Bilgi Güvenliği Yönetim Sistemi Eğitimleri

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Eğitimleri

ISO 27001 eğitimleri; kuruluşların bilgi güvenliği yönetim sistemi yaklaşımını doğru anlaması, bilgi varlıklarını ve risklerini sistematik biçimde değerlendirmesi ve standardın şartlarını günlük iş süreçlerine uyarlaması için hazırlanır.

TOEM Kalite olarak eğitim yaklaşımımızı yalnızca standart maddelerinin anlatılmasıyla sınırlamıyoruz. Katılımcıların kendi süreçlerini, bilgi varlıklarını, tehditlerini, zafiyetlerini, risklerini, kontrollerini ve performans göstergelerini değerlendirebildiği uygulamaya dönük bir öğrenme modeli benimsiyoruz.

Teklif Al İletişime Geç

ISO 27001 Eğitimi Nedir?

ISO 27001 Eğitimi, Bilgi Güvenliği Yönetim Sistemi standardının yapısını, temel kavramlarını ve uygulama beklentilerini açıklayan kurumsal bir gelişim programıdır. Eğitim; BGYS kuracak kuruluşlar, mevcut sistemini geliştirmek isteyen ekipler, iç tetkik görevi üstlenecek çalışanlar, bilgi teknolojileri ve siber güvenlik ekipleri ile bilgi güvenliği kararlarında sorumluluk alan yöneticiler için farklı derinliklerde planlanabilir.

ISO 27001 yalnızca teknik güvenlik önlemlerini konu alan bir standart değildir. Bilgi güvenliği; insan, süreç, teknoloji, fiziksel ortam, tedarikçi ilişkileri, hukuki yükümlülükler ve yönetim kararlarının birlikte ele alınmasını gerektirir. Bu nedenle eğitimde yalnızca firewall, antivirüs veya şifreleme gibi teknik kontroller değil; liderlik, risk yönetimi, yetkinlik, dokümante edilmiş bilgi, olay yönetimi, iş sürekliliği, tedarikçi güvenliği, performans değerlendirme ve sürekli iyileştirme de incelenir.

Etkin bir eğitim programı sonunda katılımcıların, standart şartlarını ezberlemek yerine her şartın kuruluş içindeki karşılığını yorumlayabilmesi beklenir. Örneğin bir bilgi varlığı envanteri hazırlamak yalnızca cihaz listesi çıkarmak değildir. Bilginin kendisi, yazılım, donanım, hizmet, personel bilgisi, fiziksel kayıt, bulut servisi ve dış kaynaklı süreçler birlikte değerlendirilmelidir.

ISO 27001 Eğitiminin Amacı

ISO 27001 eğitimlerinin temel amacı, bilgi güvenliği yönetim sisteminin kuruluş içinde anlaşılmasını ve uygulanmasını desteklemektir. Eğitim sonunda katılımcıların, kendi görev alanları ile bilgi güvenliği sorumlulukları arasındaki bağlantıyı kurabilmesi hedeflenir.

ISO 27001 Eğitimine Kimler Katılmalıdır?

ISO 27001 eğitimi, kuruluşun bilgi güvenliği yönetim sistemi içerisinde doğrudan veya dolaylı sorumluluğu bulunan çalışanlara yöneliktir. Katılımcı profili seçilirken yalnızca bilgi işlem veya siber güvenlik birimi dikkate alınmamalıdır. İnsan kaynakları, satın alma, hukuk, idari işler, satış, proje yönetimi, yazılım geliştirme, operasyon, kalite, fiziksel güvenlik ve üst yönetim de bilgi güvenliği performansını etkiler.

ISO 27001 Eğitim Türleri

Kuruluşların eğitim ihtiyacı aynı değildir. Çalışanların görevleri, sistemin olgunluk seviyesi, belgelendirme hazırlığı, iç tetkik planı, teknik altyapı ve sektörel riskler dikkate alınarak farklı eğitim kapsamları oluşturulabilir.

Eğitim kapsamı belirlenirken katılımcıların mevcut bilgi seviyesi ve kuruluşun beklentisi birlikte değerlendirilmelidir. Yeni başlayan bir ekip için kavramsal altyapının güçlendirilmesi öncelikli olabilirken, sistemini uzun süredir uygulayan bir kuruluşta risk metodolojisi, kontrol etkinliği, tedarikçi güvenliği, güvenli geliştirme veya iç tetkik teknikleri daha ayrıntılı ele alınabilir.

Bilgi Varlığı, Tehdit ve Zafiyet Arasındaki İlişki

ISO 27001 uygulamalarında en kritik konulardan biri bilgi varlığı, tehdit ve zafiyet kavramlarının doğru ayrılmasıdır. Bilgi varlığı, kuruluş için değer taşıyan bilgi veya bilgiyi işleyen, saklayan, ileten ya da destekleyen unsurdur. Tehdit, bir varlığa zarar verme potansiyeli bulunan olay veya etkendir. Zafiyet ise tehdidin etkili olmasına imkân veren eksiklik veya zayıflıktır.

Örneğin müşteri veritabanı bir bilgi varlığıdır. Yetkisiz erişim bir tehdit, zayıf erişim yetkilendirmesi ise zafiyettir. Dizüstü bilgisayar bir donanım varlığıdır. Cihazın kaybolması bir tehdit, disk şifrelemesinin bulunmaması ise zafiyettir. Bulut hizmeti bir hizmet varlığıdır. Hizmet kesintisi bir tehdit, yedekleme ve alternatif çalışma planının yetersizliği ise zafiyettir.

Eğitim sırasında bu ilişki farklı sektörlerden örneklerle pekiştirilir. Yazılım, üretim, finans, sağlık, lojistik, kamu ve hizmet kuruluşlarında bilgi varlıkları ve risk senaryolarının nasıl değişebildiği değerlendirilir. Böylece katılımcılar yalnızca genel bir risk listesi kullanmak yerine kendi süreçlerinden hareketle gerçek riskleri belirleme becerisi kazanır.

Bilgi Güvenliği Riskleri Nasıl Değerlendirilir?

Tüm bilgi güvenliği riskleri aynı öneme sahip değildir. Kuruluşun, riskleri belirlemek, analiz etmek ve değerlendirmek için tutarlı ve tekrar edilebilir bir yöntem geliştirmesi gerekir. Eğitimde bu yöntemin kuruluşun faaliyetlerine göre nasıl tasarlanabileceği ele alınır.

Değerlendirme kriterleri; olasılık, gizlilik etkisi, bütünlük etkisi, erişilebilirlik etkisi, finansal kayıp, yasal sonuç, itibar etkisi, operasyonel kesinti, mevcut kontroller ve risk iştahı gibi unsurları içerebilir. Her kuruluşun aynı puanlama yöntemini kullanması gerekmez. Önemli olan yöntemin anlaşılır, tutarlı, karar vermeye elverişli ve kuruluşun gerçek risklerini ayırt edebilir olmasıdır.

Risk değerlendirmesinin yalnızca puan üretmesi yeterli değildir. Risk sahibi, mevcut kontroller, planlanan faaliyet, sorumlu, süre, kaynak ihtiyacı, hedef risk seviyesi ve kabul kararı açık biçimde belirlenmelidir. Risk işleme seçenekleri azaltma, kaçınma, paylaşma veya bilinçli kabul gibi farklı kararları içerebilir.

Ek A Kontrolleri ve Uygulanabilirlik Bildirgesi

ISO 27001 uygulamalarında Ek A kontrolleri, risk işleme sürecini destekleyen bir referans kontrol seti olarak ele alınır. Eğitimde kontrollerin otomatik biçimde uygulanması veya yalnızca bir kontrol listesi gibi işaretlenmesi yerine, risklerle ilişkilendirilmesi üzerinde durulur.

Uygulanabilirlik Bildirgesi; hangi kontrollerin kuruluş için uygulanabilir olduğunun, neden seçildiğinin, uygulanma durumunun ve varsa hariç tutma gerekçesinin açıklandığı temel dokümanlardan biridir. Bu belge yalnızca belgelendirme denetimi için hazırlanan bir tablo olmamalıdır. Risk işleme kararları, yasal ve sözleşmesel şartlar, ilgili taraf beklentileri ve iş ihtiyaçlarıyla uyumlu olmalıdır.

İç Tetkik Eğitimi ve Denetim Yaklaşımı

ISO 27001 iç tetkik eğitimi, katılımcıların bilgi güvenliği yönetim sistemini planlı, tarafsız ve kanıta dayalı biçimde değerlendirebilmesini amaçlar. İç tetkik yalnızca prosedürlerin varlığını kontrol etmek değildir. Riskler, uygulamalar, kullanıcı davranışları, teknik kayıtlar, fiziksel koşullar, sözleşmeler ve kontrol sonuçları birlikte incelenmelidir.

Eğitim kapsamında tetkik programı, tetkik planı, kontrol soruları, açılış toplantısı, görüşme teknikleri, örnekleme, objektif kanıt, sistem ve kayıt inceleme, uygunsuzluk yazımı, kapanış toplantısı, raporlama ve takip konuları ele alınabilir.

Uygunsuzluk yazımında şart, objektif kanıt ve bulgu arasındaki ilişkinin açık olması gerekir. Belirsiz, yoruma dayalı veya doğrudan çözüm tarif eden ifadeler yerine; görülen durumun hangi şartla çeliştiği somut biçimde açıklanmalıdır.

Yönetimin Gözden Geçirmesi ve Sürekli İyileştirme

Yönetimin gözden geçirmesi, üst yönetimin BGYS’nin uygunluğunu, yeterliliğini ve etkinliğini değerlendirdiği temel yönetim mekanizmasıdır. Toplantı yalnızca yıllık bir formalite olarak yürütülmemelidir. Bilgi güvenliği hedefleri, riskler, olaylar, iç tetkikler, ilgili taraf beklentileri, kaynak ihtiyaçları, değişiklikler, performans sonuçları ve iyileştirme fırsatları karar odaklı biçimde ele alınmalıdır.

İyileştirme yalnızca uygunsuzluk kapatmak anlamına gelmez. Erişim yönetiminin otomasyonu, log izleme kapasitesinin geliştirilmesi, güvenlik farkındalık programları, tedarikçi kontrolleri, yedekleme testleri, güvenli geliştirme uygulamaları ve olay müdahale süreçleri de sürekli iyileştirmenin parçasıdır.

Eğitimde Uygulama ve Atölye Yaklaşımı

Katılımcıların öğrendiklerini iş ortamına aktarabilmesi için eğitimlerde örnek çalışma ve atölye uygulamalarına yer verilebilir. Uygulamalar kuruluşun sektörüne, katılımcı profiline ve eğitim seviyesine göre seçilir.

Online ve Kurum İçi Eğitim Yaklaşımı

ISO 27001 eğitimleri, kuruluşun ihtiyacına göre online veya kurum içi biçimde planlanabilir. Online eğitimlerde etkileşimi korumak için soru-cevap, kısa vaka çalışmaları, ekran üzerinden doküman inceleme ve grup değerlendirmeleri kullanılabilir. Kurum içi eğitimlerde ise kuruluşun gerçek süreçleri, bilgi akışları, teknik altyapısı ve mevcut uygulamaları daha ayrıntılı ele alınabilir.

Kurum içi programların önemli avantajı, içeriğin kuruluşun sektörüne ve bilgi güvenliği önceliklerine göre uyarlanabilmesidir. Yazılım kuruluşlarında güvenli geliştirme, kaynak kodu ve bulut güvenliği ön plana çıkabilirken; üretim kuruluşlarında operasyon teknolojileri, fiziksel güvenlik, tedarikçiler ve süreklilik daha ayrıntılı incelenebilir. Hizmet kuruluşlarında müşteri verileri, uzaktan çalışma, erişim yönetimi ve dış kaynaklı hizmetler ağırlık kazanabilir.

Eğitimin yöntemi ne olursa olsun, katılımcıların soru sorabildiği, kendi süreçlerinden örnek getirebildiği ve uygulama üzerinden değerlendirme yapabildiği bir yapı tercih edilir.

Katılımcıların Eğitim Sonunda Elde Edeceği Kazanımlar

Eğitim sonunda katılımcıların bilgi seviyesi, görev alanı ve program kapsamına bağlı olarak aşağıdaki yetkinlikleri geliştirmesi hedeflenir:

• ISO 27001’in amacını ve yönetim sistemi yapısını açıklayabilmek,
• Bilgi varlığı, tehdit, zafiyet ve risk kavramlarını doğru ilişkilendirebilmek,
• Bilgi varlığı envanteri ve sınıflandırma yaklaşımını uygulayabilmek,
• Risk değerlendirme ve risk işleme sürecini yorumlayabilmek,
• Ek A kontrollerini riskler ve iş ihtiyaçlarıyla ilişkilendirebilmek,
• Uygulanabilirlik Bildirgesi’nin amacını ve yapısını anlayabilmek,
• Erişim kontrolü, olay yönetimi, tedarikçi güvenliği ve iş sürekliliği ihtiyaçlarını değerlendirebilmek,
• Güvenli yazılım geliştirme ve değişiklik yönetimi kontrollerini yorumlayabilmek,
• Bilgi güvenliği hedefleri ve performans göstergeleri oluşturabilmek,
• İç tetkik sürecine hazırlanmak ve objektif kanıtları değerlendirebilmek,
• Yönetimin gözden geçirmesi ve sürekli iyileştirme mekanizmalarının rolünü anlayabilmek.

ISO 27001 Eğitimlerinde Sık Karşılaşılan Yanlış Yaklaşımlar

TOEM Kalite Eğitim Yaklaşımı

TOEM Kalite olarak ISO 27001 eğitimlerinde hazır ve tek tip anlatım yerine kuruluşun faaliyet alanını, süreçlerini, bilgi varlıklarını, teknolojilerini, risklerini ve mevcut yönetim sistemi olgunluğunu dikkate alan bir yaklaşım benimsiyoruz.

Eğitim içeriğinin kuruluşun ihtiyaçlarına göre uyarlanması, katılımcıların öğrendiklerini iş ortamına aktarmasını kolaylaştırır. Bu nedenle eğitim öncesinde faaliyet kapsamı, katılımcı profili, mevcut sistem seviyesi, kullanılan teknolojiler ve öncelikli bilgi güvenliği konuları hakkında bilgi alınması faydalıdır.

Sık Sorulan Sorular