tedarikçilerinin ve müşterilerinin bilgi güvenliği risklerini yönetmelerine yardımcı olacak kılavuzlar sunar.
ISO/IEC 27036 hangi ISO standartları ile uyumlu kullanılabilir?
ISO/IEC 27036, tedarikçi ilişkilerinde bilgi güvenliği yönetimi için rehberlik sunan bir standart serisidir ve birçok ISO/IEC 27000 serisi standardı ile uyumlu olarak kullanılabilir. Özellikle aşağıdaki standartlarla birlikte uygulanabilir:
- ISO/IEC 27000 Serisi ile Uyum
ISO/IEC 27036, genel bilgi güvenliği yönetim sistemlerini ele alan ISO/IEC 27000 serisi standartlarıyla birlikte kullanılabilir:
- ISO/IEC 27001 – Bilgi Güvenliği Yönetim Sistemi (BGYS): ISO/IEC 27036, tedarikçi ilişkilerinde bilgi güvenliği risklerini ele alırken, ISO/IEC 27001 genel bilgi güvenliği yönetim çerçevesini belirler.
- ISO/IEC 27002 – Bilgi güvenliği kontrolleri için uygulama kuralları: ISO/IEC 27036’nın tedarikçi güvenliği yönetimi ile ilgili kontrolleri, ISO/IEC 27002’nin kontrol çerçevesi ile entegre edilebilir.
- ISO/IEC 27005 – Bilgi güvenliği risk yönetimi: ISO/IEC 27036’da ele alınan tedarik zinciri risk yönetimi süreçleri, ISO/IEC 27005’in genel risk yönetimi metodolojisi ile uyumlu çalışabilir.
- ISO/IEC 27019 – Enerji sektörü için bilgi güvenliği: Enerji sektöründe tedarikçi yönetimi ile ilgili risklerin ele alınması açısından ISO/IEC 27036 ile uyumludur.
- ISO/IEC 27701 – Gizlilik bilgi yönetimi sistemi (PIMS): Tedarikçilerin işlediği kişisel verilerin korunması açısından ISO/IEC 27036 ile birlikte kullanılabilir.
Tedarik Zinciri ve Siber Güvenlik Standartları ile Uyum
ISO/IEC 27036, tedarik zinciri güvenliği ile ilgili aşağıdaki standartlarla birlikte de uygulanabilir:
- ISO/IEC 28000 – Tedarik zinciri güvenliği yönetim sistemi: Tedarik zincirinin fiziksel güvenliği için kullanılan bu standart, ISO/IEC 27036’nın bilgi güvenliği odaklı yönleri ile entegre edilebilir.
- ISO/IEC 20243 – Güvenilir tedarik zinciri için Open Trusted Technology Provider Standard (O-TTPS): Tedarikçi güvenliği için donanım ve yazılım tedarikçilerinin güvenilirliğini sağlamak açısından ISO/IEC 27036 ile uyumludur.
- NIST SP 800-161 – Tedarik zinciri risk yönetimi: ISO/IEC 27036 ile birlikte kullanılarak kritik altyapılarda tedarikçi güvenliği sağlanabilir.
Bulut Güvenliği ile İlgili Standartlarla Uyum
Özellikle ISO/IEC 27036-4, bulut hizmetlerinin güvenliği ile ilgili olduğundan aşağıdaki standartlarla uyumlu kullanılabilir:
- ISO/IEC 27017 – Bulut güvenliği için kontrol önlemleri: ISO/IEC 27036-4’te ele alınan bulut hizmetleri tedarik güvenliği, ISO/IEC 27017’nin bulut hizmetleri için belirlediği ek kontroller ile entegre edilebilir.
- ISO/IEC 27018 – Bulut hizmetlerinde kişisel veri koruması: Tedarikçilerin işlediği kişisel verilerin korunması için ISO/IEC 27036-4 ile birlikte kullanılabilir.
Daha fazla bilgi için bizimle iletişime geçin! sales@cfecert.co.uk
