ISO-IEC 27001 Lead Implementer (Baş Uzman - Baş Kurulum Uzmanı)

• ISO 27005 Uyumlu Risk Kurulumu
• Varlık envanteri oluşturma, varlık değerleme kriterleri (Gizlilik, Bütünlük, Erişilebilirlik skoru) ve varlık sahipliği tanımlama.
• Tehdit ve zafiyet tanımlama metodolojileri, risk iştahı ve tolerans sınırlarının belirlenmesi ve kurumsal risk çerçevesine entegrasyonu.

• Risk Analizi ve Eylem Planlarının Oluşturulması
• Nicel ve nitel risk değerlendirme matrislerinin kurulması, risklerin puanlanması ve risk haritalarının oluşturulması.
• Risk işleme seçenekleri (Azaltma, Kabul Etme, Kaçınma, Transfer Etme) ve Risk İşleme Planının (Risk Treatment Plan) hazırlanması, eylem planlarının detaylandırılması.

• Ek-A Kontrollerinin Kapsama Alınması ve Gerekçelendirme
• ISO 27001 Ek-A (Annex A) kontrol listesinin (93 kontrol) kurum bağlamına göre filtrelenmesi ve her kontrol için uygulanabilirlik gerekçelerinin belirlenmesi.
• Uygulanabilirlik Bildirimi (Statement of Applicability - SoA) dokümanının resmi olarak oluşturulması, yönetim onayına sunulması ve belgelendirme denetimine hazırlık.

• Doküman ve Kayıt Kontrolü Mimarisi
• BGYS dokümantasyon hiyerarşisinin (Politika, Prosedür, Talimat, Form/Kayıt) tasarlanması ve kurumsal standartlara uygun hale getirilmesi.
• Dokümanların onaylanması, revizyon, versiyon kontrolü, dağıtım süreçlerinin kurulması ve doküman yaşam döngüsü yönetimi.

• Temel Bilgi Güvenliği Politikalarının Tasarlanması
• Bilgi Güvenliği Politikası, Kabul Edilebilir Kullanım Politikası (AUP), Şifreleme Politikası, Temiz Masa/Ekran Politikası gibi zorunlu politikaların yazımı ve kurumsal kültüre entegrasyonu.
• İç denetim, düzeltici faaliyet ve yönetimin gözden geçirmesi prosedürlerinin hazırlanması ve BGYS'nin sürekli iyileştirme döngüsüne katkısı.

• Kurum İçi Yetkinlik ve Güvenlik Kültürü
• Görev, yetki ve sorumlulukların tanımlanması, iş tanımı entegrasyonu ve BGYS rollerinin belirlenmesi.
• Personel farkındalık eğitim programlarının tasarlanması, ölçümlenmesi ve bilgi güvenliği kültürünün yaygınlaştırılması stratejileri.

• İK Güvenliği ve Varlık Yönetimi Kontrolleri
• İşe alım öncesi (arka plan kontrolleri), sırası (sözleşmeler, gizlilik taahhütleri) ve ayrılış süreçlerinde (erişim iptali, varlık iadesi) güvenlik önlemlerinin detaylı uygulanması.
• Bilgi varlıklarının envanteri, sahipliği, kabul edilebilir kullanım kuralları ve varlık sınıflandırma politikalarının uygulanması.

• Kimlik ve Erişim Yönetimi (IAM) Mimarisi
• Rol tabanlı erişim kontrolü (RBAC), en az yetki prensibi (Least Privilege), parola politikaları, çok faktörlü kimlik doğrulama (MFA) ve erişim gözden geçirme süreçlerinin kurulması.
• Kriptografik kontroller, anahtar yönetimi, veri şifreleme standartlarının (AES, RSA) kurulması ve hassas veri koruma stratejileri.

• Sistem, Ağ ve Fiziksel Güvenlik Kontrolleri
• Veri merkezi ve ofis fiziksel güvenlik çevreleri, kartlı geçiş, kamera sistemleri, çevresel kontroller (yangın, su baskını) ve güvenlik izleme sistemleri.
• Değişiklik yönetimi (Change Management) prosedürleri, yedekleme ve geri yükleme prosedürleri, loglama ve izleme, zafiyet yönetimi kontrolleri ve güvenlik yamalarının uygulanması.

• Tedarikçi İlişkileri Güvenliği
• Tedarikçi risk değerlendirmesi, sözleşmelerde bilgi güvenliği gereksinimlerinin belirlenmesi, tedarikçi denetimleri ve üçüncü taraf risk yönetimi.
• Bilgi Güvenliği Olay Yönetimi
• Bilgi güvenliği olaylarının (saldırılar, veri ihlalleri, sistem kesintileri) belirlenmesi, raporlanması, analiz edilmesi, müdahale edilmesi ve iyileştirme faaliyetlerinin yürütülmesi süreçleri. Olay müdahale planları ve tatbikatlar.

• İş Sürekliliği Yönetimi (BCM)
• Kritik iş fonksiyonlarının ve bilgi sistemlerinin kesintiye uğraması durumunda faaliyetlerin devamlılığını sağlamak için planlama, uygulama ve test etme süreçleri. Felaket kurtarma (DR) planları ve iş etki analizi (BIA).
• Yasal ve Düzenleyici Uyum
• Kuruluşun faaliyet gösterdiği sektördeki ve coğrafyadaki ilgili tüm yasalara, düzenlemelere ve sözleşme yükümlülüklerine (KVKK, GDPR, PCI DSS, HIPAA vb.) BGYS'nin nasıl uyum sağladığı ve bu uyumun nasıl yönetildiği.

• DevSecOps ve Güvenli Yazılım Geliştirme Entegrasyonu
• Yazılım geliştirme yaşam döngüsüne (SDLC) güvenlik kontrollerinin entegrasyonu, DevOps prensipleriyle DevSecOps yaklaşımının BGYS içindeki yeri ve OWASP Top 10 gibi güvenli kodlama standartlarının uygulanması.
• Bulut Güvenliği ve ISO 27017/27018 Uygulamaları
• Bulut bilişim ortamlarında bilgi güvenliği risklerinin yönetilmesi, ISO 27017 (bulut hizmetleri için güvenlik kontrolleri) ve ISO 27018 (kişisel verilerin bulutta korunması) gibi ilgili standartların BGYS ile entegrasyonu.

• BGYS Metrikleri ve Performans Takibi
• Bilgi güvenliği hedeflerinin belirlenmesi ve KPI/KRI metrikleri ile takibi, performans göstergelerinin oluşturulması ve raporlanması.
• Kontrol etkinlik testlerinin gerçekleştirilmesi, güvenlik açığı taramaları ve penetrasyon testleri ile kontrollerin doğrulanması.

• İç Denetim Mekanizmasının Kurulması
• İç denetçi ekibinin yetkilendirilmesi, iç denetim planı ve soru listelerinin hazırlanması, denetimlerin yürütülmesi ve raporlanması.
• Yönetimin Gözden Geçirmesi (YGG) toplantısının girdileri (denetim sonuçları, risk durumu, olaylar), çıktıları (iyileştirme kararları) ve yönetim taahhüdünün belgelendirilmesi.

• Düzeltici Faaliyet (CAPA) Mekanizması
• İç/dış denetim bulgularının analizi, kök neden (Root Cause) tespiti ve uygunsuzlukların sınıflandırılması.
• Düzeltici faaliyetlerin planlanması, uygulanması ve etkinliğinin doğrulanması, önleyici faaliyetlerin belirlenmesi.
• Sürekli İyileştirme ve BGYS Olgunluk Modelleri
• BGYS'nin performansını ve etkinliğini sürekli olarak artırmak için uygulanan süreçler ve Capability Maturity Model Integration (CMMI) gibi BGYS olgunluk modellerini kullanarak sistemin gelişimini değerlendirme yaklaşımları.

• Denetim Öncesi Son Kontroller
• Bağımsız boşluk analizi (Gap Analysis) yapılarak eksikliklerin giderilmesi, BGYS'nin olgunluk seviyesinin belirlenmesi.
• Denetim kanıtlarının klasörlenmesi, denetim odası (Audit Room) hazırlıkları ve denetim ekibi ile iletişim stratejileri.

• Belgelendirme Kuruluşu ile İlişkiler ve Denetim Yönetimi
• 1. Aşama (Doküman incelemesi) denetçi bulgularının hızlı kapatılması ve denetim planının gözden geçirilmesi.
• 2. Aşama (Saha ve mülakat) denetiminde süreç sahiplerinin yönlendirilmesi, denetçi sorularına doğru yanıt verilmesi ve kapanış toplantısı yönetimi.

• Denetçi Bulgu Yönetimi
• Belgelendirme denetimlerinde ortaya çıkan uygunsuzlukların (majör/minör) yönetilmesi, düzeltici faaliyetlerin zamanında ve etkin bir şekilde kapatılması.
• Denetçi bulgularına itiraz etme süreçleri, itiraz mekanizmaları ve iletişim stratejileri.

• Tehdit İstihbaratı Entegrasyonu
• Güncel siber güvenlik tehditleri hakkında istihbarat toplama, bu tehditleri analiz etme ve kuruluşun zafiyetlerini proaktif olarak yönetme süreçleri.
• Zafiyet Yönetimi Programları
• Penetrasyon testleri, zafiyet taramaları, sızma testleri ve güvenlik açığı yönetimi süreçlerinin BGYS ile entegrasyonu.

• Merkezi Log Yönetimi
• Tüm sistemlerden ve uygulamalardan log toplama, korelasyon ve analiz süreçleri.
• SIEM (Security Information and Event Management) Entegrasyonu
• SIEM çözümlerinin BGYS ile entegrasyonu, güvenlik olaylarının gerçek zamanlı izlenmesi ve otomatik yanıt mekanizmaları.

• Kişisel Veri Envanteri ve Sınıflandırma
• KVKK ve GDPR kapsamında kişisel veri envanterinin oluşturulması, veri sınıflandırma ve hassasiyet analizi.
• Veri Gizliliği Etki Değerlendirmesi (DPIA)
• Yeni projeler ve sistemler için veri gizliliği etki değerlendirmesi yapılması ve risk azaltma stratejileri.

• Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla 3 farklı kulvarda seçmeli bitirme projesi sunulmaktadır:
• Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar)::Derin iş mantığı, katmanlı mimari, veri bütünlüğü ve en iyi pratikler. Bu proje, katılımcıların bir BGYS'nin temel mimarisini ISO 27001 standartlarına uygun olarak tasarlamasını, politika ve prosedür setlerini oluşturmasını ve kurumsal bağlam analizi ile risk değerlendirmesini gerçekleştirmesini hedefler. Katılımcılar, BGYS'nin temel yapı taşlarını sağlam bir şekilde kurma yetkinliğini sergileyeceklerdir.
• Seçmeli Proje 2 (Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon)::Cloud-Native mimariler, asenkron akışlar ve otomasyon boru hatları. Bu proje, katılımcıların bulut tabanlı veya dağıtık sistemler için ISO 27001 kontrollerini entegre etmesini, DevSecOps prensiplerini uygulamasını ve BGYS süreçlerini otomatize eden çözümler geliştirmesini amaçlar. Özellikle bulut güvenliği (ISO 27017/27018) ve CI/CD entegrasyonu üzerinde durulacaktır.
• Seçmeli Proje 3 (Yüksek Performans, Dayanıklılık & Modern Entegrasyon)::Gerçek zamanlı veri akışı, resiliency, gözlemlenebilirlik ve modern servis entegrasyonu. Bu proje, katılımcıların yüksek performanslı ve dayanıklı BGYS çözümleri tasarlamasını, siber güvenlik tehdit istihbaratını entegre etmesini, olay yönetimi ve iş sürekliliği planlarını detaylandırmasını hedefler. SIEM entegrasyonu, gelişmiş log yönetimi ve yasal uyumluluk (KVKK/GDPR) konularında derinlemesine uygulamalar içerecektir.
• Her katılımcı ilgi alanına uygun projeyi seçerek; mimari şemaları (Mermaid), kapsamlı geliştirme yol haritaları ve GitHub README standartları doğrultusunda uluslararası portföy kalitesinde bir proje teslim edecektir. Bu projeler, katılımcıların teorik bilgilerini pratik uygulamalara dönüştürme ve gerçek dünya senaryolarında BGYS liderliği yapma becerilerini pekiştirecektir.

• Eğitimin Ötesinde:Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
• Vebende Akademi olarak, kurumsal regülasyon ve denetim uyumluluğunu yalnızca teorik eğitimlerle sınırlı değerlendirmiyoruz. Kurumunuzun faaliyet alanına, tabi olduğu yasal düzenlemelere (BDDK, TCMB, KVKK, SPK, ISO/IEC, SOC 2, EU AI Act), teknolojik altyapısına, organizasyonel yapısına ve mevcut kontrol mekanizmalarına göre kapsamlı bir ortak mühendislik çalışması yürütüyoruz.
• İhtiyaç duyulması halinde ilgili eğitim programıyla birlikte veya bağımsız bir kurumsal hizmet kapsamında; denetim ve teftiş öncesinde kurumunuzun ilgili ekipleriyle birlikte çalışıyor, mevcut durumunuzu analiz ediyor, regülasyonlara uygunluk kontrollerini gerçekleştiriyor ve tespit edilen eksikliklerin giderilmesi için teknik ve organizasyonel iyileştirme çalışmalarını yürütüyoruz.

• 1. Kurumsal Yetkinlik Geliştirme (Eğitim Modeli):40 saatlik modüler uzmanlık eğitimi, canlı uygulamalı laboratuvarlar, hands-on workshoplar, kurumsal mimari aktarımı ve ekip yetkinlik değerlendirmesi.
• 2. Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması (Danışmanlık ve Birlikte Çalışma):360° mevcut durum analizi, denetim simülasyonları, teknik kontroller, kurum ekipleriyle birlikte mühendislik ve altyapı iyileştirmesi, yeniden test ve 13 kurumsal rapor paketi.
• (Bu iki çalışma modeli kurumun ihtiyacına göre bağımsız olarak veya birbiriyle entegre bir program olarak tercih edilebilir).

• 1. 01 – Kurumsal Keşif ve Kapsam Analizi:Kurumun faaliyet alanı, iş modeli, tabi olduğu yasal düzenlemeler ve teknolojik envanterin incelenmesi. (Çıktı: Kapsam ve Mevcut Durum Raporu)
• 2. 02 – 360° Kurumsal Olgunluk ve Gap Analysis:Politika, prosedür, süreç ve teknik altyapının regülasyon standartlarına göre incelenmesi. (Çıktı: Kurumsal Olgunluk ve Eksiklik Analizi)
• 3. 03 – Denetim ve Kontrol Simülasyonu:Gerçekçi denetçi soru setleri, teknik test senaryoları ve mülakat simülasyonları. (Çıktı: Denetim Simülasyonu ve Bulgu Raporu)
• 4. 04 – Birlikte Geliştirme ve İyileştirme:Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılması, kodlama ve altyapı iyileştirmeleri. (Çıktı: İyileştirilmiş Kontrol ve Altyapı Yapısı)
• 5. 05 – Yeniden Test ve Uygunluk Doğrulaması:Kapatılan bulguların yeniden kontrolü, kontrol etkinliği testleri ve kalan risk değerlendirmesi. (Çıktı: Retest ve Uygunluk Doğrulama Raporu)
• 6. 06 – Nihai Kurumsal 360° Raporlama:Yönetim kurulu ve teknik ekipler için kanıt dosyaları, sorumluluk matrisleri ve sürekli uyum planı. (Çıktı: Kurumsal 360° Sonuç ve İyileştirme Raporu)

#9515 ISO-IEC 27001 Lead Implementer (Baş Uzman - Baş Kurulum Uzmanı) İçin Kurumsal Çalışma ve Denetim Hazırlık Haritası mimarisi, pratik kullanım detayları ve kurumsal standartlar.

• | Çalışma Alanı | Yapılacak Kapsamlı Çalışmalar |
• |---|---|
• | BGYS Kurulum Yol Haritası | Proje planı, paydaş analizi, kapsam belirleme ve kaynak tahsisi |
• | Organizasyonel Bağlam ve Kapsam | Kurum içi ve dışı bağlamın tespiti, BGYS kapsam sınırlarının çizilmesi |
• | Bilgi Varlıkları Envanteri | Varlık sınıflandırma, sahiplik atama ve kritiklik derecelendirmesi |
• | Risk Metodolojisi İnşası | Varlık bazlı risk analizi, tehdit ve zafiyet eşleştirmesi |
• | Risk İşleme ve SoA | Kontrol seçimi, uygulanabilirlik bildirgesi (SoA) ve risk işleme planı |
• | Politika ve Prosedür Tasarımı | 93 Ek A kontrolünü adresleyen eksiksiz dokümantasyon seti |
• | Teknik Kontrollerin Uygulanması | Kimlik, şifreleme, ağ segmentasyonu, yedekleme, loglama kontrolleri |
• | Farkındalık ve Kültür Dönüşümü | Çalışan bilgi güvenliği eğitimleri ve davranışsal farkındalık |
• | Operasyonel Süreçlerin İşletimi | Olay yönetimi, değişiklik yönetimi ve tedarikçi güvenliği işletimi |
• | Belgelendirme Öncesi Hazırlık | İç denetim icrası, YGG toplantısı ve Aşama 1/2 denetim hazırlığı |

• Kurumun ISO 27001 gereksinimlerine göre başlangıç olgunluk seviyesinin ölçülmesi (Baseline Audit)
• Yazılı politikalar ile kurumdaki fiili operasyonel pratikler arasındaki tutarlılık denetimi
• Kontrol sahiplerinin kendi alanlarındaki bilgi güvenliği kontrollerini işletip işletmediğinin testi
• Aşama 1 (Dokümantasyon) ve Aşama 2 (Saha/Uygulama) denetim heyeti mülakat simülasyonları
• Rastgele seçilen bir iş biriminde teknik ve idari güvenlik kanıtlarının doğrulanması

• Kurumsal Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) uçtan uca kurum bünyesinde kurulması
• Eksik tüm politika, prosedür, yönerge ve formların hazırlanarak yürürlüğe alınması
• 93 Ek A kontrolünün teknik altyapıda konfigüre edilmesi ve kanıt üretiminin otomatikleştirilmesi
• Bilgi güvenliği süreçlerinin kurumsal GRC ve ITSM sistemlerine entegrasyonu
• Düzenli iç denetim, risk gözden geçirme ve yönetim gözden geçirme mekanizmalarının tesis edilmesi

• İncelenecek Sistemler:Kurumsal bilgi sistemlerinin tamamı: Sunucular, ağ cihazları, bulut kaynakları, uç noktalar, IAM, SIEM, veri tabanları, fiziksel erişim kontrol sistemleri

• ISMS Implementation Roadmap (BGYS Kurulum ve Uygulama Yol Haritası):
• Kurumsal Bilgi Varlıkları Envanteri:
• Kapsamlı Risk Kütüğü (Risk Register) ve Risk İşleme Planı:
• ISO 27001 Statement of Applicability (SoA) Belgesi:
• Eksiksiz BGYS Dokümantasyon Seti (Politika, Prosedür, Yönerge):
• Teknik Kontroller Uygulama ve Doğrulama Raporu:
• Bağımsız Akredite Belgelendirme Denetimi Hazırlık Dosyası:

• 1. Executive Summary:Üst yönetim için genel durum, kritik riskler ve yönetim özeti
• 2. Regulatory Compliance Assessment:Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
• 3. Gap Analysis:Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
• 4. Risk Assessment:Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
• 5. Technical Infrastructure Audit:Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
• 6. Governance Assessment:Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
• 7. Control Effectiveness Report:Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
• 8. Audit Simulation Report:Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
• 9. Evidence Register:Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
• 10. Remediation Roadmap:Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
• 11. Retest Report:İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
• 12. Competency Assessment:Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
• 13. Continuous Compliance Plan:Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi

• Her kontrol bulgusu için şu kurumsal yapı kullanılır:Bulgu ID, Regülasyon, Kontrol Referansı, Mevcut Durum, Beklenen Durum, Kanıt, Risk Seviyesi, İş Etkisi, İyileştirme Çözümü, Sorumlu, Hedef Tarih, Yeniden Test Sonucu, Nihai Durum (Açık, İyileştirildi, Doğrulandı, Kabul Edilmiş Risk).

• > Sorumlu Güvence Beyanı:Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
• >
• > Yetkili Denetim Sınırları:9514 denetim ve güvence tarafındayken, 9515 sistemi kurar, işletir ve belgelendirmeye hazır hale getirir. Vebende kurumla birlikte çalışarak kurulumu tamamlayan teknik çözüm ortağıdır.

• Denetim öncesinde yapılan hazırlık çalışmasıyla sınırlı kalmayıp; kurumlar için yıllık veya dönemsel kontrol etkinliği takibi, regülasyon ve mevzuat değişikliklerinin değerlendirilmesi, üçüncü taraf tedarikçi denetimleri ve periyodik teknik güvenlik kontrolleri düzenli olarak sunulmaktadır.