Tedarikçi ve tedarik zinciri riski
Tedarikçileri kritikliğe göre sınıflandırır, anket ve güvence belgeleriyle değerlendirir, sözleşme ve sürekli izlemeyle riski yönetirsin.
Seviye 301 · 20 ders · 18 pratik lab
Dersler
Temeller
- Üçüncü taraf riski: tedarikçi kapınızdan girer: Kurumun verisine ve sistemlerine erişen tedarikçilerin riski nasıl kuruma taşıdığını örneklerle açıklayabilirsin.
- Tedarik zinciri olaylarından dersler: Yazılım güncellemesi, yönetilen hizmet ve dosya aktarım aracı kaynaklı büyük olaylardan kurumsal dersler çıkarabilirsin.
- Tedarikçi risk yönetimi yaşam döngüsü: Seçimden ayrılığa kadar bir tedarikçi ilişkisinin her aşamasında hangi güvenlik adımının atılacağını planlayabilirsin.
- Kısa görev: tedarikçi yaşam döngüsü kontrol listesi
Değerlendirme
- Tedarikçi envanteri ve kritiklik katmanları: Tüm tedarikçileri veri erişimi ve iş etkisine göre katmanlara ayırıp değerlendirme derinliğini buna göre belirlersin.
- Sözleşme öncesi inceleme (durum tespiti): Bir tedarikçiyi seçmeden önce güvenlik, mali durum ve uyum açısından incelemenin adımlarını uygulayabilirsin.
- Güvenlik anketleri: SIG, CAIQ ve kendi sorularınız: Hazır anket şablonlarını kurumuna uyarlar, tedarikçinin katmanına göre kısa ve odaklı bir soru seti hazırlayabilirsin.
- Güvence belgelerini okumak: SOC 2 raporu, ISO/IEC 27001 sertifikası: Bir SOC 2 raporundaki kapsam, istisna ve kullanıcı sorumluluklarını; sertifikanın kapsamını ve geçerliliğini denetleyebilirsin.
- Yanıtları doğrulamak: kanıt istemek, dışarıdan görünen göstergeler: Tedarikçinin beyanlarını belge, ekran görüntüsü ve dışarıdan görünen güvenlik göstergeleriyle karşılaştırabilirsin.
- Kısa görev: tedarikçi listesini katmanlara ayır
Sözleşme ve izleme
- Sözleşmede güvenlik maddeleri: bildirim, denetim hakkı, alt yüklenici: Olay bildirimi, denetim hakkı, alt yüklenici onayı ve veri iadesi maddelerini içeren bir sözleşme eki hazırlayabilirsin.
- Sürekli izleme ve yeniden değerlendirme: Tedarikçinin güvenlik durumunu yıl boyunca izleyecek tetikleyicileri ve yeniden değerlendirme takvimini kurabilirsin.
- Dördüncü taraflar ve yoğunlaşma riski: Tedarikçilerinin de dayandığı ortak hizmetleri fark eder, tek bir sağlayıcıya aşırı bağımlılığı görünür kılarsın.
- Tedarikçi erişimini sınırlamak: uzaktan erişim, hesaplar, ayrım: Tedarikçi hesaplarını kişiye özel, süreli ve kayıtlı hâle getirip yalnızca gereken sistemlere erişimini sağlarsın.
- Kısa görev: sözleşmedeki eksik güvenlik maddelerini bul
Yazılım tedarik zinciri ve çıkış
- Yazılım tedarik zinciri: SBOM ve imzalı sürümler: Satın aldığın yazılımın bileşen listesini (SBOM) ve imzalı sürüm güvencesini isteyip değerlendirebilirsin.
- Tedarikçide olay olduğunda: ortak müdahale: Tedarikçide yaşanan bir olayda bilgi toplama, erişim kısıtlama ve iletişim adımlarını koordine edebilirsin.
- Tedarikçiden ayrılmak: erişim kapatma, veri iadesi ve imha: Sözleşme bittiğinde erişimlerin kapatıldığını, verinin iade ya da imha edildiğini kanıtla doğrulayabilirsin.
- Düzenleyici beklentiler: NIS2, DORA ve kamu ihaleleri: Tedarik zinciri güvenliği için düzenleyicilerin ve kamu alıcılarının beklediği kayıt ve kanıtları hazırlayabilirsin.
- Bitirme görevi: kritik bir bulut tedarikçisini değerlendir ve karar raporu yaz: Kurgusal bir tedarikçinin anket yanıtları, güvence raporu ve sözleşmesini inceleyip onay, şartlı onay ya da ret kararı önerirsin.
Pratik lablar
- Faaliyeti yaşam döngüsü aşamasına koy: On beş faaliyeti seçim, sözleşme, devreye alma, izleme ve ayrılma aşamalarına yerleştir.
- Tedarikçi listesini kademelendir: Otuz tedarikçiyi veri erişimi, hizmet kritikliği ve ikame kolaylığına göre üç kademeye ayır.
- Envanterdeki kayıtsız tedarikçiyi bul: Bir ödeme dökümü ve tek oturum açma uygulama listesini tedarikçi envanteriyle karşılaştırıp kayıtsız hizmetleri raporla.
- Soru setini kademeye göre seç: Altı tedarikçi için kısa, standart ya da ayrıntılı soru setinden hangisinin gönderileceğini belirle.
- Soru formu yanıtlarını değerlendir: Bir bulut yedekleme sağlayıcısının kırk soruluk yanıtlarında yetersiz, kaçamak ve çelişkili yanıtları işaretle.
- Yanıtı kanıtla doğrula: Tedarikçinin beyanlarını sunduğu politika, test özeti ve dışarıdan görülen yapılandırma kayıtlarıyla karşılaştırıp doğrulanamayanları listele.
- Sertifikanın kapsamını oku: Üç ISO/IEC 27001 sertifikasında kapsam, geçerlilik tarihi ve belgelendirme kuruluşunu bul ve alınan hizmeti kapsayıp kapsamadığını yaz.
- SOC 2 raporundaki istisnaları değerlendir: Kurgusal bir Tip 2 raporunun test sonuçları bölümündeki istisnaları ve yönetim yanıtlarını kendi riskin açısından değerlendir.
- Tamamlayıcı kullanıcı kontrollerini eşle: Bir rapordaki tamamlayıcı kullanıcı kontrollerini kendi kontrol listenle eşleyip karşılamadıklarını raporla.
- Sözleşmedeki eksik güvenlik maddesini bul: Bir hizmet sözleşmesini bildirim, denetim hakkı, alt yüklenici ve veri iadesi madde listesiyle karşılaştır.
- Olay bildirim maddesini güçlendir: Makul sürede bildirim diyen bir maddeyi süre, içerik, iletişim noktası ve iş birliği yükümlülüğüyle yeniden yaz.
- Tedarikçi erişimini sınırla: Bir bakım firmasının uzaktan erişim hesap ve bağlantı kayıtlarını inceleyip paylaşılan hesapları, süresiz erişimi ve gereksiz ağ erişimini raporla.
- Yeniden değerlendirme tarihini belirle: Yirmi tedarikçi için kademe ve son değerlendirme tarihine göre gecikenleri ve bir sonraki tarihi belirle.
- Dördüncü tarafları haritala: On kritik tedarikçinin alt yüklenici listelerinden ortak bağımlılıkları gösteren tablo çıkar.
- Yoğunlaşma riskini değerlendir: Kritik hizmetlerin yarıdan fazlasının aynı bulut bölgesine dayandığı bir portföyde riski değerlendirip azaltma seçeneklerini yaz.
- SBOM'da bileşeni bul: Hazır bir yazılım malzeme listesinde belirli bir kütüphanenin sürümünü ve onu kullanan ürünleri bul.
- İmzalı sürümü doğrula: Bir tedarikçinin yayın dosyasının karma değerini ve imzasını yayımlanan değerlerle doğrula.
- Tedarikçiden ayrılma planı: Kuzeyyıldızı Kargo'nun rota planlama sağlayıcısından ayrılması için erişimlerin kapatılması, verinin iadesi ve imha teyidini içeren plan yaz.
Kurs hakkında
Tedarikçileri kritikliğe göre sınıflandırır, anket ve güvence belgeleriyle değerlendirir, sözleşme ve sürekli izlemeyle riski yönetirsin.
Ne öğreneceksin
- Temeller
- Değerlendirme
- Sözleşme ve izleme
- Yazılım tedarik zinciri ve çıkış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.