Siber Güvenlik Uyumluluk Standartları: ISO 27001, SOC 2, PCI DSS, CREST ve FedRAMP

Neden bu beş standart aynı listede görünse de aynı şey değildir?

Şirketler “güvenlik sertifikası” araması yaptığında birbirinden farklı amaçlara sahip yapılar aynı sonuçlarda karşılarına çıkar. Oysa doğru seçim, hangi müşteriye satış yaptığınız, hangi veriyi işlediğiniz, hangi hizmeti sunduğunuz ve hangi ülke/sektör gereksinimiyle karşılaştığınıza bağlıdır.

Örneğin ISO 27001 kuruluşun bilgi güvenliği yönetim sistemini kurumsal ölçekte ele alır. SOC 2 B2B hizmet kuruluşunun kontrollerine ilişkin bağımsız rapordur. PCI DSS ödeme kartı verisine odaklanır. CREST siber güvenlik hizmetinin sağlayıcı yetkinliğini değerlendirir. FedRAMP ise ABD federal kurumlarının kullandığı cloud hizmetlerine özgüdür.

ISO 27001, SOC 2, PCI DSS, CREST ve FedRAMP hızlı karşılaştırma

Aşağıdaki tablo, ilk yönlendirme için kullanılabilir. Gerçek kapsam; sözleşme, sektör, müşteri, teknik mimari ve güncel program kurallarına göre ayrıca doğrulanmalıdır.

ISO 27001 ne zaman seçilir?

Müşterileriniz kurumsal bilgi güvenliği yönetimi, risk yönetimi ve sürekli iyileştirme konusunda bağımsız sertifika istiyorsa ISO/IEC 27001 en geniş ve uluslararası seçeneklerden biridir. Şirket büyüklüğü veya sektörle sınırlı değildir.

Hosting, SaaS, yazılım, finans, sağlık veya üretim şirketleri; tedarikçi denetimlerini kolaylaştırmak, ihale şartlarını karşılamak veya iç güvenlik yönetimini standardize etmek için kullanabilir.

• Kurumsal müşteri ISO 27001 sertifikası istiyor
• Bilgi güvenliği süreçlerini şirket geneline yaymak istiyorsunuz
• Risk, politika, denetim ve teknik kontrolleri tek ISMS altında toplamak istiyorsunuz

SOC 2 Type 2 ne zaman daha anlamlıdır?

ABD merkezli enterprise müşterilere SaaS veya teknoloji hizmeti satıyorsanız güvenlik anketlerinde SOC 2 Type 2 sık karşınıza çıkabilir. Rapor, kontrollerin yalnız tasarımını değil belirli dönem boyunca işletim etkinliğini de inceleyebilir.

SOC 2 ile ISO 27001 rakip olmak zorunda değildir. Uluslararası büyüyen SaaS şirketleri, farklı müşteri beklentilerini karşılamak için iki yapıyı birlikte kullanabilir.

PCI DSS ne zaman devreye girer?

Kartlı ödeme kabul ediyor, kart verisini işliyor/iletiyor/saklıyor veya kart verisi ortamını etkileyen bir hizmet sağlıyorsanız PCI DSS kapsam analizi önem kazanır. E-ticarette ödeme sağlayıcısına yönlendirme kapsamı azaltabilir fakat entegrasyon mimarisine göre sorumluluk tamamen bitmeyebilir.

PCI DSS v4.0.1 2026 itibarıyla güncel temel referanstır. SAQ, QSA, ASV ve ROC/AOC gibi terimler şirketin doğrulama yolunda karşınıza çıkabilir.

CREST kimler için doğru hedef olur?

Pentest, Security Operations/SOC, Incident Response, Cyber Threat Intelligence veya Vulnerability Assessment gibi siber güvenlik hizmetlerini ticari olarak sunan şirketler için CREST özel bir güven sinyali oluşturabilir. Burada şirket/hizmet akreditasyonu ile bireysel sertifika ayrımını doğru yapmak gerekir.

2026’da CREST Responsible AI ve AI-enabled penetration testing gereksinimlerini de akreditasyon standartlarına ekledi. Bu nedenle AI kullanan güvenlik sağlayıcıları için güncel standartlar ayrıca önem kazandı.

FedRAMP ne zaman gereklidir veya ticari olarak anlamlıdır?

FedRAMP, ABD federal kurumlarına cloud service offering satmak isteyen SaaS/PaaS/IaaS sağlayıcıları için özel pazara giriş konusudur. Genel bir “ABD güvenlik sertifikası” değildir ve yalnız ABD sunucusu kullanmak FedRAMP gerektirmez.

2026’da FedRAMP 20x Class A, B ve C yolları uygulanmaya başladı. Federal müşteri/use case, teknik olgunluk ve Marketplace stratejisi birlikte planlanmalıdır.

Şirket türüne göre hangisine bakmalısınız?

Aşağıdaki eşleştirme karar vermek için hızlı bir başlangıçtır. Bir şirketin aynı anda birden fazla standarda ihtiyaç duyması normaldir.

Ortak teknik hazırlık alanları nelerdir?

Beş çerçevenin amacı farklı olsa da teknik hazırlıkta ortak kesişimler vardır. Kimlik yönetimi, MFA, ayrıcalıklı erişim, asset inventory, loglama, olay müdahalesi, zafiyet yönetimi, değişiklik yönetimi, yedekleme, tedarikçi riski ve güvenli geliştirme birden fazla denetimde tekrar eder.

Bu yüzden ayrı ayrı “denetim için belge hazırlamak” yerine merkezi bir güvenlik kontrol kütüphanesi ve kanıt sistemi kurmak daha verimlidir. Bir kontrolün hangi standart maddelerini desteklediğini mapping tablosuyla izlemek sonraki projelerin maliyetini azaltabilir.

• Varlık ve veri akışı envanteri
• MFA, RBAC ve ayrıcalıklı hesap kontrolü
• Merkezi loglama ve alert yönetimi
• Zafiyet taraması, patch ve pentest döngüsü
• Backup ve restore testleri
• Incident response prosedürü ve tatbikat
• Change management ve secure SDLC
• Tedarikçi güvenlik değerlendirmeleri
• Politika, eğitim ve kanıt saklama düzeni

Ülkeler ve pazarlar açısından nasıl düşünülmeli?

ISO 27001 uluslararası standardizasyon ve sertifikasyon ekosisteminde yaygın kullanılır. PCI DSS global ödeme kartı ekosistemine bağlıdır. SOC 2 köken olarak AICPA/ABD ekosistemindedir ancak uluslararası SaaS şirketlerinde de müşteri talebi olarak görülür. CREST uluslararası cybersecurity hizmet pazarında faaliyet gösterir. FedRAMP ise açık biçimde ABD federal cloud kullanımına özeldir.

Bu nedenle “hangi ülke alabilir?” sorusundan önce “hangi müşteriye hangi hizmeti satıyorum?” sorusu daha doğru sonuç verir. Kuruluş ülkesi; auditor/belgelendirme erişimi, veri yerleşimi, sözleşme ve regülasyon tarafında ayrıca değerlendirilir.

Kullanıcıların en çok araştırdığı karar soruları

Arama niyeti yalnız tanım değildir. Kullanıcılar “zorunlu mu?”, “kimler alabilir?”, “Türkiye’den alınır mı?”, “maliyeti nedir?”, “ne kadar sürer?”, “Type 1/Type 2 farkı ne?”, “SAQ A nedir?”, “FedRAMP Moderate ne oldu?” ve “CREST şirket akreditasyonu nasıl alınır?” gibi karar öncesi sorular arar.

Bu nedenle her detay rehberinde resmî kaynak, güncel tarih, açık karşılaştırma, süreç, teknik hazırlık ve yanlış bilinen noktaları ayrı bölümlere ayırdık.