Yönetişim, risk ve uyum (GRC)
Risk değerlendirir, politika yazar; ISO/IEC 27001, NIST CSF 2.0 ve CIS Controls ile kontrolleri eşler, iç denetim yürütüp kanıt toplarsın.
Seviye 201 · 22 ders · 18 pratik lab
Dersler
Yönetişim
- Yönetişim, risk ve uyum (GRC) nedir: Yönetişim, risk ve uyumun birbirini nasıl beslediğini ve güvenlik ekibinin bu döngüdeki yerini açıklayabilirsin.
- Güvenlik yönetişim yapısı: komite, roller, RACI: Kimin karar verdiğini, kimin uyguladığını ve kimin bilgilendirileceğini gösteren bir RACI tablosu hazırlayabilirsin.
- Politika, standart, prosedür ve kılavuz yazmak: Kısa, uygulanabilir ve sahibi belli bir güvenlik politikası ile ona bağlı prosedürü yazabilirsin.
- Varlık envanteri ve varlık sahipliği: Bilgi varlıklarını listeleyip her birine bir sahip ve değer atayarak risk çalışmasına temel hazırlayabilirsin.
- Kısa görev: güvenlik RACI tablosu
Risk yönetimi
- Risk yönetimi süreci: tanımla, analiz et, değerlendir, işle: ISO/IEC 27005 yaklaşımıyla bir riski tanımlayıp olasılık ve etkiye göre değerlendirebilirsin.
- Nitel ve nicel risk analizi: ısı haritasından FAIR’e: Riski renkli ısı haritasıyla ya da parasal kayıp tahminiyle ifade etmenin artısını ve eksisini karşılaştırabilirsin.
- Risk kaydı tutmak ve risk sahibi atamak: Her riski sahibi, puanı, önlemi ve gözden geçirme tarihiyle izleyen bir risk kaydı tutabilirsin.
- Risk işleme seçenekleri ve risk iştahı: Bir riski azaltma, devretme, kaçınma ya da kabul etme kararını kurumun risk iştahına göre gerekçelendirebilirsin.
- Kısa görev: beş riski değerlendir ve kaydet
Çerçeveler ve standartlar
- ISO/IEC 27001: bilgi güvenliği yönetim sistemi: Bir yönetim sisteminin kapsam, liderlik, planlama, işletim ve iyileştirme adımlarını açıklayabilirsin.
- ISO/IEC 27001 Ek A kontrolleri ve uygulanabilirlik bildirgesi: Ek A’daki kontrolleri kuruma uyarlayıp hangisinin neden uygulandığını gösteren bildirgeyi hazırlayabilirsin.
- NIST CSF 2.0: yönet, tanımla, koru, tespit et, müdahale et, kurtar: Kurumun mevcut ve hedef profilini altı işleve göre çıkarıp aradaki farkı önceliklendirebilirsin.
- CIS Controls ve uygulama grupları: Kurumun büyüklüğüne uygun uygulama grubunu seçip ilk yapılacak temel güvenlik önlemlerini belirleyebilirsin.
- Çerçeveleri eşleştirmek: bir kontrol, birden çok gereksinim: Tek bir kontrolün ISO/IEC 27001, NIST CSF ve yasal gereksinimleri aynı anda nasıl karşıladığını tabloyla gösterebilirsin.
- Kısa görev: bir kontrolü üç çerçeveye eşle
Uyum ve denetim
- Uyum yükümlülüklerini çıkarmak: Kurumu bağlayan yasa, sözleşme ve standart gereksinimlerini tek bir yükümlülük listesinde toplayabilirsin.
- İç denetim planlamak ve yürütmek: Denetim kapsamı, soru listesi ve görüşme planı hazırlayıp tarafsız bir iç denetim yürütebilirsin.
- Denetim kanıtı toplamak: kayıt, ekran görüntüsü, örneklem: Bir kontrolün gerçekten işlediğini gösteren yeterli ve güvenilir kanıtı örneklemle toplayabilirsin.
- Uygunsuzluk, düzeltici faaliyet ve sürekli iyileştirme: Bir bulgunun kök nedenini bulup düzeltici faaliyeti planlar ve etkinliğini izleyebilirsin.
- Güvenlik ölçütleri ve yönetimin gözden geçirmesi: Yönetime sunulacak birkaç anlamlı ölçütü seçip gözden geçirme toplantısının gündemini hazırlayabilirsin.
- Bitirme görevi: küçük bir şirket için risk değerlendirmesi ve boşluk analizi: Kurgusal bir şirketin varlıklarını, risklerini ve ISO/IEC 27001 eksiklerini çıkarıp önceliklendirilmiş bir iyileştirme planı sunarsın.
Pratik lablar
- RACI harflerini yerleştir: Altı güvenlik faaliyeti ve beş rol için verilen anlatıma göre RACI tablosunu doldur.
- RACI hatalarını düzelt: İki hesap veren ya da hiç sorumlu içermeyen satırları olan bir RACI tablosundaki hataları bul ve düzelt.
- Güvenlik komitesi görev tanımı: Kuzeyyıldızı Kargo için üyeleri, karar yetkisini, toplanma sıklığını ve raporlamayı içeren komite görev tanımını yaz.
- Varlık envanterini tamamla: Sahibi, konumu ya da sınıfı boş bırakılmış on beş varlık satırını verilen notlardan tamamla.
- Envanterle keşif çıktısını uzlaştır: Bir ağ keşif dışa aktarımı ile varlık envanterini karşılaştırıp kayıtsız cihazları ve artık var olmayan kayıtları listele.
- Varlığa değer ve sahip ata: Demirsu Enerji'nin on bilgi varlığına gizlilik, bütünlük ve erişilebilirlik değeri verip iş tarafından bir sahip ata.
- Beş riski değerlendirip kaydet: Beş senaryoyu olasılık ve etki ölçeğiyle puanlayıp risk kaydına işle.
- İştahı aşan riskleri bul: Yirmi satırlık bir kayıtta risk iştahı beyanını aşan riskleri bul ve her biri için işleme seçeneği öner.
- Isı haritasından paraya: Üç yüksek risk için yıllık olay sıklığı ve kayıp aralığı tahminiyle beklenen yıllık kaybı hesapla ve sıralamanın değişip değişmediğini yaz.
- Kontrolü CSF işleviyle eşle: On beş kontrolü NIST CSF 2.0'ın altı işlevinden biriyle eşle.
- Bir kontrolü üç çerçeveyle eşle: Çok faktörlü kimlik doğrulama kontrolünü ISO/IEC 27001 Ek A, NIST CSF ve CIS Controls maddeleriyle eşleyip tabloya yaz.
- Uygulanabilirlik bildirgesi satırları: Yalnızca bulutta çalışan bir yazılım şirketi için on Ek A kontrolünün uygulanabilirliğini ve gerekçesini yaz.
- Yükümlülüğü kaynağına bağla: On yükümlülük cümlesini yasa, sözleşme ya da standart kaynağıyla eşle.
- Sözleşmeden yükümlülük çıkar: Bir müşteri sözleşmesinin güvenlik ekinden bildirim süresi, denetim hakkı ve saklama maddelerini yükümlülük kaydına işle.
- Yükümlülük kaydını kontrollerle bağla: Yelkovan Bankası'nın on iki yükümlülüğünü mevcut kontrol listesiyle eşleyip karşılığı olmayan yükümlülükleri raporla.
- Kanıt türünü seç: Sekiz kontrol için kayıt, ekran görüntüsü, yapılandırma dışa aktarımı ya da görüşme kanıtından en uygun olanı seç.
- Uygunsuzluk ve düzeltici faaliyet yaz: Erişim gözden geçirmesinin iki çeyrektir yapılmadığını gösteren kanıttan uygunsuzluk cümlesi, kök neden ve düzeltici faaliyet yaz.
- Yönetim gözden geçirmesi için ölçütler: Ham yama, olay ve eğitim verisinden beş güvenlik ölçütü hesaplayıp yönetim gözden geçirmesi için tek sayfada yorumla.
Kurs hakkında
Risk değerlendirir, politika yazar; ISO/IEC 27001, NIST CSF 2.0 ve CIS Controls ile kontrolleri eşler, iç denetim yürütüp kanıt toplarsın.
Ne öğreneceksin
- Yönetişim
- Risk yönetimi
- Çerçeveler ve standartlar
- Uyum ve denetim
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.