EĞİTİMİN AMACI
ISO 27001:2022 Bilgi Güvenliği Temel ve Farkındalık Eğitimi’nin amacı, kurumun bilgi varlıklarını etkin bir şekilde koruyabilecek bir farkındalık ve kültür oluşturmak; bilgi güvenliği risklerini tanıyıp doğru şekilde yönetebilecek yetkinliği kazandırmaktır. Eğitim, çalışanların ISO 27001:2022 standardının temel gerekliliklerini anlamasını sağlayarak, kurumun denetimlerde sürdürülebilir biçimde “uygun” sonuçlar elde etmesine katkı sunmayı hedefler.
ISO 27001 Eğitiminin Ana Hedefleri;
- Bilgi güvenliği farkındalığı oluşturmak
- Bilginin sadece IT konusu olmadığını öğretmek
- İnsan, süreç ve teknoloji boyutunu kavratmak
- “En zayıf halka insan” gerçeğini sahaya indirmek
Bilgi varlıklarını tanımlatmak ve sahiplik kazandırmak
- Bilgi varlığı nedir / değildir?
- Varlık envanteri mantığı
- Varlık sahibi (asset owner) bilinci
EĞİTİM İÇERİĞİ
- Bilgi güvenliği nedir?
- Bilginin değeri ve korunmasının önemi
- ISO/IEC 27001 standardının amacı
- ISO 27001’in diğer ISO yönetim sistemleriyle ilişkisi (ISO 9001, 22301 vb.)
ISO/IEC 27001:2022 Yapısı
- Annex SL (Yüksek Seviye Yapı – HLS)
- Standardın bölümleri (Madde 4–10)
- 2013 → 2022 revizyonundaki temel değişiklikler
Kuruluşun Bağlamı (Madde 4)
- İç ve dış hususlar
- İlgili tarafların ihtiyaç ve beklentileri
- BGYS kapsamının belirlenmesi
- BGYS süreç yaklaşımı
Liderlik (Madde 5)
- Üst yönetimin rolü ve sorumlulukları
- Bilgi Güvenliği Politikası
- Yetki, sorumluluk ve roller
- Liderlik ve taahhüt
Planlama (Madde 6)
- Risk temelli düşünce
- Bilgi güvenliği risklerinin belirlenmesi
- Risk değerlendirme ve risk işleme metodolojisi
- Bilgi güvenliği hedefleri ve planlama Yeni Kontroller.
- (Toplam 93 adettir) ve Siber tehditlere karşı güvenlik tedbirleri
- Tehdit İstihbaratı: Saldırıların erken tespiti için yapılandırılmış tehdit analizi.
- Bulut Güvenliği: Bulut ve hibrit altyapılar için özel güvenlik gereksinimleri.
- İş Sürekliliği için Bilişim Teknolojileri Hazırlığı: Acil durumlar ve siber olaylar sırasında BT sürekliliğini sağlar.
- Fiziksel Güvenlik İzleme: Fiziksel güvenlik önlemlerinin gelişmiş izlenmesi.
- Yapılandırma Yönetimi: Hataları önlemek için standartlaştırılmış yapılandırma kontrolleri.
- Veri Maskeleme: Veri sızıntılarını önlemek için hassas verileri koruyun.
- Veri Sızıntısı Önleme (DLP): Yetkisiz bilgi çıkışını önlemek için gelişmiş mekanizmalar.
- Web Filtreleme: Kötü amaçlı yazılımlara karşı koruma sağlamak için kontrollü web erişimi ve URL filtreleme.
- Güvenli Kodlama: Yazılım geliştirmede güvenlik açıklarını azaltmaya yönelik güvenlik standartları.
- Bilgi Silme: Uyumluluk gerekliliklerine uygun olarak güvenli veri silme işlemi.
- İzleme Faaliyetleri: Olayların hızlı tespiti için geliştirilmiş kayıt tutma ve izleme.
Destek (Madde 7)
- Kaynak yönetimi
- Yetkinlik, farkındalık ve eğitim
- İletişim
- Dokümante edilmiş bilgi yönetimi
Operasyon (Madde 8)
- Bilgi güvenliği operasyonlarının planlanması
- Risk işleme planlarının uygulanması
- Değişikliklerin yönetimi
Performans Değerlendirme (Madde 9)
- İzleme, ölçme, analiz ve değerlendirme
- İç tetkik (iç denetim)
- Yönetimin gözden geçirmesi (YGG)
İyileştirme (Madde 10)
- Uygunsuzluk ve düzeltici faaliyet
- Sürekli iyileştirme yaklaşımı
Annex A – Bilgi Güvenliği Kontrolleri (2022)-ISO 27001:2022’nin en kritik bölümü
Annex A Kontrol Yapısı (93 Kontrol – 4 Grup):
- Organizasyonel Kontroller (37)
- İnsan Kaynakları Kontrolleri (8)
- Fiziksel Kontroller (14)
- Teknolojik Kontroller (34)
- Kontrol seçimi ve gerekçelendirme
- SoA (Statement of Applicability – Uygulanabilirlik Bildirgesi)
ISO 27001 Dokümantasyon Yapısı
- Politika, prosedür, talimat, kayıt yapısı
- Zorunlu dokümanlar
- Denetimde en çok bakılan kayıtlar
Risk Yönetimi Uygulaması (Detaylı)
- Varlık envanteri
- Tehdit–zafiyet analizi
- Risk matrisi
- Kabul edilebilir risk seviyesi
ISO 27001 İç Tetkik Eğitimi (Opsiyonel Modül)
- Denetçi bakış açısı
- Denetim planlama
- Soru teknikleri
- Uygunsuzluk yazma örnekleri
Sertifikasyon ve Denetim Süreci
- Belgelendirme adımları
- Aşama 1 – Aşama 2 denetimleri
- Gözetim ve yeniden belgelendirme
- Denetimde sık yapılan hatalar
Uygulama ve Örnekler (Workshop)
- Gerçek vaka analizleri
- Risk değerlendirme örnekleri
- Annex A kontrol eşleştirme
- Denetimde red yiyen tipik eksikler
KATILIMCILAR
Genel farkındalık eğitimi; bilgi varlıklarının yönetimi, bilgi güvenliği politikalarının uygulanması, risklerin belirlenmesi ve yönetilmesi, erişim yetkileri, bilgi güvenliği ihlallerinin önlenmesi, raporlanması ve kontrolü konularında görev alan veya bu süreçlerle ilişkili tüm personeli kapsar.
KATILIM GEREKLİLİKLERİ
Bilgi varlıklarının korunması, gizlilik, bütünlük ve erişilebilirlik konularına ilgi ve farkındalık sahibi olunması beklenir.