CISM - Certified Information Security Manager

• Kurumsal risk iştahı (Risk Appetite) ve risk toleransının yönetim kurulu düzeyinde nasıl tanımlanacağı ve operasyonel sınırlara nasıl yansıtılacağı detaylı olarak incelenecektir. Bu, risk işleme kararlarının temelini oluşturur.
• Varlık envanteri (Asset Inventory) oluşturma, varlık sınıflandırma kriterleri (gizlilik, bütünlük, erişilebilirlik) ve bu sınıflandırmanın risk değerlendirme süreçlerine etkisi ele alınacaktır.
• Uygulama::Katılımcılar, kendi kurumlarına ait kritik varlıkların envanterini çıkararak sınıflandırma senaryoları üzerinde çalışacaklardır.

• Varlık, tehdit ve zafiyet analizlerinin nicel (Quantitative) ve nitel (Qualitative) risk değerlendirme teknikleri kullanılarak nasıl yapılacağı derinlemesine işlenecektir.
• Tehdit modelleme metodolojileri (STRIDE, DREAD) ve senaryo tabanlı risk analizi teknikleri ile olası saldırı vektörlerinin ve etkilerinin proaktif olarak belirlenmesi ele alınacaktır.
• Uygulama::Gerçek dünya senaryoları üzerinden nicel ve nitel risk değerlendirme matrisi oluşturma ve risk puanlama atölyesi yapılacaktır.

• Riski kabul etme (Accept), kaçınma (Avoid), transfer etme (Mitigate/Transfer) ve sigortalama gibi risk müdahale alternatifleri ve bu stratejilerin maliyet-fayda analizleri incelenecektir.
• Risk eylem planlarının (Risk Treatment Plans) oluşturulması, uygulanması, takibi ve kalan risklerin (Residual Risk) yönetimi detaylandırılacaktır.
• Uygulama::Belirlenen riskler için en uygun risk işleme stratejilerini içeren bir eylem planı taslağı oluşturma çalışması yapılacaktır.

• STRIDE, DREAD gibi metodolojiler kullanarak sistemlerin ve uygulamaların potansiyel tehdit vektörlerini, zafiyetlerini ve saldırı yüzeylerini proaktif olarak belirleme teknikleri.
• Senaryo tabanlı analizlerle olası saldırıların etkileri ve müdahale planlarının detaylandırılması, kırmızı takım (red team) ve mavi takım (blue team) egzersizleri için senaryo geliştirme.
• Uygulama::Kritik bir iş uygulaması için tehdit modelleme ve olası saldırı senaryoları geliştirme atölyesi.

• Bilgi güvenliği mimarisinin (Security Architecture) enterprise düzeyde konumlandırılması, güvenlik kontrollerinin stratejik olarak entegrasyonu ve savunma derinliği (Defense in Depth) prensipleri ele alınacaktır.
• Bütçe planlama, maliyet-fayda analizi, güvenlik kaynaklarının (insan, teknoloji, finans) etkin yönetimi ve güvenlik programının olgunluk seviyesini artırma stratejileri incelenecektir.
• Uygulama::Bir güvenlik programı için bütçe ve kaynak tahsisi senaryosu üzerinde çalışma, maliyet-fayda analizi yapma.

• Üçüncü taraf tedarikçilerin güvenlik değerlendirmesi, sözleşmesel güvenlik yükümlülükleri, SLA yönetimi ve tedarik zinciri güvenliğinin sağlanması konuları detaylandırılacaktır.
• Bulut sağlayıcı (SaaS, PaaS, IaaS) risklerinin yönetimi, bulut güvenlik yönetişimi ve Shared Responsibility Model'in anlaşılması ele alınacaktır.
• Uygulama::Bir bulut hizmeti sağlayıcısı için risk değerlendirme matrisi ve sözleşmesel güvenlik maddeleri taslağı oluşturma.

• Ağ güvenliği (güvenlik duvarları, IDS/IPS), uç nokta koruması (EDR, AV), kimlik ve erişim yönetimi (IAM) entegrasyonu ve çok faktörlü kimlik doğrulama (MFA) mekanizmaları incelenecektir.
• Güvenlik Operasyon Merkezi (SOC), SIEM (Security Information and Event Management) ve Zafiyet Yönetimi süreçlerinin güvenlik programıyla uyumlandırılması ve otomasyonu ele alınacaktır.
• Uygulama::Mevcut bir altyapı için savunma derinliği prensiplerine uygun güvenlik teknolojileri entegrasyon planı taslağı oluşturma.

• Güvenlik kontrollerinin yazılım geliştirme yaşam döngüsünün (SDLC) her aşamasına (tasarım, kodlama, test, dağıtım) entegre edilmesi ve Shift-Left felsefesi.
• Otomatik güvenlik testleri (SAST, DAST), konteyner güvenliği, API güvenliği ve CI/CD pipeline'larına güvenlik ağ geçitlerinin eklenmesi.
• Uygulama::Bir yazılım geliştirme projesi için DevSecOps entegrasyon planı ve güvenlik kontrol noktaları belirleme.

• Olay müdahale ekip yapılanması (CSIRT / CERT), görev tanımları ve olay müdahale yaşam döngüsü (Hazırlık, Tespit, Sınırlama, İyileştirme, Kök Neden Analizi) detaylı olarak incelenecektir.
• Adli bilişim (Forensics) süreçleri, dijital delil toplama, analiz etme ve delil zinciri bütünlüğünün (Chain of Custody) korunması ele alınacaktır.
• Uygulama::Bir fidye yazılımı (ransomware) saldırısı senaryosu için olay müdahale playbook'u taslağı oluşturma ve tabletop egzersizi.

• İş Etki Analizi (BIA) ve kritik iş fonksiyonlarının belirlenmesi, RTO (Recovery Time Objective) ve RPO (Recovery Point Objective) metriklerinin tanımlanması incelenecektir.
• İş sürekliliği ve felaket kurtarma planlarının (DRP) oluşturulması, test senaryoları, tatbikat yönetimi ve sürekli iyileştirme süreçleri ele alınacaktır.
• Uygulama::Kritik bir iş süreci için BIA analizi yapma ve RTO/RPO hedefleri belirleme çalışması.

• İç ve dış denetimlere (ISO 27001, KVKK, NIS 2 vb.) eksiksiz hazırlanmak için denetim kanıtlarının (Audit Evidence) toplanması, arşivlenmesi ve sunulması süreçleri detaylandırılacaktır.
• Denetim bulgularının (Findings/Non-conformities) analizi, düzeltici ve önleyici faaliyetlerin (CAPA) yönetimi ve sürekli iyileştirme döngülerinin (PDCA) kurulması ele alınacaktır.
• Uygulama::ISO 27001 denetim senaryosu için denetim kanıtı toplama ve CAPA planı hazırlama atölyesi.

• Büyük ölçekli siber güvenlik olayları sırasında kurumun itibarını korumak, paydaşları bilgilendirmek ve yasal yükümlülükleri yerine getirmek için geliştirilen stratejiler.
• Yönetim kurulu, hukuk, halkla ilişkiler ve teknik ekiplerin koordinasyonu ve kriz anı iletişim planlarının oluşturulması.
• Uygulama::Bir veri ihlali senaryosu için kriz iletişim planı ve paydaş bilgilendirme metinleri taslağı oluşturma.

• Kurumun mevcut güvenlik olgunluk seviyesini değerlendirerek, iş hedefleriyle uyumlu, uzun vadeli (3-5 yıllık) bir siber güvenlik stratejisi ve bu stratejiyi gerçekleştirecek projelerin, kaynakların ve zaman çizelgelerinin belirlenmesi.
• Dijital dönüşümle entegre bir siber güvenlik yaklaşımı ve geleceğe yönelik güvenlik trendlerinin (Zero Trust, AI/ML tabanlı güvenlik) stratejiye dahil edilmesi.
• Uygulama::Kurumun mevcut durum analizi üzerinden 3 yıllık bir siber güvenlik yol haritası taslağı oluşturma.

• CMMI, OWASP SAMM veya NIST CSF gibi olgunluk modellerini kullanarak kurumun mevcut siber güvenlik yeteneklerinin değerlendirilmesi ve belirlenen hedeflere ulaşmak için iyileştirme planlarının oluşturulması.
• Sürekli iyileştirme döngülerinin (PDCA) uygulanması ve güvenlik programının olgunluk seviyesinin düzenli olarak ölçülmesi ve raporlanması.
• Uygulama::NIST CSF kullanarak bir kurumun mevcut güvenlik olgunluk seviyesini değerlendirme ve hedef olgunluk seviyesine ulaşmak için adımlar belirleme.

• KVKK, GDPR gibi veri gizliliği düzenlemelerine uyumluluğu sağlamak için veri yaşam döngüsü boyunca (toplama, işleme, saklama, imha) gerekli politikaların, prosedürlerin ve teknik kontrollerin uygulanması.
• Veri sınıflandırma, şifreleme, anonimleştirme ve takma adlandırma teknikleri ile veri ihlali bildirim süreçleri.
• Uygulama::Bir veri işleme senaryosu için KVKK uyumluluk kontrol listesi ve veri koruma etki değerlendirmesi (DPIA) taslağı oluşturma.

• Güvenlik kontrollerinin ve uyumluluk gereksinimlerinin sürekli olarak izlenmesi ve değerlendirilmesi için otomatik denetim araçları ve teknolojileri.
• Gerçek zamanlı uyumluluk raporlaması, regülasyon değişikliklerine hızlı adaptasyon mekanizmaları ve GRC (Governance, Risk, Compliance) platformlarının kullanımı.
• Uygulama::Bir uyumluluk standardı (örneğin PCI DSS) için sürekli izleme ve raporlama mekanizmaları taslağı oluşturma.

• Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla 3 farklı kulvarda seçmeli bitirme projesi sunulmaktadır:
• Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar)::Katılımcılar, belirlenen bir kurumsal senaryo için derin iş mantığına sahip, katmanlı bir güvenlik mimarisi tasarlayacaklardır. Bu projede, veri bütünlüğü, erişim kontrol mekanizmaları ve uluslararası güvenlik standartlarına (ISO 27001, NIST) uygunluk temel alınacaktır. Proje, güvenlik politikalarının entegrasyonu ve temel güvenlik kontrollerinin mimariye nasıl yansıtıldığını gösterecektir.
• Seçmeli Proje 2 (Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon)::Bu projede katılımcılar, bulut tabanlı (Cloud-Native) dağıtık bir sistem için siber güvenlik programı geliştireceklerdir. Asenkron akışlarda güvenlik, mikroservis güvenliği, otomatik güvenlik testleri (DevSecOps) ve CI/CD boru hatlarına güvenlik ağ geçitlerinin entegrasyonu gibi konulara odaklanılacaktır. Ölçeklenebilirlik ve otomasyonun güvenlik üzerindeki etkileri detaylı olarak incelenecektir.
• Seçmeli Proje 3 (Yüksek Performans, Dayanıklılık & Modern Entegrasyon)::Katılımcılar, gerçek zamanlı veri akışı ve yüksek performans gerektiren bir sistem için siber güvenlik stratejisi ve olay müdahale planı tasarlayacaklardır. Bu projede, sistemin dayanıklılığı (resiliency), felaket kurtarma (DR) senaryoları, gelişmiş tehdit modelleme ve modern güvenlik teknolojilerinin (SOC, SIEM, AI tabanlı güvenlik) entegrasyonu ele alınacaktır. Gözlemlenebilirlik (observability) ve kriz yönetimi iletişim stratejileri de projenin önemli bir parçası olacaktır.
• Her katılımcı ilgi alanına uygun projeyi seçerek; mimari şemaları (Mermaid), kapsamlı geliştirme yol haritaları ve GitHub README standartları doğrultusunda uluslararası portföy kalitesinde bir proje teslim edecektir. Bu projeler, katılımcıların teorik bilgilerini pratik uygulamalara dönüştürme ve gerçek dünya problemlerine çözüm üretme yeteneklerini sergileme fırsatı sunacaktır.

• Eğitimin Ötesinde:Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
• Vebende Akademi olarak, kurumsal regülasyon ve denetim uyumluluğunu yalnızca teorik eğitimlerle sınırlı değerlendirmiyoruz. Kurumunuzun faaliyet alanına, tabi olduğu yasal düzenlemelere (BDDK, TCMB, KVKK, SPK, ISO/IEC, SOC 2, EU AI Act), teknolojik altyapısına, organizasyonel yapısına ve mevcut kontrol mekanizmalarına göre kapsamlı bir ortak mühendislik çalışması yürütüyoruz.
• İhtiyaç duyulması halinde ilgili eğitim programıyla birlikte veya bağımsız bir kurumsal hizmet kapsamında; denetim ve teftiş öncesinde kurumunuzun ilgili ekipleriyle birlikte çalışıyor, mevcut durumunuzu analiz ediyor, regülasyonlara uygunluk kontrollerini gerçekleştiriyor ve tespit edilen eksikliklerin giderilmesi için teknik ve organizasyonel iyileştirme çalışmalarını yürütüyoruz.

• 1. Kurumsal Yetkinlik Geliştirme (Eğitim Modeli):40 saatlik modüler uzmanlık eğitimi, canlı uygulamalı laboratuvarlar, hands-on workshoplar, kurumsal mimari aktarımı ve ekip yetkinlik değerlendirmesi.
• 2. Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması (Danışmanlık ve Birlikte Çalışma):360° mevcut durum analizi, denetim simülasyonları, teknik kontroller, kurum ekipleriyle birlikte mühendislik ve altyapı iyileştirmesi, yeniden test ve 13 kurumsal rapor paketi.
• (Bu iki çalışma modeli kurumun ihtiyacına göre bağımsız olarak veya birbiriyle entegre bir program olarak tercih edilebilir).

• 1. 01 – Kurumsal Keşif ve Kapsam Analizi:Kurumun faaliyet alanı, iş modeli, tabi olduğu yasal düzenlemeler ve teknolojik envanterin incelenmesi. (Çıktı: Kapsam ve Mevcut Durum Raporu)
• 2. 02 – 360° Kurumsal Olgunluk ve Gap Analysis:Politika, prosedür, süreç ve teknik altyapının regülasyon standartlarına göre incelenmesi. (Çıktı: Kurumsal Olgunluk ve Eksiklik Analizi)
• 3. 03 – Denetim ve Kontrol Simülasyonu:Gerçekçi denetçi soru setleri, teknik test senaryoları ve mülakat simülasyonları. (Çıktı: Denetim Simülasyonu ve Bulgu Raporu)
• 4. 04 – Birlikte Geliştirme ve İyileştirme:Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılması, kodlama ve altyapı iyileştirmeleri. (Çıktı: İyileştirilmiş Kontrol ve Altyapı Yapısı)
• 5. 05 – Yeniden Test ve Uygunluk Doğrulaması:Kapatılan bulguların yeniden kontrolü, kontrol etkinliği testleri ve kalan risk değerlendirmesi. (Çıktı: Retest ve Uygunluk Doğrulama Raporu)
• 6. 06 – Nihai Kurumsal 360° Raporlama:Yönetim kurulu ve teknik ekipler için kanıt dosyaları, sorumluluk matrisleri ve sürekli uyum planı. (Çıktı: Kurumsal 360° Sonuç ve İyileştirme Raporu)

#9506 CISM - Certified Information Security Manager İçin Kurumsal Çalışma ve Denetim Hazırlık Haritası mimarisi, pratik kullanım detayları ve kurumsal standartlar.

• | Çalışma Alanı | Yapılacak Kapsamlı Çalışmalar |
• |---|---|
• | Bilgi Güvenliği Stratejisi | Kurumsal iş hedefleriyle hizalanmış güvenlik stratejisi ve vizyonunun incelenmesi |
• | CISO Yönetişim Modeli | Görev, yetki, raporlama hatları ve komite yapılanmalarının analizi |
• | Yönetim Kurulu Raporlaması | C-Level metrikleri, risk göstergeleri ve bütçe savunma mekanizmaları |
• | Güvenlik Politika Mimarisi | Politika, standart, prosedür ve kılavuz hiyerarşisinin denetimi |
• | Risk Yönetim Çerçevesi | Risk iştahı, kabul mekanizmaları ve eskalasyon süreçlerinin incelenmesi |
• | Kaynak ve Bütçe Yönetimi | Güvenlik yatırımlarının ROI/ROSI analizi ve kaynak optimizasyonu |
• | SOC / CSIRT Operasyonel Yönetimi | Güvenlik operasyonlarının yönetişimsel gözetimi ve SLA denetimi |
• | Güvenlik Performans Göstergeleri | Kurumsal KPI ve KRI metriklerinin yapılandırılması |
• | İç Denetim ve Sürekli İyileştirme | Denetim bulgularının takibi, CAPA yönetimi ve yönetim gözden geçirmesi |

• CISO tarafından Yönetim Kurulu ve Denetim Komitesine yapılan siber güvenlik durum sunumu simülasyonu
• Bilgi güvenliği politikalarının organizasyon genelinde fiili uygulanabilirlik denetimi
• Kritik bir iş biriminin kabul etmek istediği yüksek riskin onay ve eskalasyon süreci incelemesi
• Yaşanan majör bir güvenlik olayında C-Level kriz yönetimi ve karar alma mekanizması simülasyonu
• SOC performans metriklerinin, alarm tepki sürelerinin ve SLA'ların denetlenmesi
• Güvenlik bütçesinin ve yetkin insan kaynağı yeterliliğinin bağımsız değerlendirilmesi

• Kurumsal Information Security Strategy (Bilgi Güvenliği Stratejisi) dokümanının hazırlanması
• CISO Operating Model ve Güvenlik Yönetişim Komitesi tüzüğünün yapılandırılması
• Üst yönetim için dinamik KPI/KRI gösterge panolarının (Dashboard) kurulması
• Kurumsal risk kabul, eskalasyon ve istisna (exception) prosedürlerinin netleştirilmesi
• Bilgi güvenliği yıllık faaliyet planı ve denetim hazırlık takviminin oluşturulması
• Güvenlik farkındalık ve insan riski yönetimi programının optimize edilmesi

• İncelenecek Sistemler:GRC yazılımları, SOC/SIEM platformları, IAM altyapısı, ITSM/Ticketing sistemleri, EDR sistemleri, zafiyet yönetim araçları ve güvenlik yönetişim kayıtları

• Information Security Governance Assessment Raporu:
• CISO Maturity Report (Kurumsal Güvenlik Liderliği Olgunluk Raporu):
• Kurumsal Bilgi Güvenliği Strateji Belgesi:
• Kurumsal KPI/KRI Risk Göstergeleri Matrisi:
• Yönetim Kurulu Siber Güvenlik Raporlama Şablonu:
• Bilgi Güvenliği Yönetişimi İyileştirme Planı:

• 1. Executive Summary:Üst yönetim için genel durum, kritik riskler ve yönetim özeti
• 2. Regulatory Compliance Assessment:Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
• 3. Gap Analysis:Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
• 4. Risk Assessment:Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
• 5. Technical Infrastructure Audit:Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
• 6. Governance Assessment:Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
• 7. Control Effectiveness Report:Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
• 8. Audit Simulation Report:Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
• 9. Evidence Register:Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
• 10. Remediation Roadmap:Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
• 11. Retest Report:İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
• 12. Competency Assessment:Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
• 13. Continuous Compliance Plan:Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi

• Her kontrol bulgusu için şu kurumsal yapı kullanılır:Bulgu ID, Regülasyon, Kontrol Referansı, Mevcut Durum, Beklenen Durum, Kanıt, Risk Seviyesi, İş Etkisi, İyileştirme Çözümü, Sorumlu, Hedef Tarih, Yeniden Test Sonucu, Nihai Durum (Açık, İyileştirildi, Doğrulandı, Kabul Edilmiş Risk).

• > Sorumlu Güvence Beyanı:Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
• >
• > Yetkili Denetim Sınırları:CISM odağındaki çalışma kurumun bilgi güvenliği yönetim ortamını ve liderlik kapasitesini güçlendirir; resmi akreditasyon denetimlerinin yerine geçmez.

• Denetim öncesinde yapılan hazırlık çalışmasıyla sınırlı kalmayıp; kurumlar için yıllık veya dönemsel kontrol etkinliği takibi, regülasyon ve mevzuat değişikliklerinin değerlendirilmesi, üçüncü taraf tedarikçi denetimleri ve periyodik teknik güvenlik kontrolleri düzenli olarak sunulmaktadır.