ISO/IEC 15408 – Common Criteria (Bilgi Teknolojileri Güvenlik Değerlendirme Standardı)
Kapsam:
ISO/IEC 15408 (Common Criteria), bilgi teknolojileri ürün ve sistemlerinin güvenlik özelliklerinin uluslararası kabul görmüş kriterlere göre değerlendirilmesini sağlayan bir standarttır. Bu kapsamda kurulan sistem altyapısı; güvenlik hedeflerinin belirlenmesi, tehdit ve zafiyet analizlerinin yapılması, güvenlik gereksinimlerinin tanımlanması ve ürünlerin belirli güvenlik seviyelerine (EAL – Evaluation Assurance Level) göre test edilmesine dayanır. Böylece BT ürünlerinin güvenlik seviyesi objektif ve doğrulanabilir şekilde ortaya konur.
Faydalar:
BT ürünlerinin güvenlik seviyesini uluslararası geçerliliğe sahip şekilde belgelendirme imkânı sağlar. Siber güvenlik riskleri azaltılır ve güvenli ürün geliştirme süreçleri desteklenir. Kamu ve kritik sektör projelerinde yer alma avantajı sağlar. Uluslararası pazarlarda güvenilirlik artar ve regülasyonlara uyum kolaylaşır.
Mevzuat:
ISO 15408 kapsamında kurulan sistem altyapısı; Türkiye ve Avrupa Birliği’nde yürürlükte olan siber güvenlik, bilgi güvenliği ve kritik altyapı mevzuatlarına uyumu destekler. Türkiye’de başta Kişisel Verilerin Korunması Kanunu, Elektronik Haberleşme Kanunu ve Ulusal Siber Güvenlik Stratejisi ve Eylem Planı kapsamında bilgi sistemlerinin güvenliği ve veri korunması yükümlülükleri bulunmaktadır. Ayrıca kamu ve kritik altyapılar için Cumhurbaşkanlığı Dijital Dönüşüm Ofisi ve Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yayımlanan siber güvenlik düzenlemeleri önem arz etmektedir. Avrupa Birliği’nde ise Cybersecurity Act, NIS Directive ve General Data Protection Regulation (GDPR) çerçevesinde BT ürünlerinin güvenliği ve sertifikasyonu düzenlenmektedir.
ISO 15408 ile kurulan sistem altyapısı sayesinde kuruluşlar; ürünlerinin güvenlik gereksinimlerini tanımlar, tehditlere karşı koruma mekanizmaları geliştirir, test ve doğrulama süreçlerini yürütür ve uluslararası güvenlik seviyelerine uygunluk sağlar. Bu yapı, hem ulusal hem de uluslararası mevzuatların gerektirdiği siber güvenlik ve ürün güvenliği kriterlerinin karşılanmasını kolaylaştırırken, denetim süreçlerinde güvenilir ve sürdürülebilir bir güvenlik değerlendirme altyapısı oluşturur.