ISO/IEC 27001 uygulaması: ISMS kurmak
ISO/IEC 27001:2022 maddelerini adım adım uygular; kapsam, bağlam, risk değerlendirmesi, uygulanabilirlik bildirgesi, belgeler, iç denetim ve yönetimin gözden geçirmesiyle çalışan bir ISMS kurarsın.
Seviye 201 · 23 ders · 21 pratik lab
Dersler
Standardı tanımak
- ISO/IEC 27000 ailesi
- Standardın yapısı: 4–10. maddeler ve Ek A
- Planla, uygula, kontrol et, önlem al
- Kısa görev: maddeleri faaliyetlere eşle
Bağlam ve liderlik
- Kurumun bağlamı: iç ve dış konular
- İlgili taraflar ve beklentileri
- ISMS kapsamını belirlemek
- Liderlik ve bilgi güvenliği politikası
- Bilgi güvenliği hedefleri
- Kısa görev: kapsam bildirimi yaz
Risk ve kontroller
- Risk değerlendirme yöntemi
- Risk değerlendirmesini yürütmek
- Uygulanabilirlik bildirgesi hazırlamak
- Risk işleme planı
- Kısa görev: on kontrol için SoA satırları
Destek
- Belgelenmiş bilgi ve belge denetimi
- Yetkinlik, farkındalık ve iletişim
- Kısa görev: belge ana listesi
Performans ve iyileştirme
- İzleme ve ölçme
- İç denetim programı
- Yönetimin gözden geçirmesi
- Uygunsuzluk ve sürekli iyileştirme
- Bitirme görevi: bir yazılım şirketi için ISMS paketi
Pratik lablar
- Maddeyi faaliyetle eşle: On iki faaliyeti ISO/IEC 27001'in 4–10 arasındaki maddeleriyle eşle.
- Faaliyetleri PUKÖ döngüsüne yerleştir: Bir yönetim sisteminin on beş faaliyetini planla, uygula, kontrol et ve önlem al aşamalarına yerleştirip eksik aşamayı belirt.
- Aile standartlarını ihtiyaca göre seç: Sekiz ihtiyaç için 27000 ailesinden uygun standardı (27001, 27002, 27005, 27017, 27018, 27701) seç ve gerekçesini yaz.
- İç ve dış hususları ayır: On beş hususu iç ya da dış olarak sınıflandır.
- İlgili taraflar tablosunu doldur: Göktaşı Yazılım için sekiz ilgili tarafın beklentilerini ve bunların hangi gereksinime dönüştüğünü yaz.
- Bağlamdan risk ve fırsat çıkar: Bir lojistik şirketinin bağlam analizinden yönetim sistemini etkileyen beş risk ve üç fırsat çıkarıp eyleme bağla.
- Kapsam beyanındaki eksiği bul: Üç kapsam beyanını konum, süreç, sistem ve hariç tutulanlar açısından değerlendirip eksik öğeleri işaretle.
- Kapsam beyanı yaz: İki ofisi ve bulut altyapısı olan bir yazılım şirketi için arayüzleri ve bağımlılıkları içeren kapsam beyanı yaz.
- Ölçülebilir güvenlik hedefleri yaz: Bir bilgi güvenliği politikasındaki genel ifadelerden ölçütü, hedef değeri, sahibi ve tarihi olan beş hedef türet.
- Metodolojideki eksik öğeyi bul: Bir risk değerlendirme metodolojisi belgesini ölçek, kabul ölçütü, sahiplik ve tekrarlanabilirlik başlıklarına göre kontrol et.
- Risk işleme planı hazırla: Kabul ölçütünü aşan sekiz risk için kontrol, sahip, kaynak ve tarih içeren işleme planı yaz.
- Artık riski onaya sun: İşleme sonrası hâlâ ölçütün üstünde kalan üç risk için risk sahibine sunulacak kabul gerekçesini ve izleme koşullarını yaz.
- SoA satırındaki eksiği bul: On uygulanabilirlik bildirgesi satırında gerekçesi, durumu ya da kaynağı eksik olanları işaretle.
- On kontrol için SoA satırı yaz: Uzaktan çalışan bir danışmanlık şirketi için on Ek A kontrolünün uygulanabilirliğini, gerekçesini ve uygulama durumunu yaz.
- SoA ile risk planını uzlaştır: Risk işleme planında seçilip bildirgede hariç tutulan ve bildirgede olup hiçbir riske bağlanmayan kontrolleri bul.
- Ana belge listesini düzenle: Sürümü, sahibi ya da gözden geçirme tarihi eksik yirmi belgelik listeyi düzeltip süresi geçenleri işaretle.
- Belge kontrol hatalarını bul: Bir paylaşım klasörünün dosya listesinde onaysız sürümleri, yinelenen kopyaları ve eski sürüme verilen bağlantıları bul.
- Yetkinlik matrisi ve farkındalık planı: Sekiz yönetim sistemi rolü için gereken yetkinliği, mevcut durumu ve boşluğu kapatacak eğitimi gösteren matris hazırla.
- Ölçümü hedefe bağla: On ölçümü ilgili güvenlik hedefiyle eşle ve hiçbir hedefe hizmet etmeyenleri işaretle.
- İç denetim programı taslağı: Risk ve önceki bulgulara göre maddeleri ve süreçleri üç yıllık döngüye yayan iç denetim programı hazırla.
- Yönetim gözden geçirme gündemi ve girdileri: Verilen denetim sonuçları, ölçümler ve olay özetlerinden zorunlu girdileri kapsayan gündem ve karar taslağı hazırla.
Kurs hakkında
ISO/IEC 27001:2022 maddelerini adım adım uygular; kapsam, bağlam, risk değerlendirmesi, uygulanabilirlik bildirgesi, belgeler, iç denetim ve yönetimin gözden geçirmesiyle çalışan bir ISMS kurarsın.
Ne öğreneceksin
- Standardı tanımak
- Bağlam ve liderlik
- Risk ve kontroller
- Destek
- Performans ve iyileştirme
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.