BİG Rehber, ISO 27001/2, CIS'le Kurumsal Güvenlik ve Denetim

Bu derste kurumsal bilgi güvenliğinin neden tek seferlik bir proje değil, sürekli bir program olduğunu ele alıyoruz. Üst yönetim desteğinden güvenlik kültürüne, risk yönetiminden varlık güvenliğine kadar kurumsal güvenliği oluşturan katmanları tanımlıyor;

1., 2. ve 3. taraf denetimlerin ne anlama geldiğini, neyi ölçtüğünü ve neden vazgeçilmez olduğunu somut örneklerle açıklıyoruz.

Bu derste ISO 9001 (Kalite), ISO 14001 (Çevre) ve ISO 45001 (İş Sağlığı ve Güvenliği) gibi yönetim sistemi standartlarından yola çıkarak, ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS)’nin neden ortaya çıktığını inceliyoruz. Bilgi güvenliğinin teknik bir konu olmaktan çıkıp yönetilen bir sistem haline gelmesini, risk ve fırsat temelli yaklaşımı ve ISO 27001’in kuruma sağladığı stratejik faydaları ele alıyoruz.

Risk ve fırsat yönetimi sayesinde güvenlik duruşunuzu belirleyecek, güvenlik hedeflerinizi oluşturabileceksiniz. Her sektörden, her büyüklükteki kuruma uygulanabilir olan bu dersle, kurumsal bilgi güvenliği konusundaki temel yetkinlikleri kazanacaksınız.

Bu derste ISO 27001 belgelendirme sürecini uçtan uca ele alıyoruz. 1. aşama ve 2. aşama denetimler, gözetim denetimleri, büyük (majör) ve küçük (minör) bulgular, iyileştirme önerileri ve sertifikanın 3 yıllık yaşam döngüsü net biçimde açıklanıyor. Denetimlerde ne beklenir, nasıl hazırlanılır ve bulgular nasıl yönetilir sorularına pratik cevaplar veriyoruz.

Bu derste ISO 27001 ve ISO 27002’nin 2022 sürümleriyle gelen kritik değişiklikleri inceliyoruz. Kontrollerin 4 ana grupta (örgütsel, insani, fiziksel, teknolojik) toplanması, 93 kontrol yapısı, yeni eklenen tehdit istihbaratı, bulut, DLP ve güvenli kodlama gibi konular üzerinden güncel BGYS uygulama yaklaşımını netleştiriyoruz.

Bu derste ISO 27000 ailesinin tamamını bir “harita” gibi ele alıyoruz. Hangi standardın gereksinim, hangisinin rehber, hangisinin sektör özelinde olduğunu; ISO 27001, 27002, 27005, 27009 gibi standartların BGYS içindeki rollerini netleştiriyoruz. Amaç ezber değil, doğru standardı doğru ihtiyaca bağlayabilmek.

Bu uygulamada ISO standartlarının İngilizce ve Türkçe (TSE) sürümlerine nasıl erişileceğini, hangi kaynakların güncel ve güvenilir olduğunu ve sahte / eski dokümanlardan nasıl kaçınılacağını gösteriyoruz. Denetim ve danışmanlık yapanlar için kritik bir pratik derstir.

Bu derste ISO 27002:2022’nin getirdiği 93 kontrolü yalnızca saymakla kalmıyor; kontrol türlerini, sizin için Türkçeleştirdiğim yeni kontrol özniteliklerini (Identify–Protect–Detect–Respond–Recover gibi) ve bu yapının neden oluşturulduğunu açıklıyoruz. Kontrollerin “neden böyle tasarlandığını” anlamanızı sağlıyoruz.

Bu derste “her kurum için aynı kontrol” yaklaşımının neden hatalı olduğunu ele alıyoruz. ISO 27002 kontrollerinin, kurumun risk kesitine, iş koluna ve iş hedeflerine göre nasıl uyarlanması gerektiğini; denetimde savunulabilir bir yapı kurmayı öğretiyoruz.

Bu uygulamada örnek tehdit senaryoları üzerinden giderek, hangi ISO 27002 kontrollerinin neden seçildiğini analiz ediyoruz. “Bu kontrol neden var?” sorusuna somut ve denetimde savunulabilir cevaplar üretmeyi hedefliyoruz.

Bu derste ISO 27002 kontrollerinin özniteliklerini kullanarak izlenebilirlik, denetim kanıtı üretme ve olgunluk değerlendirmesi yapmayı gösteriyoruz. Kontrolleri “var/yok” değil, “nasıl ve ne kadar uygulanıyor” seviyesinde ele almayı öğreniyorsunuz.

Bu derste Clausewitz’in “savaşın sisi” kavramından yola çıkarak siber güvenlikte bilgi kirliliği, araç bolluğu ve standart fazlalığının yarattığı belirsizliği ele alıyoruz. Amaç daha çok kontrol değil, doğru karar verebilecek zihinsel netliği kazandırmak.

Bu derste Pareto ilkesini siber güvenliğe uyarlıyoruz. Hangi %20’lik kontrol kümesinin riskin %80’ini azalttığını, özellikle KOBİ ve sınırlı kaynaklı kurumlar için neden CIS yaklaşımının güçlü olduğunu analiz ediyoruz.

Bu derste ISO 27002’nin yönetişim odaklı yapısı ile CIS Kontrollerinin işletimsel (operasyonel) ve önceliklendirilmiş yaklaşımını karşılaştırıyoruz. Hangi durumda hangisinin öne çıktığını ve neden birlikte kullanılmaları gerektiğini netleştiriyoruz.

CIS Kontrollerinin temel yapı taşlarını (Controls, Safeguards, Implementation Groups) ele alıyoruz. Bu yapı sayesinde kurumların güvenlik olgunluğuna göre kademeli ve gerçekçi savunma nasıl kurulur, bunu açıklıyoruz.

Bu uygulamada CIS belgelerini (PDF ve Excel) indirip varlık sınıflarıyla ilişkilendiriyoruz. Kontrollerin soyut kalmaması için “hangi varlık için hangi korunak” sorusuna pratik cevaplar üretiyoruz.

Bu derste gerçekçi tehdit senaryoları üzerinden ISO 27002 ve CIS kontrollerini birlikte ele alıyoruz. Amaç “ya o ya bu” değil, birlikte daha güçlü savunma kurabilmek.

Bu derste izlenebilirliğin (traceability) neden denetimin bel kemiği olduğunu ele alıyoruz. Risk → kontrol → uygulama → kanıt zincirinin nasıl kurulacağını ve denetimde nasıl savunulduğunu netleştiriyoruz.

Bu derste CIS’in sunduğu resmî eşleştirme çizelgelerini kullanarak ISO 27002 kontrollerini CIS korunaklarıyla ilişkilendiriyoruz. Amaç “iki ayrı çerçeve” değil, tek bir izlenebilir savunma yapısı kurmak.

Bu derste CIS Navigator’ı kullanarak PCI DSS, HIPAA, SOC 2 gibi farklı uyum gereksinimlerini tek bir kontrol seti üzerinden yönetmeyi öğreniyorsunuz. Bu yaklaşım özellikle danışmanlar ve denetçiler için oyun değiştirici.

CIS WorkBench’in (Çalışma Tezgahı) durağan bir kaynak değil, yaşayan bir bilgi ve uygulama platformu olduğunu gösteriyoruz. Topluluk katkıları, gerçek vakalar ve pratik önerilerle kontrol olgunluğu nasıl geliştirilir, bunu ele alıyoruz.

Bu derste CIS CSAT aracıyla kurumun mevcut güvenlik seviyesini ölçüyor, güçlü ve zayıf alanları netleştiriyor ve savunma yol haritasını veriyle temellendiriyoruz. Denetim ve yönetim sunumları için ideal.

Bu derste Bilgi ve İletişim Güvenliği Rehberi’nin neden ortaya çıktığını, hangi boşluğu doldurduğunu ve ISO/CIS gibi küresel çerçevelerle nasıl konumlandığını öğreniyorsunuz. Rehberi bir “zorunluluk” değil, stratejik üstünlük olarak okumayı amaçlıyoruz.

BİG Rehber’deki varlık grupları, tedbir grupları ve seviye mantığını derinlemesine ele alıyoruz. Bu yapı sayesinde kurumların neden “herkese aynı güvenlik” yerine risk ve varlığa göre kademeli güvenlik uygulaması gerektiği netleşiyor.

Bu uygulamada BİG Rehber, Denetim Rehberi ve ilişkili resmî kaynaklara nasıl erişileceğini, hangi dokümanın ne amaçla kullanıldığını ve denetim sürecinde hangi belgelerin kritik olduğunu gösteriyoruz.

Bu derste BİG Rehber’i yalnızca “okumuyor”, bir denetçi ve uygulayıcı gözüyle nasıl yorumlanacağını öğreniyoruz. Tedbirlerin arkasındaki mantık, önceliklendirme ve uygulama derinliği ele alınıyor.

Bu ders kursun felsefi ve pratik omurgasıdır. BİG Rehber’in Planla–Uygula–Kontrol Et–El At (PUKE) döngüsünü, sürekli güvenlik ve denetim perspektifiyle ele alıyoruz. Güvenliğin “bitmeyen bir süreç” olduğunu sahici örneklerle gösteriyoruz.

Bu derste BİG Rehber’in neden “varlıktan başladığını” öğreniyorsunuz. Ağ, uygulama, personel, IoT, fiziksel mekân gibi varlık gruplarının nasıl tanımlanacağı; yanlış gruplamanın denetimde nasıl zincirleme hataya yol açtığı ele alınıyor.

BİG Rehber’in kritiklik derecelendirme yaklaşımı, K-G-B (Kullanılabilirlik–Gizlilik–Bütünlük), etkilenen kişi sayısı, toplumsal ve sektörel etkiler üzerinden ayrıntılandırılır. Delfi yöntemi ile uzman görüşlerinin nasıl uzlaşıya dönüştürüleceği anlatılır.

Bu derste mevcut durum analizi, uygulanamayan tedbirler ve telafi edici kontrollerin ne zaman, nasıl ve hangi gerekçeyle kullanılabileceği ele alınır. Denetimde “neden uygulanmadı?” sorusuna verilecek doğru cevaplar netleştirilir.

Kuruma özgü, gerçekçi ve savunulabilir bir BİG Rehber yol haritası nasıl hazırlanır? Bu derste önceliklendirme, zamanlama ve kaynak kısıtlarıyla uyumlu bir uygulama planı oluşturmayı öğreniyorsunuz.

Güvenlik sadece teknik değildir. Bu ders, politika, rol, sorumluluk ve yetki tanımlarının neden mühim olduğunu; belirsizliğin denetimde nasıl bulguya dönüştüğünü gösterir.

Bu derste BİGDES platformunun amacı, denetimdeki rolü ve kurumların uyum durumunu nasıl sayısallaştırdığı anlatılır. “Yaptım” yerine “kanıtladım” yaklaşımının pratiği ele alınır.

Denetlenen kurumun ve denetçi firmanın sorumlulukları, sınırları ve sık yapılan hatalar bu derste netleştirilir. Denetimin bir “çatışma” değil, yapılandırılmış güvence süreci olduğu gösterilir.

Kim denetçi olabilir, kim olamaz? Denetçi firmasının ve personelinin sahip olması gereken yetkinlikler, çıkar çatışmaları ve doğru denetçi seçimi bu derste ele alınır.