OWASP SAMM ile Yazılım Güvenliği Olgunluk Değerlendirmesi, Strateji ve Dönüşüm
OWASP SAMM ile Yazılım Güvenliği Olgunluk Değerlendirmesi, Strateji ve Dönüşüm alanındaki temel ve ileri düzey yetkinlikleri kapsayan, 15 modül ve yoğun uygulamalı laboratuvarlarla desteklenmiş kurumsal uzmanlık eğitimi.
Eğitim Yol Haritası (5 Temel Aşama)
Bu eğitim; kurumların ve profesyonellerin modern bilişim ekosisteminde OWASP SAMM ile Yazılım Güvenliği Olgunluk Değerlendirmesi, Strateji ve Dönüşüm alanındaki ileri seviye yetkinlikleri kazanmasını, mimari standartları benimsemesini ve operasyonel verimliliği en üst düzeye çıkarmasını sağlamak amacıyla tasarlanmıştır. Canlı laboratuvar çalışmaları, sektörel vaka analizleri ve kıdemli mühendislik mentörlüğü eşliğinde işlenir.
- OWASP SAMM ile Yazılım Güvenliği Olgunluk Değerlendirmesi, Strateji ve Dönüşüm alanında kurumsal güvenlik stratejilerini ve savunma hatlarını yönetmek isteyenler
- Tehdit modelleme, zafiyet analizi, DevSecOps veya SOC operasyonlarında uzmanlaşmayı hedefleyenler
- Sistemleri, bulut altyapılarını ve uygulamaları siber saldırılara karşı proaktif korumak isteyenler
- Regülasyon uyumu (KVKK, BDDK, ISO 27001, SOC 2) ve kriptografik standartları sahada uygulamak isteyenler
- Yazılım takımlarında "Güvenlik Şampiyonu" (Security Champion) ve teknik liderlik rolü hedefleyenler
- Yazılım Geliştirme Uzmanları (Developers / Engineers)
- Yazılım ve Çözüm Mimarları (Software & Solution Architects)
- DevOps ve Bulut (Cloud / SRE) Mühendisleri
- Siber Güvenlik ve Bilgi Güvenliği Uzmanları
- Yazılım Test ve Kalite Güvence (QA) Uzmanları
- Teknoloji Liderleri ve Proje Yöneticileri
Programımız; kurumsal yetkinlik ve mühendislik kalitesinin tüm kritik katmanlarını kapsayan 6 stratejik yetkinlik sütunu üzerine inşa edilmiştir.
Çekirdek Mimari & Protokol Derinliği
Yüzeysel araç kullanımının ötesine geçerek sistemin iç mekanizmasını, protokollerini ve bellek düzeyindeki çalışma mantığını kavrama.
Gelişmiş Mühendislik Pratikleri
Endüstri standartlarında temiz, test edilebilir ve modüler yapılar inşa ederek teknik borcu minimize eden tasarım kalıpları.
Sorun Giderme & Teşhis
Kritik üretim ortamlarında karşılaşılan karmaşık arızaları, darboğazları ve kilitlenmeleri metodolojik kök neden analiziyle çözme.
Performans & Kaynak Tuning
Sistem kaynaklarını (CPU, RAM, I/O, Ağ) en verimli şekilde kullanarak gecikmeyi düşüren ve işlem kapasitesini artıran optimizasyon.
Kurumsal Güvenlik & Savunma
Sıfır Güven (Zero Trust) felsefesi, zafiyet yönetimi ve sıkılaştırma (Hardening) ilkeleriyle kurumsal altyapıyı koruma altına alma.
Üretim Ortamına Hazır Operasyon
Kurumsal ekosistemlere sıfır sürtünmeyle entegre olabilen, izlenebilir ve felaket kurtarma senaryolarına tam dayanıklı sistemler.
Katılımcılar, eğitim sonunda portföylerine ekleyebilecekleri ve kurumlarında doğrudan şablon olarak kullanabilecekleri 3 gerçek dünya projesi geliştirirler.
Bitirme Projesi 1: Kurumsal Uygulama Güvenliği Olgunluk Stratejisi ve Mimari Tasarımı
Bu bitirme projesi, katılımcıların OWASP SAMM eğitiminde edindikleri stratejik ve mimari güvenlik yetkinliklerini, gerçek bir kurumsal senaryo üzerinden somut bir çıktıya dönüştürmelerini hedeflemektedir. Proje, özellikle "Kurumsal Temel Mimari & Standartlar" kulvarına odaklanarak, karmaşık iş kurallarına sahip, katmanlı mimarili bir uygulamanın güvenlik yönetişimi, tehdit modellemesi ve güvenli mimari tasarım prensiplerini kapsamaktadır. Katılımcılar, bu projeyi tamamlayarak, uluslararası düzeyde bir çözüm mimarı veya güvenlik lideri pozisyonunda aranan, kurumsal güvenlik stratejileri oluşturma ve uygulama yeteneğine sahip olduklarını kanıtlayacaklardır. Bu proje, portföylerine ekleyebilecekleri, sadece teknik bilgiyi değil, aynı zamanda stratejik düşünme ve iş değerini anlama kapasitelerini de gösteren güçlü bir referans olacaktır.
Bitirme Projesi 2: Güvenli Cloud-Native Mikroservis Mimarisi ve DevSecOps Otomasyonu
Bu bitirme projesi, katılımcıların OWASP SAMM eğitiminde edindikleri uygulama güvenliği, CI/CD otomasyonu ve bulut bilişim yetkinliklerini, dağıtık sistemler bağlamında somut bir projeye dönüştürmelerini amaçlamaktadır. Proje, özellikle "Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon" kulvarına odaklanarak, mikroservis tabanlı bir uygulamanın güvenli geliştirme, dağıtım ve doğrulama süreçlerini kapsamaktadır. Katılımcılar, bu projeyi tamamlayarak, uluslararası düzeyde bir DevSecOps mühendisi, bulut mimarı veya kıdemli yazılım geliştiricisi pozisyonunda aranan, güvenli ve ölçeklenebilir bulut-native çözümler tasarlama ve uygulama yeteneğine sahip olduklarını kanıtlayacaklardır. Bu proje, portföylerine ekleyebilecekleri, sadece teknik bilgiyi değil, aynı zamanda otomasyon ve güvenlik entegrasyonu kapasitelerini de gösteren güçlü bir referans olacaktır.
Bitirme Projesi 3: Akıllı Siber Güvenlik Olay Yönetimi ve SAMM Olgunluk İyileştirme Yol Haritası
Bu bitirme projesi, katılımcıların OWASP SAMM eğitiminde edindikleri operasyonel güvenlik, olay yönetimi ve kurumsal olgunluk değerlendirme yetkinliklerini, yüksek performanslı ve dayanıklı bir sistem bağlamında somut bir projeye dönüştürmelerini hedeflemektedir. Proje, özellikle "Yüksek Performans, Dayanıklılık & Modern Entegrasyon" kulvarına odaklanarak, kritik bir üretim uygulamasının operasyonel güvenliğini, olay müdahale süreçlerini ve SAMM tabanlı iyileştirme yol haritasını kapsamaktadır. Katılımcılar, bu projeyi tamamlayarak, uluslararası düzeyde bir Siber Güvenlik Uzmanı, SRE (Site Reliability Engineer) veya Bilgi Güvenliği Yöneticisi pozisyonunda aranan, operasyonel güvenlik stratejileri oluşturma ve uygulama yeteneğine sahip olduklarını kanıtlayacaklardır. Bu proje, portföylerine ekleyebilecekleri, sadece teknik bilgiyi değil, aynı zamanda stratejik analiz ve sürekli iyileştirme kapasitelerini de gösteren güçlü bir referans olacaktır.
Kurumlar ve Satın Alma Departmanları İçin Neden Bu Eğitim Vazgeçilmezdir?
Geleneksel bireysel eğitimlerin aksine Vebende Akademi, kurumların operasyonel sürekliliğini, yazılım mimarisi güvenliğini ve bütçe verimliliğini esas alır. Tuncer KARAARSLAN'ın 35 yılı aşan bilgisayar mühendisliği ve 25 yılı aşkın uluslararası teknoloji eğitmenliği birikimiyle sunulan bu program; teorik anlatım yerine kurumunuzun gerçek iş süreçlerine doğrudan etki eden ölçülebilir çıktılar üretir.
Fiyatlandırma kişi başı değil, sınıf fiyatıdır. Ekibinizden 5 veya 15 kişi katılsın, bütçeniz değişmez; kişi başına düşen maliyet sektördeki en avantajlı kurumsal seviyeye iner.
Yeni işe başlayan veya farklı teknolojilerden geçiş yapan mühendislerin kurumsal kod ve mimari standartlarına hızla uyum sağlamasını ve üretime katkı verme süresini kısaltır.
Spagetti kod ve kontrolsüz altyapı yerine endüstri standardı mimari yaklaşımlar öğretilir. Güvenlik açıkları ve teknik borç birikimi ilk günden engellenir.
Eğitim süresince her katılımcının laboratuvar ödevleri, GitHub pratikleri ve bitirme projeleri şeffaf bir yetkinlik karnesi olarak yönetiminize raporlanır.
Dünya çapında önde gelen 24+ platform (Coursera, edX, O'Reilly, Pluralsight, MIT vb.) ve 17+ kariyer portalının son 3 yıllık iş ilanı verileri konsolide edilerek yapılandırılmış, sıfırdan kurumsal mimariye uzanan 15 uygulamalı modül.
Geleneksel yazılım geliştirme (SDLC) ile güvenli yazılım geliştirme (SSDLC) yaklaşımlarının karşılaştırılması, güvenlik kontrollerinin tüm yaşam döngüsüne entegrasyonunun önemi. DevSecOps prensipleri ve güvenlik kontrollerinin geliştirme, derleme, test ve dağıtım süreçlerine nasıl yerleştirileceği. Yazılım güvenliği riskleri (veri ihlali, hizmet ke
OWASP SAMM'in kapsamı, hedefleri ve temel ilkeleri, yazılım güvenliği olgunluğunu ölçme ve iyileştirme çerçevesi olarak rolü. Teknik güvenlik kontrolleri ile süreç olgunluğu arasındaki farkın açıklanması ve her ikisinin de bütünsel bir güvenlik programı için gerekliliği. Risk odaklı iyileştirme ve ölçülebilir güvenlik hedeflerinin belirlenmesi, SAM
OWASP SAMM ile OWASP ASVS (Application Security Verification Standard) arasındaki amaç ve kapsam farkları, birbirlerini nasıl tamamladıkları. OWASP Top 10'un uygulama güvenliği farkındalığındaki rolü ve SAMM ile nasıl entegre edilebileceği. NIST SSDF (Secure Software Development Framework) ile güvenli yazılım geliştirme süreçlerinin ilişkilendirilm
Katılımcılar bu modülde Yazılım Güvenliği ve SAMM'e Giriş konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
SAMM modelinin temelini oluşturan beş iş fonksiyonunun (Governance, Design, Implementation, Verification, Operations) detaylı tanıtımı. Her bir iş fonksiyonu altında yer alan 15 güvenlik pratiğinin (Strategy & Metrics, Policy & Compliance, Education & Guidance, Threat Assessment, Security Requirements, Secure Architecture, Secure Build, Secure Depl
Katılımcılar bu modülde SAMM Model Yapısı ve Olgunluk Seviyeleri konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Kurumsal yazılım güvenliği stratejisinin oluşturulması, vizyon, misyon ve uzun vadeli hedeflerin belirlenmesi. Uygulama portföyünün risk ve iş etkisine göre sınıflandırılması, güvenlik yatırımlarının önceliklendirilmesi. Güvenlik programı için kaynak, bütçe ve sorumluluk planlaması, organizasyonel yapının oluşturulması. KPI (Key Performance Indicat
Yazılım güvenliği politikaları ve güvenli kodlama standartlarının oluşturulması, kurumsal güvenlik beklentilerinin tanımlanması. Asgari güvenlik gereksinimleri ve geliştirme ekiplerinin sorumluluklarının belirlenmesi. Yasal (KVKK, GDPR), sözleşmesel ve sektörel (PCI DSS, HIPAA) yükümlülüklerin takibi ve uyumluluk süreçleri. Politika istisnaları, ri
Rol bazlı yazılım güvenliği eğitimlerinin (geliştiriciler, test uzmanları, mimarlar, yöneticiler için) planlanması ve uygulanması. Güvenli kodlama rehberleri, teknik standartlar ve en iyi uygulama dokümanlarının oluşturulması. Security Champions programının yapılandırılması, geliştirme ekiplerinde güvenlik elçilerinin yetiştirilmesi. Geliştirme, gü
Katılımcılar bu modülde Governance – Güvenlik Yönetişimi konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Uygulamanın iş kritikliğinin belirlenmesi, iş sürekliliği ve itibar üzerindeki potansiyel etkilerin analizi. Hassas veri türleri (kişisel veri, finansal veri, fikri mülkiyet) ve veri işleme akışlarının detaylı incelenmesi. Varlıklar, güven sınırları ve saldırı yüzeylerinin belirlenmesi, sistemin dışarıya açık noktalarının tespiti. Üçüncü taraf serv
Tehdit modellemenin amacı, faydaları ve yazılım yaşam döngüsündeki kullanım alanları. Veri akış diyagramları, güven sınırları ve sistem bileşenlerinin görselleştirilmesi. STRIDE tehdit sınıflandırma yaklaşımının detaylı incelenmesi (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege). Kötüye kullanım
Katılımcılar bu modülde Threat Assessment – Tehdit Değerlendirmesi konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
İşlevsel ve işlevsel olmayan güvenlik gereksinimlerinin ayrıştırılması ve net bir şekilde tanımlanması. Kimlik doğrulama, yetkilendirme ve erişim kontrolü mekanizmalarının detaylı gereksinimleri. Veri gizliliği, bütünlüğü ve erişilebilirlik (CIA üçlüsü) prensiplerinin gereksinimlere yansıtılması. Güvenlik gereksinimlerinin kabul kriterlerine dönüşt
Dış kaynak yazılım geliştirme süreçlerinde güvenlik beklentilerinin tanımlanması ve sözleşmelere yansıtılması. Tedarikçi değerlendirmesi, güvenlik denetimleri ve sözleşmesel güvenlik hükümlerinin oluşturulması. Üçüncü tarafların güvenlik sorumlulukları ve bu sorumlulukların takibi. Güvenlik gereksinimlerinin tedarikçi geliştirme süreçleriyle ilişki
Katılımcılar bu modülde Security Requirements – Güvenlik Gereksinimleri konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
En az ayrıcalık (least privilege) ve katmanlı savunma (defense-in-depth) prensiplerinin mimariye uygulanması. Güven sınırları, ağ segmentasyonu ve servisler arası güvenli iletişim mekanizmaları. Kimlik ve erişim yönetiminin (IAM) mimariye yerleştirilmesi, merkezi kimlik doğrulama ve yetkilendirme çözümleri. Güvenli varsayılanlar (secure by default)
API erişim kontrolü, API Gateway kullanımı ve servisler arası güvenli iletişim protokolleri. Hassas verilerin sınıflandırılması, yaşam döngüsü boyunca korunması (data at rest, data in transit, data in use). Aktarım ve depolama sırasında şifreleme gereksinimleri, endüstri standartlarında şifreleme algoritmaları. Kriptografik anahtarların yönetimi, a
Katılımcılar bu modülde Secure Architecture – Güvenli Mimari konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Kod depolarına (Git, SVN) erişim kontrolü, yetkilendirme ve denetim mekanizmaları. Dal koruması (branch protection), kod incelemesi (code review) ve onay süreçleri. Derleme ortamlarının (build servers) korunması, güvenlik yapılandırmaları ve izolasyon. CI/CD hattında güvenlik kontrollerinin (SAST, SCA) konumlandırılması ve otomasyonu. Derleme çıktı
SAST (Static Application Security Testing) yaklaşımı, statik kod analizinin rolü ve CI/CD entegrasyonu. Yazılım Bileşen Analizi (SCA) ve üçüncü taraf bağımlılık riskleri, bilinen zafiyetlerin tespiti. Yazılım Malzeme Listesi (SBOM) kavramı, oluşturulması ve kullanımı. Açık kaynak bileşenlerin güncelliği ve bilinen zafiyetlerinin (CVE) takibi. SAST/
Katılımcılar bu modülde Secure Build – Güvenli Derleme konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Geliştirme, test ve üretim ortamlarının ayrılması, erişim kontrolleri ve izolasyon. Dağıtım yetkileri ve onay mekanizmaları, "separation of duties" prensibi. CI/CD erişimlerinin sınırlandırılması, otomasyon araçlarının güvenli yapılandırılması. Sürüm ve dağıtım paketlerinin bütünlüğü, imza doğrulama ve hash kontrolleri. Acil değişiklik (emergency c
Parola, API anahtarı, token ve sertifika gibi gizli bilgilerin güvenli yönetimi. Kaynak koduna gizli bilgi eklenmesinin önlenmesi, "secret scanning" kontrolleri. Merkezi gizli bilgi yönetimi çözümleri (Vault, AWS Secrets Manager, Azure Key Vault) ve erişim yetkilendirmesi. Sızıntı durumunda müdahale ve anahtar yenileme süreçleri, "key rotation" pol
Katılımcılar bu modülde Secure Deployment – Güvenli Dağıtım konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Güvenlik kusurlarının kaydedilmesi, sınıflandırılması ve takip sistemlerine entegrasyonu. Kritikiyet, iş etkisi ve risk bazlı önceliklendirme, CVSS (Common Vulnerability Scoring System) kullanımı. Sorumlu atama, düzeltme süreleri (SLA) ve kapanış kriterlerinin belirlenmesi. Güvenlik kusurlarının yeniden doğrulanması (re-test) ve kapanış süreçleri.
Kritik bulguların açık kalma süresi, ortalama düzeltme süresi gibi metriklerin izlenmesi. Düzeltme süreleri ve tekrar eden kusurların analizi, kök neden analizi (root cause analysis). Güvenlik borcunun (security debt) izlenmesi ve yönetimi. Geliştirme süreçlerinin bulgu verileriyle iyileştirilmesi, "lessons learned" mekanizmaları.
Katılımcılar bu modülde Defect Management – Güvenlik Kusurlarının Yönetimi konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Mimari güvenlik gereksinimlerinin ve kararlarının incelenmesi, tasarım dokümanlarının analizi. Mimari bileşenlerin tehdit modeliyle tutarlılığının değerlendirilmesi. Güvenlik kontrollerinin tasarımda doğru konumlandırılması ve etkinliğinin analizi. Mimari risklerin, eksikliklerin ve telafi edici kontrollerin belirlenmesi. Bulguların kayıt altına al
Güvenlik gereksinimlerinden test senaryolarının türetilmesi, gereksinim izlenebilirliği. Kimlik doğrulama ve yetkilendirme kontrollerinin detaylı test edilmesi. Negatif testler ve kötüye kullanım senaryoları (abuse cases) ile sistemin zorlanması. İş mantığı hatalarını ortaya çıkarmaya yönelik test yaklaşımı ve senaryoları. Güvenlik regresyon testle
SAST (Static), DAST (Dynamic), SCA (Software Composition Analysis) ve IAST (Interactive Application Security Testing) yaklaşımlarının kapsamı ve kullanım alanları. Otomatik güvenlik testleri ile uzman incelemelerinin (manuel test, penetrasyon testi) dengelenmesi. Risk bazlı manuel test ve penetrasyon testi planlaması, kapsam ve hedeflerin belirlenm
Gereksinim, tasarım ve test sonuçları arasında izlenebilirliğin sağlanması. Güvenlik testlerinin uygun geliştirme aşamalarına yerleştirilmesi, "shift-left" prensibi. Test ortamları ve test verilerinin korunması, hassas veri kullanımı politikaları. Kritik bulguların kapanış ve yeniden test kriterleri.
Katılımcılar bu modülde Verification – Güvenlik Doğrulama konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Yazılım güvenliği olaylarının tespiti, sınıflandırılması ve önceliklendirilmesi. Bildirim, eskalasyon ve müdahale sorumlulukları, olay müdahale ekibi (CSIRT) yapısı. Olay müdahale planları, senaryolar ve koordinasyon. Kök neden analizi ve olay sonrası değerlendirme, "post-mortem" süreçleri. Öğrenilen derslerin geliştirme süreçlerine aktarılması, sü
Güvenli yapılandırma standartları ve sistem hardening (sertleştirme) kılavuzları. Ortamlar arası erişim ayrımı (dev, test, prod), ağ segmentasyonu. Güvenlik yamaları ve güncelleme yönetimi, zafiyet taramaları. Konfigürasyon sapmalarının tespiti ve otomatik düzeltme mekanizmaları. Bulut ve konteyner ortamlarında güvenlik sorumlulukları (Shared Respo
Hassas verilerin korunması, saklanması ve imhası politikaları. Loglama, izleme ve operasyonel güvenlik gereksinimleri, SIEM entegrasyonu. Eski uygulamaların ve teknik borcun yönetimi, risk değerlendirmesi. Kullanım ömrü sona eren sistemlerin (EOL) risklerinin değerlendirilmesi ve emeklilik planları. Operasyonel bulguların yazılım güvenliği programı
Katılımcılar bu modülde Operations – Güvenli Operasyonlar konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Kurum, uygulama portföyü, ürün veya ekip bazında kapsam seçimi stratejileri. Risk profiline göre uygulama sınıflandırması ve değerlendirme önceliklerinin belirlenmesi. Paydaşların ve değerlendirme sorumlularının belirlenmesi, rol ve yetkiler. Görüşme, dokümantasyon ve teknik kanıt toplama planının hazırlanması.
İlgili ekiplerle yapılandırılmış görüşmelerin yürütülmesi, doğru soruların sorulması. Politika, standart, süreç ve teknik kayıtların incelenmesi, doküman analizi. Faaliyetlerin gerçekten uygulanıp uygulanmadığının değerlendirilmesi, "show me" yaklaşımı. Uygulama kapsamı ve kalitesinin ele alınması, nicel ve nitel değerlendirme. Kanıt eksikliği ve b
OWASP SAMM model dokümantasyonunun detaylı incelenmesi ve referans alınması. Resmî SAMM Toolbox ve değerlendirme rehberinin kullanımı, pratik uygulamalar. Faaliyet sorularının ve kalite ölçütlerinin değerlendirilmesi, skorlama mekanizmaları. Scorecard sonuçlarının yorumlanması ve görselleştirilmesi. Değerlendirme sonuçlarının kayıt altına alınması
Katılımcılar bu modülde SAMM Assessment – Kurumsal Olgunluk Değerlendirmesi konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Her güvenlik pratiği için mevcut olgunluk durumunun kaydedilmesi. Kurumsal risklere, iş hedeflerine ve kaynaklara uygun hedef olgunluk seviyelerinin belirlenmesi. Eksik veya yetersiz yürütülen faaliyetlerin tespit edilmesi, "as-is" ve "to-be" analizi. Süreç, insan, teknoloji ve organizasyon kaynaklı boşlukların ayrıştırılması.
Her boşluğun risk olasılığı ve etkisi açısından değerlendirilmesi. Uygulamanın iş kritikliğine göre öncelik belirleme, risk matrisleri. Giderim maliyeti, efor ve uygulanabilirlik kriterlerinin analizi. Hızlı kazanımlar (quick wins) ile yapısal iyileştirmelerin ayrılması ve planlanması. Kritik eksikliklerin ve bağımlılıkların belirlenmesi, yol harit
Katılımcılar bu modülde Gap Analysis – Güvenlik Boşluk Analizi konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Öncelikli güvenlik pratiklerinin seçilmesi ve iyileştirme alanlarının belirlenmesi. Aksiyon sahiplerinin ve ilgili ekiplerin atanması, sorumluluk matrisleri. Kaynak ihtiyacı, bağımlılıklar ve zaman çizelgesinin oluşturulması. Geliştirme ve operasyon süreçlerine entegrasyon, DevSecOps prensipleri. Yönetim desteği ve ilerleme kontrol noktaları, düzen
İlk 90 gün için başlangıç ve hızlı kazanım planı, acil eylemler. Altı aylık süreç standardizasyonu hedefleri, temel pratiklerin oturtulması. On iki aylık olgunluk geliştirme hedefleri, ileri seviye pratiklerin entegrasyonu. Aşamalar arası bağımlılıklar ve kontrol noktaları, esnek planlama. Hedeflerin kurumsal risk ve kaynaklarla uyumlandırılması, g
Kritik güvenlik bulgularının açık kalma süresi, düzeltme oranları gibi metriklerin belirlenmesi. Güvenlik kusurlarının giderilme ve yeniden ortaya çıkma oranları. Güvenlik gereksinimlerinin test kapsamı ve doğrulama etkinliği. Güvenlik kontrollerinin süreçlere entegrasyonu ve otomasyon seviyesi. Aksiyonların tamamlanma durumu ve hedeflere ulaşma or
Katılımcılar bu modülde Improvement Roadmap – İyileştirme Yol Haritası konusunu kurumsal mühendislik standartlarında kavramış ve sahada uygulanabilir pratik refleksler kazanmış olurlar.
Örnek senaryo: Müşteri verilerini işleyen, web uygulaması ve API servisleri bulunan, otomatik CI/CD hattı kullanan bir kurumun detaylı incelenmesi. Kurumun geliştirme ve operasyon süreçlerinin analizi, mevcut durumun tespiti. Mevcut güvenlik uygulamalarının ve kanıtların belirlenmesi, güçlü ve zayıf yönler. Riskli alanların ve süreç eksikliklerinin
Beş iş fonksiyonu ve 15 güvenlik pratiği üzerinden örnek kurumun mevcut olgunluğunun değerlendirilmesi. Mevcut durum ve hedef seviyelerin kaydedilmesi, SAMM Scorecard'ın doldurulması. Kanıtlarla desteklenen değerlendirme sonuçlarının oluşturulması, gerekçelendirme. Önceliklendirilmiş boşluk analizinin hazırlanması, risk ve iş etkisine göre sıralama
İlk önceliklerin ve önerilen aksiyonların belirlenmesi, kısa vadeli hedefler. Sorumlu ekip, hedef tarih ve başarı ölçütlerinin tanımlanması. 90 günlük başlangıç planının oluşturulması, somut adımlar. Sonuçların yönetim sunumuyla aktarılması, karar vericilere yönelik raporlama.
Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla *3 farklı kulvarda seçmeli bitirme projesi** sunulmaktadır: **Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar):** Katılımcılar, belirlenen bir kurumsal senaryo için OWASP SAMM Governance ve Design fonksiyo
Bu kapsamlı OWASP SAMM eğitimi, katılımcıların kariyerlerinde ve kurumlarında çığır açacak benzersiz yetkinlikler kazandıracaktır. Eğitim sonunda katılımcılar, sadece yazılım güvenliği kavramlarına hakim olmakla kalmayacak, aynı zamanda bu bilgileri pratik ve ölçülebilir bir şekilde kurumsal süreçlere entegre edebilecek stratejik liderler haline geleceklerdir. **Kariyerlerine Etkisi:** Bu eğitim, katılımcıların kariyer yollarında bir dönüm noktası olacaktır. Yazılım mimarları ve kıdemli geliştiriciler, güvenli kodlama ve mimari tasarım prensiplerini derinlemesine kavrayarak, projelerinde güvenlik liderliğini üstlenebileceklerdir. AppSec uzmanları, DevSecOps mühendisleri ve QA ekipleri, SAMM modelini kullanarak güvenlik programlarını daha yapılandırılmış ve ölçülebilir hale getirme becerisi kazanacak, bu da onları sektörde aranan uzmanlar yapacaktır. Bilgi güvenliği yöneticileri ve teknoloji liderleri, kurumsal yazılım güvenliği stratejilerini oluşturma, yönetme ve iyileştirme konusunda somut bir çerçeveye sahip olacak, böylece kariyerlerinde bir üst seviyeye çıkacaklardır. Bu yetkinlikler, katılımcıları sadece teknik birer uygulayıcı olmaktan çıkarıp, stratejik karar alma süreçlerinde etkin rol oynayan, değer yaratan profesyonellere dönüştürecektir. Uluslararası standartlarda bir olgunluk modeli olan SAMM'e hakimiyet, küresel iş piyasasında da rekabet avantajı sağlayacaktır. **Kurumsal Etkisi:** Kurumlar için bu eğitim, yazılım güvenliği programlarını rastgele faaliyetlerden, ölçülebilir ve sürekli iyileşen stratejik bir sürece dönüştürme fırsatı sunar. Eğitimden sonra, kurumlar yazılım güvenliği olgunluklarını kanıta dayalı olarak değerlendirebilecek, mevcut durumlarını net bir şekilde anlayabilecek ve hedeflenen olgunluk seviyelerine ulaşmak için somut, önceliklendirilmiş yol haritaları oluşturabileceklerdir. Bu, güvenlik yatırımlarının daha etkin kullanılmasına, risklerin proaktif olarak yönetilmesine ve mevzuat uyumluluğunun (KVKK, GDPR, ISO 27001) sağlanmasına yardımcı olacaktır. Güvenli yazılım geliştirme süreçlerinin entegrasyonu, yazılım kalitesini artıracak, güvenlik açıklarından kaynaklanan veri ihlali ve hizmet kesintisi gibi maliyetli olayların önüne geçecektir. Ayrıca, Security Champions programları ve rol bazlı eğitimlerle kurum içinde güçlü bir güvenlik kültürü oluşturulacak, bu da tüm ekiplerin güvenlik sorumluluğunu benimsemesini sağlayacaktır. Sonuç olarak, kurumlar daha dayanıklı, güvenilir ve rekabetçi yazılım ürünleri geliştirebilecek, müşteri güvenini artıracak ve pazardaki itibarlarını güçlendireceklerdir. **Katılımcıların Yetkinliklerine Olacak Değerleri:** Katılımcılar, bu eğitimle birlikte sadece teknik bilgi değil, aynı zamanda stratejik düşünme, problem çözme ve liderlik yetkinliklerini de geliştireceklerdir. SAMM modelinin sunduğu bütünsel bakış açısı sayesinde, yazılım güvenliğini sadece bir "özellik" olarak değil, tüm iş süreçlerine entegre edilmesi gereken kritik bir "iş değeri" olarak algılayacaklardır. Boşluk analizi ve yol haritası oluşturma çalışmaları, analitik düşünme ve planlama becerilerini pekiştirecektir. Vaka çalışmaları ve uygulamalı senaryolar, gerçek dünya problemlerine yaratıcı ve etkili çözümler üretme yeteneklerini geliştirecektir. Bu eğitim, katılımcıların teknik uzmanlıklarını kurumsal stratejilerle birleştirerek, organizasyonlarında güvenlik dönüşümüne öncülük edebilecek "güvenlik mimarları" ve "stratejistler" olmalarını sağlayacaktır. Elde edecekleri bu değer, onların sadece bugünün değil, geleceğin teknoloji liderleri arasında yer almalarını garantileyecektir.
Tuncer KARAARSLAN
Bilgisayar mühendisliğindeki 35 yılı aşan mühendislik ve teknoloji deneyimi ile 25 yılı aşkın uluslararası kurumsal teknoloji eğitmenliği ve danışmanlık kariyeriyle Tuncer KARAARSLAN, Türkiye'nin önde gelen teknoloji ve yazılım otoritelerindendir. Kurumsal yazılım mimarileri, bulut altyapıları, DevOps, DevSecOps ve yapay zeka entegrasyonlarında derinlemesine uzmanlığa sahiptir.
Hackathon Tadında Eğitim Yaklaşımı: Teorik bilginin ötesine geçerek bol senaryolu, interaktif ve katılımcıların projelerini canlı inceleyen (Code Review & Architecture Review) bir öğrenme deneyimi sunar.
Kurumunuzun ihtiyacına, ekibinizin kıdemine ve takvimine göre özelleştirilmiş 4 farklı çalışma formatı sunuyoruz.
Detaylı Kapalı Sınıf (3-5 Hafta)
Teknolojinin tüm detaylarının bol laboratuvar ve hands-on pratiklerle incelendiği kurumsal standart formatımızdır.
Hackathon Formatı
Teknik ekiplerin gruplar halinde projeler inşa ettiği, oyunlaştırılmış ve sinerjiyi artıran interaktif modeldir.
İleri Düzey Workshoplar
Mimarlar seviyesinde sistemlerin ve operasyonel modellerin tartışıldığı danışmanlık formatındaki oturumlardır.
Yönetim Seminerleri (1-2 Hafta)
C-Level ve mühendislik yöneticilerinin stratejik karar alma süreçlerini destekleyen farkındalık seminerleridir.
Bu programı tamamlayan katılımcılar aşağıdaki kritik teknik yetkinlikleri sahada uygulama becerisi kazanır.
- Kurumsal projelerde aranan elit mühendislik ve uzmanlık unvanına sahip olma
- Teknik liderlik, çözüm mimarlığı ve kıdemli uzmanlık pozisyonlarına geçişte belirleyici avantaj
- Büyük ölçekli kurumsal altyapılarda ve kritik sistemlerde güvenilir karar alma yetkinliği
- Sektörel standartlarda problem çözme, optimizasyon ve hata giderme refleksleri kazanma
- Global ölçekte geçerli teknik bilgi birikimi ve LinkedIn üzerinde doğrulanabilir dijital rozetler
- Sektörün duayen eğitmeni Tuncer KARAARSLAN liderliğinde 35+ yıllık tecrübeyle mentorluk
- Slayt okumak yerine; yoğun canlı kodlama, mimari analizler ve interaktif laboratuvar yaklaşımı
- Eğitim süresince 16 hands-on laboratuvar ödevi ve birebir eğitmen geri bildirimi
- 3 gerçek dünya bitirme projesiyle 3. Seviye Uzmanlık Brövesi kazanımı
- Katılımcı sayısı sınırlaması olmaksızın sınıf bazlı kurumsal sabit fiyat modeli
Liderlik ve Yönetim Kademeleri İçin Değer Matrisi
Bu eğitim; yetkinliği proje, code review ve ölçülebilir çıktılarla görünür hale getirerek teknik ve idari karar vericilerin mühendislik kalitesini güçlendirmesi için kurgulanmıştır.
Mimari Güvenilirlik & Çıktı
- • Sıfır Teknik Borç: Endüstri standardı mimari kalıplar ve test edilebilir temiz kod pratikleri.
- • Üretim Kararlılığı: Darboğazları erken teşhis eden ve yüksek yük altında stabil çalışan altyapılar.
- • Hızlı Teslimat (Throughput): Standartlaştırılmış mühendislik refleksleri ile hızlanan sprint çıktıları.
- • Modern Entegrasyon: Dağıtık sistemler, API standartları ve bulut yerel bileşenlerle tam uyum.
Yetkinlik Geliştirme & Tutundurma
- • Mühendislik Kültürü: Ekiplerin mesleki özgüvenini artıran üst düzey teknik gelişim ekosistemi.
- • Doğrulanabilir Bröveler: Laboratuvar ödevleri ve 3 bitirme projesiyle kanıtlanan 3. Seviye Uzmanlık Brövesi.
- • 1-on-1 Mentörlük: Katılımcılara özel kıdemli başmühendis ile mimarlık ve kariyer seansı.
- • Hızlı Onboarding: Yeni katılan geliştiricilerin üretime doğrudan katkı verme süresini %60 kısaltma.
Uygulamalı Saha Verimliliği
- • %65 Hands-on Laboratuvar: Slayt okumadan, gerçek üretim senaryolarıyla canlı interaktif eğitim modeli.
- • Esnek Kurumsal Format: Kapalı sınıf (Online / On-site / Hibrit), hackathon ve teknik atölye seçenekleri.
- • Sınıf Başı Sabit Fiyat: Katılımcı sayısı sınırı olmaksızın en yüksek kurumsal ROI avantajı.
- • Yönetici Takip Raporu: Katılımcıların devamlılık, ödev ve proje başarı karnelerinin düzenli raporu.
Güvenlik & Uyum Kültürü
- • Shift-Left Güvenliği: Güvenliği SDLC'nin ilk adımından itibaren bir mühendislik refleksi haline getirme.
- • OWASP & Zafiyet Önleme: Kaynak kod ve mimari düzeyde zafiyetleri canlı laboratuvarlarda bertaraf etme.
- • Regülasyon Uyumu: KVKK, ISO 27001 ve sektörel uyumluluk ilkelerini mimariye entegre etme.
- • Veri Egemenliği: Hassas kurumsal verileri koruyan kapalı devre laboratuvar pratikleri.
#9379 OWASP SAMM ile Yazılım Güvenliği Olgunluk Değerlendirmesi, Strateji ve Dönüşüm; Vebende Akademi'nin kurumsal mühendislik kariyer yollarının çekirdek modüllerindendir.
#9379 eğitimini tamamladıktan sonra kariyer ve uzmanlık hedefinize göre doğrudan geçiş yapabileceğiniz ilişkili ileri düzey eğitimler.
Eğitim içeriği, katılım koşulları, laboratuvar modeli ve kurumsal uyarlama hakkında en çok merak edilen sorular.
Bu Eğitimi Kurumunuza ve Ekibinize Özel Olarak Alın
Şirketinizin teknoloji yığınına uygun özelleştirilmiş müfredat, kapalı sınıf imkanı ve teknik ekip performans raporlaması ile kurumsal dönüşümünüzü hızlandırın.