Kamu ve kritik altyapıda bilgi güvenliği
NIS2 gibi düzenlemeleri ve ulusal rehberleri uygular; varlık sınıflandırma, güvenli satın alma ve olay bildirim yükümlülüklerini yerine getirirsin.
Seviye 201 · 20 ders · 18 pratik lab
Dersler
Kamu ve kritik altyapı
- Kamu kurumları ve kritik altyapı neden özel hedef: Vatandaş hizmetlerinin ve kritik altyapının kesintisinin toplumu nasıl etkilediğini gerçek olaylarla açıklayabilirsin.
- Kritik sektörler: enerji, su, sağlık, ulaşım, finans, haberleşme: Kritik sektörleri ve aralarındaki bağımlılıkları tanır, birindeki aksamanın diğerlerine nasıl yayılacağını gösterebilirsin.
- BT ile operasyonel teknoloji (OT) farkı: Fabrika, santral ve su tesislerindeki kontrol sistemlerinde güvenliğin ofis bilgisayarlarından neden farklı ele alındığını açıklayabilirsin.
- Kısa görev: bir şehrin kritik hizmetlerini haritala
Düzenlemeler
- NIS2: kapsam, temel ve önemli kuruluşlar: Bir kurumun NIS2 kapsamına girip girmediğini ve hangi kategoride yer aldığını belirleyebilirsin.
- NIS2 risk yönetimi önlemleri ve yönetimin sorumluluğu: NIS2’nin istediği asgari önlemleri listeler, üst yönetimin kişisel sorumluluğunun ne anlama geldiğini açıklayabilirsin.
- Diğer örnekler: ABD CISA, NIST SP 800-53, Birleşik Krallık Cyber Essentials, AB DORA: Farklı ülke ve sektörlerdeki düzenleme ve kontrol kataloglarını karşılaştırıp ortak noktalarını çıkarabilirsin.
- Ulusal rehber örneği: Türkiye Bilgi ve İletişim Güvenliği Rehberi: Ulusal bir rehberin varlık grupları, güvenlik seviyeleri ve denetim yapısını örnek olarak inceleyip başka ülkelerinkiyle kıyaslayabilirsin.
- Kısa görev: kuruluşların NIS2 kapsamını belirle
Uygulamada temel önlemler
- Varlık sınıflandırma ve kritiklik dereceleri: Kurumun bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik etkisine göre kritiklik derecesine ayırabilirsin.
- Ağ ayrımı ve kritik sistemlerin yalıtılması: Kritik sistemleri ofis ağından ve internetten ayıran bölge yapısını tasarlayıp gerekçelendirebilirsin.
- Kimlik yönetimi ve ayrıcalıklı hesap denetimi: Yönetici hesaplarını envantere alır, ayrı hesap, çok faktörlü doğrulama ve oturum kaydı kurallarını uygularsın.
- Kayıt tutma, zaman eşitleme ve saklama süreleri: Hangi kayıtların tutulacağını, saatlerin nasıl eşitleneceğini ve kayıtların ne kadar saklanacağını belirleyebilirsin.
- Güvenli satın alma ve tedarik zinciri şartları: İhale ve satın alma belgelerine eklenecek güvenlik şartlarını ve kabul ölçütlerini yazabilirsin.
- Vatandaş verisi ve e-devlet hizmetlerinde güvenlik: Vatandaşa açık bir çevrimiçi hizmette kimlik doğrulama, veri en aza indirme ve erişilebilirlik gereksinimlerini belirleyebilirsin.
- Kısa görev: varlıklara kritiklik derecesi ver
Olay bildirimi ve hazırlık
- Olay bildirim yükümlülükleri: 24 saat, 72 saat, nihai rapor: Önemli bir olayda erken uyarı, olay bildirimi ve nihai raporun ne zaman, kime ve hangi bilgilerle gideceğini planlayabilirsin.
- Ulusal CERT ve sektörel ekiplerle iş birliği: Ulusal ve sektörel olay müdahale ekipleriyle bilgi paylaşımının yollarını ve sınırlarını bilirsin.
- Kamu denetimleri ve uyum kanıtı: Denetçinin isteyeceği politika, kayıt ve test kanıtlarını önceden hazırlayıp düzenli tutabilirsin.
- Bitirme görevi: bir belediyenin uyum yol haritasını hazırla: Kurgusal bir belediyenin varlıklarını, yükümlülüklerini ve eksiklerini çıkarıp on iki aylık bir uyum yol haritası sunarsın.
Pratik lablar
- Hizmeti kritik sektörle eşle: On iki kamu hizmetini enerji, su, sağlık, ulaşım, finans ya da haberleşme sektörüyle eşle.
- Şehrin kritik hizmet haritası: Selvikent Belediyesi'nin on hizmeti için bağımlı olduğu sistemleri ve kesintinin vatandaşa etkisini gösteren harita çıkar.
- BT ve OT farkını varlıklarda ayır: Bir su arıtma tesisinin varlık listesini bilgi teknolojisi ve operasyonel teknoloji olarak ayırıp her grup için öncelikli güvenlik hedefini yaz.
- NIS2 kapsamına girer mi: Sektörü ve büyüklüğü verilen sekiz kuruluşun kapsam dışı, önemli ya da temel kuruluş olduğunu belirle.
- Önlemi NIS2 maddesiyle eşle: Bir kuruluşun on beş mevcut önlemini NIS2 risk yönetimi önlem başlıklarıyla eşleyip karşılığı olmayan başlıkları listele.
- Yönetim sorumluluğu brifingi: Demirsu Enerji yönetim kurulu için NIS2 kapsamındaki onay, gözetim ve eğitim sorumluluklarını anlatan tek sayfalık brifing yaz.
- Çerçeveyi ülkesiyle eşle: NIS2, CISA yönergeleri, NIST SP 800-53, Cyber Essentials, DORA ve Türkiye'nin Bilgi ve İletişim Güvenliği Rehberi'ni ülke ve hedef kitlesiyle eşle.
- İki ulusal rehberi karşılaştır: Verilen özetlerden iki ulusal rehberin varlık sınıflandırma, denetim ve yaptırım yaklaşımlarını karşılaştıran tablo hazırla.
- Çok ülkeli kuruluş için ortak önlem seti: İki ülkede faaliyet gösteren bir ulaşım işletmesi için her iki düzenlemeyi karşılayan on ortak önlemi ve ülkeye özgü farkları yaz.
- Varlığın kritiklik düzeyini belirle: Bir belediyenin on beş varlığını verilen ölçütlere göre düşük, orta, yüksek ve kritik olarak derecelendir.
- Ağ şemasında ayrım hatasını bul: Bir hastanenin ağ şemasında tıbbi cihaz, ofis ve misafir ağları arasındaki uygunsuz bağlantıları bul.
- Kritik sistem için ayrım kuralları: Bir su pompa istasyonunun kontrol ağı için izin verilen bağlantıları, uzaktan erişim yolunu ve yasak akışları tablo hâlinde yaz.
- Günlük saklama süresini kontrol et: On sistemin günlük saklama ayarlarını verilen asgari süre tablosuyla karşılaştırıp yetersiz olanları işaretle.
- Ayrıcalıklı hesapları gözden geçir: Bir kamu kurumunun yönetici hesap listesinde paylaşılan, sahipsiz ve altı aydır kullanılmayan hesapları bul.
- Şartnameye güvenlik gereksinimi yaz: Vatandaş verisi işleyecek bir yazılım alımı için şartnameye eklenecek on güvenlik ve tedarik zinciri gereksinimini yaz.
- Bildirim saatlerini hesapla: Fark edilme saati verilen dört olay için 24 saat, 72 saat ve nihai rapor son tarihlerini hesapla.
- Erken uyarı bildirimini yaz: Bir elektrik dağıtım şirketindeki kesinti olayı için ulusal müdahale ekibine gönderilecek ilk bildirimi verilen bilgilerle doldur.
- Belediye için uyum yol haritası: Selvikent Belediyesi'nin boşluk listesinden öncelik, sahip ve çeyrek bazında tarih içeren on iki aylık uyum yol haritası çıkar.
Kurs hakkında
NIS2 gibi düzenlemeleri ve ulusal rehberleri uygular; varlık sınıflandırma, güvenli satın alma ve olay bildirim yükümlülüklerini yerine getirirsin.
Ne öğreneceksin
- Kamu ve kritik altyapı
- Düzenlemeler
- Uygulamada temel önlemler
- Olay bildirimi ve hazırlık
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.