Siber Güvenlik ve Bilgi Güvenliği Denetimi
Cybersecurity & Information Security Audit
Siber güvenliği teknik ekibin konusu olarak bırakmayın; yönetişimden erişim yönetimine, üçüncü taraflardan olay müdahalesine kadar kritik siber risklerin gerçekten kontrol altında olup olmadığına bağımsız güvence sağlayın.
Dijitalleşme, bulut hizmetleri, uzaktan erişim, dış hizmet sağlayıcılar ve birbirine bağlı sistemler işletmelerin siber risk profilini önemli ölçüde değiştirmiştir. Bu ortamda iç denetçinin görevi teknik güvenlik ürünlerini değerlendirmekten çok; kurumun siber riskleri nasıl yönettiğini ve kritik güvenlik kontrollerinin gerçekten çalışıp çalışmadığını değerlendirmektir.
Program; siber güvenliği yönetişim, risk, süreç, teknoloji ve insan boyutlarıyla ele alır. Teknik uzman olmayan iç denetçilerin de anlamlı denetim soruları sorabilmesi, doğru kanıtı talep edebilmesi ve kritik kontrol zayıflıklarını iş etkisiyle ilişkilendirebilmesi üzerinde durulur.
Eğitimin Amacı
Eğitimin amacı; katılımcıların kurumların siber güvenlik ve bilgi güvenliği yapısını risk odaklı iç denetim yaklaşımıyla değerlendirebilmeleri, kritik siber risk ve kontrolleri belirleyebilmeleri ve etkili denetim prosedürleri geliştirebilmeleridir.
Program kapsamında siber yönetişim, bilgi varlıkları, kimlik ve erişim yönetimi, ayrıcalıklı hesaplar, değişiklik ve zafiyet yönetimi, ağ ve uç nokta güvenliği, bulut, üçüncü taraflar, yedekleme, olay müdahalesi ve siber dayanıklılık birlikte ele alınır.
Katılımcıların kontrol listeleriyle sınırlı kalmadan kurumun en kritik siber risklerini iş etkisiyle ilişkilendirmeleri ve denetim kaynaklarını yüksek güvence ihtiyacının bulunduğu alanlara yönlendirmeleri üzerinde durulur.
Eğitim Sonunda Katılımcılar Neler Yapabilir?
-
Siber Riskleri İş Riski Olarak Değerlendirme: Siber olayların finansal, operasyonel, hukuki ve itibar etkilerini analiz edebilir.
-
Siber Yönetişimi Denetleme: Yönetim kurulu, üst yönetim ve güvenlik fonksiyonları arasındaki sorumluluk yapısını değerlendirebilir.
-
Siber Denetim Evreni Oluşturma: Kritik sistem, veri, altyapı, bulut ve üçüncü tarafları denetlenebilir alanlara dönüştürebilir.
-
Varlık Yönetimini Değerlendirme: Kurumun hangi bilgi ve teknoloji varlıklarını koruması gerektiğini doğru belirleyip belirlemediğini inceleyebilir.
-
Erişim Kontrollerini Test Etme: Kullanıcı, rol, ayrıcalıklı hesap ve görevler ayrılığı kontrollerini değerlendirebilir.
-
Zafiyet Yönetimini Denetleme: Zafiyetlerin belirlenmesi, önceliklendirilmesi ve giderilmesi süreçlerini test edebilir.
-
Bulut ve Üçüncü Taraf Risklerini Değerlendirme: Dış hizmet sağlayıcıların oluşturduğu siber riskleri analiz edebilir.
-
Olay Müdahalesini Değerlendirme: Kurumun siber olayları tespit, eskale, müdahale ve raporlama kapasitesini inceleyebilir.
-
Yedekleme ve Kurtarma Kontrollerini Test Etme: Kritik verilerin ve sistemlerin saldırı sonrasında geri döndürülebilirliğini değerlendirebilir.
-
Siber Denetim Kanıtı Toplama: Teknik kayıt, rapor ve güvenlik göstergelerini denetim kanıtı olarak değerlendirebilir.
-
Risk Odaklı Siber Bulgu Yazma: Teknik kontrol zayıflıklarını yönetimin anlayacağı iş riski ve sonuç diliyle raporlayabilir.
-
Siber Güvenlik Olgunluğunu Değerlendirme: Kontrolleri tek tek incelemek yerine kurumun bütünsel siber güvenlik kapasitesini değerlendirebilir.
Eğitim İçeriği
Siber Güvenlik Denetiminin Temelleri
-
Siber güvenlik, bilgi güvenliği ve BT denetimi kavramlarının birbirinden ayrıştırılması
-
Siber risklerin kurumsal risk yönetimiyle ilişkilendirilmesi
-
Gizlilik, bütünlük ve erişilebilirlik ilkelerinin denetim perspektifiyle değerlendirilmesi
-
NIST Siber Güvenlik Çerçevesi ve ISO/IEC 27001 yaklaşımının denetimde kullanılması
-
Teknik risklerin finansal ve operasyonel iş etkilerine dönüştürülmesi
-
Risk odaklı siber güvenlik denetim kapsamının belirlenmesi
Siber Yönetişim ve Risk Yönetiminin Denetlenmesi
-
Yönetim kurulu ve üst yönetimin siber risk gözetiminin değerlendirilmesi
-
Bilgi güvenliği organizasyonu, rol ve sorumluluklarının incelenmesi
-
Siber güvenlik politika ve standartlarının yeterliliğinin değerlendirilmesi
-
Siber risk değerlendirme metodolojisinin incelenmesi
-
Risk iştahı ve siber risk kabul süreçlerinin değerlendirilmesi
-
Siber güvenlik göstergeleri ve yönetim raporlamasının incelenmesi
Bilgi Varlıkları, Kimlik ve Erişim Yönetimi
-
Bilgi ve teknoloji varlık envanterinin tamlık ve güncelliğinin değerlendirilmesi
-
Bilgi sınıflandırması ve varlık sahipliğinin incelenmesi
-
Kullanıcı oluşturma, değiştirme ve kapatma süreçlerinin test edilmesi
-
Rol bazlı yetkilendirme ve en az yetki ilkesinin değerlendirilmesi
-
Ayrıcalıklı hesapların ve yönetici yetkilerinin kontrol edilmesi
-
Periyodik erişim gözden geçirmeleri ve görevler ayrılığı kontrollerinin incelenmesi
Sistem Güvenliği, Zafiyet ve Değişiklik Yönetimi
-
Güvenli sistem yapılandırmalarının ve temel güvenlik standartlarının değerlendirilmesi
-
Zafiyet tarama ve değerlendirme süreçlerinin incelenmesi
-
Kritik zafiyetlerin risk bazlı önceliklendirilmesinin test edilmesi
-
Yama yönetimi ve güvenlik güncellemelerinin değerlendirilmesi
-
Sistem değişikliklerinde güvenlik değerlendirmelerinin incelenmesi
-
Kayıt, izleme ve güvenlik olaylarının tespitine yönelik kontrollerin değerlendirilmesi
Ağ, Uç Nokta, E-posta ve Bulut Güvenliği
-
Ağ bölümlendirme ve kritik sistemlerin ayrıştırılmasının değerlendirilmesi
-
Güvenlik duvarı ve ağ erişim kurallarının yönetişiminin incelenmesi
-
Uç nokta güvenlik kontrolleri ve zararlı yazılım korumasının değerlendirilmesi
-
E-posta güvenliği ve kimlik avı risklerine yönelik kontrollerin incelenmesi
-
Bulut hizmetlerinde sorumluluk paylaşımı ve erişim kontrollerinin değerlendirilmesi
-
Uzaktan erişim ve mobil çalışma güvenliğinin incelenmesi
Üçüncü Taraf ve Tedarik Zinciri Siber Riskleri
-
Kritik teknoloji ve hizmet sağlayıcılarının risk bazlı sınıflandırılması
-
Sözleşme öncesi güvenlik durum tespiti süreçlerinin değerlendirilmesi
-
Siber güvenlik gerekliliklerinin sözleşmelere aktarılmasının incelenmesi
-
Üçüncü taraf erişimlerinin yetkilendirme ve izleme açısından değerlendirilmesi
-
Hizmet sağlayıcı güvenlik performansının sürekli izlenmesinin incelenmesi
-
Tedarik zinciri kaynaklı siber olayların kurum üzerindeki etkisinin değerlendirilmesi
Siber Olay Yönetimi, Yedekleme ve Dayanıklılık
-
Siber olay tespit ve sınıflandırma süreçlerinin değerlendirilmesi
-
Olay müdahale planı ve görev sorumluluklarının incelenmesi
-
Olayların üst yönetime eskalasyon ve iletişim süreçlerinin test edilmesi
-
Yedekleme kapsamı, sıklığı ve koruma mekanizmalarının değerlendirilmesi
-
Geri yükleme testleri ve sistem kurtarma kapasitesinin incelenmesi
-
Fidye yazılımı ve büyük ölçekli saldırılar için siber dayanıklılık senaryolarının değerlendirilmesi
Siber Güvenlik Denetim Testleri, Bulgular ve Raporlama
-
Siber güvenlik denetim programının risklerden hareketle oluşturulması
-
Teknik rapor, kayıt ve sistem çıktılarının denetim kanıtı olarak değerlendirilmesi
-
Örnekleme ve veri analitiğinin siber denetimlerde kullanılması
-
Teknik zafiyet ile kontrol ve yönetişim eksikliğinin birbirinden ayrıştırılması
-
Siber bulguların kalan risk ve iş etkisiyle derecelendirilmesi
-
Yönetim ve denetim komitesi için karar kullanışlı siber güvenlik denetim raporunun hazırlanması
Uygulamalar ve Vaka Çalışmaları
Eğitimde örnek bir siber saldırı senaryosu üzerinden kurumun kritik varlıkları ve riskleri belirlenir; erişim yönetimi, zafiyet yönetimi, üçüncü taraf güvenliği, olay müdahalesi ve yedekleme kontrolleri değerlendirilir. Katılımcılar seçilmiş risk alanları için denetim prosedürleri geliştirir ve teknik bulguları yönetimin anlayacağı risk ve iş etkisi diliyle raporlar.
Kimler Katılmalı?
-
İç denetçiler ve kıdemli iç denetçiler
-
İç denetim yöneticileri
-
Bilgi teknolojileri denetçileri
-
Bilgi güvenliği ve siber güvenlik yöneticileri
-
Risk ve iç kontrol profesyonelleri
-
Bilgi teknolojileri risk yöneticileri
-
Uyum ve güvence ekipleri
-
Bilgi güvenliği yönetim sistemi ekipleri
-
Denetim komitesine siber risk raporlaması yapan profesyoneller
-
Siber güvenlik denetim yetkinliğini geliştirmek isteyen kurum ekipleri
Eğitim Yöntemi
Program; siber risk senaryoları, kontrol değerlendirmeleri, örnek sistem ve güvenlik raporları, denetim prosedürü geliştirme, kanıt değerlendirme ve bulgu yazma uygulamalarıyla yürütülür. Teknik kavramlar denetim ve iş riski perspektifiyle açıklanır.
Kuruma özel eğitimlerde kurumun siber risk değerlendirmesi, bilgi varlıkları, güvenlik politikaları, anonimleştirilmiş olay örnekleri ve mevcut güvenlik raporları kullanılabilir. Böylece doğrudan kurumun risk profiline uygun siber güvenlik denetim programı geliştirilebilir.
Süre
14 Saat / 2 Tam Gün
Kurumun kendi siber risk evreni üzerinde kapsamlı risk değerlendirmesi ve denetim programı geliştirilmesi istenirse program üç günlük uygulamalı formata genişletilebilir.
Bu Eğitimi Kurumunuza Özel Planlayalım
Programı kurumunuzun teknoloji altyapısı, sektör özellikleri, siber risk profili ve mevcut güvenlik kontrollerine göre özelleştirebiliriz. Gerçek ancak anonimleştirilmiş risk ve olay örnekleri üzerinden siber güvenlik denetim programı ve kontrol testleri geliştirilebilir. Eğitim yüz yüze veya canlı online olarak planlanabilir.
KURUMSAL EĞİTİM TALEBİ OLUŞTUR