SOC 2 mi ISO 27001 mi? Startup için doğru seçim

Kurumsal satış görüşmesinin sonunda gelen o e-posta tanıdıktır: raporunuzu paylaşın, aksi hâlde sözleşmeyi imzalayamayız. 2026'da uyum belgesi bir tercih değil, gelir kapısındaki kontrol noktası. Bütçesi sınırlı, yol haritası sıkışık bir startup için SOC 2 ile ISO 27001 arasında seçim yapmak ise hiç kolay değil.

İkisi de veriyi güvenli işlediğinizi gösterir, ikisi de bağımsız denetim gerektirir. Yanlış olanı seçmek ise altı ay ve ciddi bir bütçe kaybı demek. Bu rehber iki çerçevenin teslim ettiği belgeyi, denetim mantığını, gerçekçi maliyetini ve hangi pazarda hangisinin beklendiğini karşılaştırıyor.

Kısa cevap: hangisini seçmelisiniz

İlk on kurumsal müşteriniz Kuzey Amerika'daysa SOC 2 ile başlayın; daha hızlı sonuç verir ve satışı doğrudan açar.
Müşterileriniz Avrupa'da, kamu kurumlarında veya düzenlemeye tabi sektörlerdeyse ISO 27001 öne çıkar.
İkisine de ihtiyaç varsa sıra şu olmalı: SOC 2 Type I, ardından Type II gözlem dönemi, paralel olarak ISO 27001 yönetim sisteminin kurulması.

Bunun nedeni örtüşme: iki çerçeve kontrol düzeyinde yüzde 75-80 oranında aynı. SOC 2 için kurduğunuz erişim kontrolü, günlükleme ve değişiklik yönetimi ISO 27001'in temelini zaten atar.

SOC 2 nedir, ne teslim eder

SOC 2, ABD Sertifikalı Kamu Muhasebecileri Enstitüsü tarafından geliştirilen bir çerçevedir. Sertifika değil, bağımsız bir muhasebe firmasının hazırladığı denetim raporu üretir. Rapor, kontrollerin doğru tasarlandığını (Type I) veya belirli bir dönem boyunca etkin işlediğini (Type II) beyan eder.

Beş güven hizmeti kriteri

Güvenlik: zorunlu taban; erişim kontrolü, izleme, olay müdahalesi ve değişiklik yönetimi.
Erişilebilirlik: taahhüt edilen çalışma süresi ve performans.
Gizlilik: sözleşmeyle tanımlanmış gizli bilginin korunması.
İşleme bütünlüğü: veri işlemenin eksiksiz ve doğru olması.
Mahremiyet: kişisel bilginin aydınlatma metnine uygun işlenmesi.

Çoğu startup güvenlik kriteriyle başlar; SaaS ürünlerinde erişilebilirlik, GDPR yükümlülüğü olan müşterilerde mahremiyet sonradan eklenir.

Type I ve Type II arasındaki fark

Type I bir ana ait fotoğraftır: kontroller doğru tasarlanmış mı? Type II film şerididir: kontroller altı ila on iki ay boyunca gerçekten çalıştı mı? Kurumsal satın alma ekipleri genellikle Type II ister; Type I o yola çıkan bir ara adım olarak değerlidir.

ISO 27001 nedir

ISO 27001, Uluslararası Standardizasyon Örgütü'nün bilgi güvenliği yönetim sistemi standardıdır. Sonuç ikili: sertifikayı ya alırsınız ya almazsınız. Belge üç yıl geçerlidir ve her yıl gözetim denetimi yapılır.

Yönetim sistemi ile tek tek kontroller arasındaki fark

SOC 2, söylediğini yaptığını kanıtla ilkesiyle çalışır; ISO 27001 ise yönetim sistemin var mı diye sorar. Bu yüzden ISO 27001 bir kontrol listesi değil, kurumsal bir yapı ister: risk değerlendirme metodolojisi, varlık envanteri ve sahiplik atamaları, uygulanabilirlik bildirimi, yönetim gözden geçirmesi, iç denetim programı ve her kontrol için yazılı politika. Sürenin uzun olmasının nedeni budur.

Ek A kontrolleri ve uygulanabilirlik bildirimi

2013 sürümünde 114 kontrol 14 başlıkta toplanıyordu; 2022 revizyonunda sayı 93'e indi ve dört tema altında yeniden düzenlendi: organizasyonel, kişisel, fiziksel ve teknolojik. Bulut tabanlı bir startup, veri merkezi olmadığı için fiziksel kontrollerin bir kısmını uygulanabilirlik bildirimiyle kapsam dışı bırakabilir; ancak her hariç tutmanın gerekçesini yazmak zorundadır.

Startupların en çok küçümsediği başlıklar: güvenlik açığı yönetimi (düzenli yama süreci ve sızma testi), geliştirmede güvenlik (güvenli kodlama ve kod incelemesi), tedarikçi ilişkileri ve düzenli test edilen olay müdahale prosedürü.

Maliyet: gerçekçi bir birinci yıl bütçesi

SOC 2 için ilk yıl kalemleri genellikle şöyle:

Fark analizi ve denetime hazırlık danışmanlığı: 5.000-15.000 dolar
Uyum otomasyon platformu: yıllık 8.000-15.000 dolar
Sızma testi (zorunlu): 8.000-15.000 dolar
Muhasebe firması denetim ücreti (Type I): 12.000-20.000 dolar
Toplam: 33.000-65.000 dolar

ISO 27001 tarafında tablo daha ağır:

Yönetim sistemi kurulum danışmanlığı: 15.000-35.000 dolar
Zorunlu iç denetim: 3.000-8.000 dolar
Sızma testi: 8.000-15.000 dolar
Aşama 1 ve Aşama 2 sertifikasyon denetimi: 15.000-30.000 dolar
Toplam: 41.000-88.000 dolar

ISO 27001'de ikinci ve üçüncü yıl gözetim denetimleri ile üçüncü yıldaki yeniden sertifikasyon bütçeye eklenmeli. Sızma testinin kapsamını planlarken sızma testi maliyet rehberi 2026 yazımız bütçeyi netleştirmeye yardımcı olur.

Süre ve ekip yükü

SOC 2 Type I için tipik hazırlık 8-16 hafta, denetimin kendisi 2-4 hafta; baştan rapora kadar üç ila beş ay. Type II'de üç ila on iki aylık gözlem dönemi gerekir ve bu süre kısaltılamaz, çünkü kanıtın zaman içinde üretilmesi gerekir. ISO 27001'de sertifikasyona kadar geçen süre genellikle 6-12 ay; yükün büyük kısmı ilk üç ayda dokümantasyon ve risk analizinde.

Ekip tarafında gerçekçi beklenti: yarı zamanlı bir sahip, genellikle CTO veya bir mühendislik yöneticisi, artı dış destek. Tam zamanlı uyum uzmanı küçük ekipler için çoğu zaman gereksiz.

Denetçinin istediği kanıtlar

Denetim beyanınızı değil kanıtı okur. En sık istenen dosyalar:

üç ayda bir yapılan ayrıcalıklı erişim gözden geçirmelerinin kayıtları
olayların nasıl tespit edilip kapatıldığını gösteren müdahale kayıtları
üretime çıkmadan önce güvenlik incelemesi yapıldığını gösteren değişiklik talepleri
bağımsız sızma testi raporu; otomatik tarama çıktısı kabul edilmez
kritik tedarikçiler için risk değerlendirmeleri ve eğitim tamamlama kayıtları

Bu kanıtların denetim başlamadan üretilmiş olması gerekir; sonradan oluşturulan kayıt denetçi için uyarı işaretidir. Uyum otomasyon araçları kod deposu, bulut ve kimlik sisteminize bağlanarak kanıtı sürekli toplar, hazırlık süresini kısaltır ama denetçinin yerini almaz. Olay müdahale kanıtını güçlendirmek için purple team çalışmaları iyi bir yöntemdir.

Startupların en sık yaptığı hatalar

Çok geç başlamak. Müşteri raporu istedikten sonra başlamak sizi üç ila altı ay geriye atar.
Yanlış denetçi seçmek. Her muhasebe firması teknoloji şirketlerinde aynı deneyime sahip değil.
Erişim kanıtını ihmal etmek. En sık denetim bulgusu budur; üç aylık gözden geçirmeleri ilk günden başlatın.
Sızma testini atlamak. İki çerçeve de ister ve denetçi kontrol eder.
Uyumu tek seferlik proje sanmak. Özellikle Type II ve ISO 27001 sürekli işletim gerektirir.

Testi kimin yapacağı da kritik; etik hacker platformları karşılaştırması seçim yaparken ölçüt sağlar.

İkisini birlikte yürütmek

Olgunluk kazanan startupların çoğu sonunda iki belgeye de ihtiyaç duyar. Kontrol düzeyindeki örtüşme sayesinde ikinci çerçevenin marjinal maliyeti belirgin biçimde düşer; paralel yürütülen program, iki ayrı programın toplamından yüzde 30-40 daha ucuza gelir.

Önerilen sıra: ilk dört ayda SOC 2 Type I ile Kuzey Amerika satışını açın; dördüncü aydan itibaren Type II gözlem dönemini başlatın; altıncı ayda ISO 27001 dokümantasyonunu aynı kontroller üzerine kurun; on ikinci ila on sekizinci ayda sertifikasyon denetimine girin.

Türkiye ve AB pazarında beklentiler

Türkiye'de kurumsal müşteriler tedarikçi güvenlik anketlerini standart hâle getirdi; bankacılık ve kamu ihalelerinde ISO 27001 sıkça aranıyor. Avrupa'da özellikle Almanya, Fransa ve Hollanda'daki satın alma ekipleri doğrudan ISO 27001 talep ediyor. ABD merkezli SaaS müşterileri için SOC 2 hâlâ varsayılan belge. Pipeline'ınızın yüzde 20'sinden fazlası Avrupa'daysa ISO 27001'i ertelemeyin.

Sık sorulan sorular

SOC 2, AB müşterilerinin beklentisini karşılar mı? Bazı durumlarda evet; özellikle müşteri GDPR'a özgü veri işleme şartlarından çok erişim kontrolüne odaklanıyorsa. Ancak Almanya, Fransa ve Hollanda'daki satın alma ekipleri genellikle ISO 27001'i özellikle istiyor.

SOC 2 Type I sıfırdan ne kadar sürer? Hazırlık 8-16 hafta, denetim 2-4 hafta. Başlangıçtan rapora kadar üç ila beş ay gerçekçi bir plandır.

Vanta veya Drata denetçinin yerini alır mı? Hayır. Bu araçlar kanıtı toplar ve düzenler; denetimi bağımsız bir muhasebe firması veya akredite sertifikasyon kuruluşu yürütür.

Sertifika aldıktan sonra neler değişir? Kanıt toplama durmaz. Denetim dönemine sıkışmış bir uyum programı, bir sonraki denetimde bulgu üretir.

Sonuç

Karar, hangi çerçevenin daha iyi olduğu değil, hangi pazarın sizden ne istediği. Kuzey Amerika odaklı bir SaaS için SOC 2 hız kazandırır; Avrupa, kamu veya düzenlemeye tabi sektörlerde satış yapıyorsanız ISO 27001 kapıyı açar. İkisini birlikte planlıyorsanız sıra önemli: önce hızlı kazanç, sonra yönetim sistemi.

Hangi çerçevenin işinize uyduğunu ve gerçekçi bir takvimi konuşmak için ekiple görüşün.

SOC 2 mı ISO 27001 mi? Startuplar için uyum çerçevesi seçimi