CGRC Domain - Compliance Maintenance Eğitimi

Eğitim Hakkında

CGRC Compliance Maintenance alanında yetkilendirme sonrası uyumu sürekli izlemeyi öğreten eğitim

CGRC Domain - Compliance Maintenance Eğitimi, ISC2 CGRC sınavının Uyumun Sürdürülmesi alanına odaklanır ve bir sistem yetkilendirildikten (ATO) sonra uyumunun nasıl canlı tutulacağını ele alır. Katılımcılar sürekli izleme (ConMon) stratejisini kurar; kontrollerin etkinliğini sürekli izler, değişiklik ve konfigürasyonu risk temelli yönetir, POA&M kayıtlarını izler. Güvenlik durumunu sürekli yetkilendirmeye besler ve sistemi çıkarır. İçerik NIST RMF ve SP 800-137 ile hizalıdır.

Süre ve Format

3 Gün. İlk gün sürekli izleme stratejisi, ikinci gün kontrol izleme, değişiklik ve POA&M, üçüncü gün sürekli yetkilendirme ve sistemden çıkarma işlenir.

Seviye

Orta Seviye — ISC2 CGRC Compliance Maintenance alanı: sürekli izleme ve yetkilendirmenin sürdürülmesi

Öğrenme Metodu

Her konu gerçek yetkilendirme sonrası senaryolar, ConMon planı ve POA&M kayıtları üzerinde vaka ve belgeleme çalışmalarıyla işlenir.

Neden Bu Eğitim?

🔭Sürekli izleme

Yetkilendirmeden sonra güvenlik durumunu sürekli izleme (ConMon) stratejisiyle canlı tutmayı öğrenirsiniz.

🔄Değişimi yönetme

Sistem değişikliklerinin uyuma etkisini risk temelli değerlendirip yetkilendirmeyi koruma altına alırsınız.

📈Sürekli yetkilendirme

Güvenlik durumunu sürekli yetkilendirme kararına besleyerek statik ATO yerine canlı uyumu sağlarsınız.

Anahtar Konular

cgrc eğitimicompliance maintenancesürekli izleme eğitimiconmonisc2 cgrcpoa&m yönetimisürekli yetkilendirmenist sp 800-137risk yönetimi çerçevesiuyum sürdürme

“Uyum bir kerelik bir imza değil, sürekli izlemeyle canlı tutulan bir durumdur; yetkilendirme ancak sürdürüldüğü sürece anlamlıdır.”

Ön Koşullar

Eğitimden en iyi verimi almak için faydalı olacak bilgi ve deneyim gereksinimleri

1

GRC temeli

Yönetişim, risk ve uyum kavramlarına temel aşinalık, uyumun sürdürülmesi konusunu izlemeyi kolaylaştırır.

2

RMF bilgisi

NIST RMF adımlarına ve yetkilendirme (ATO) mantığına genel aşinalık içeriği anlamayı hızlandırır.

3

Kontrol kavramı

Güvenlik kontrolleri ve kontrol ailesi kavramına temel aşinalık izleme konularında yardımcı olur.

4

Belgeleme deneyimi

Politika, prosedür ve kayıt tutma alışkanlığı POA&M ve raporlama çalışmalarını kolaylaştırır.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcılar Compliance Maintenance alanının kapsamını kavrar, sürekli izleme (ConMon) stratejisini NIST SP 800-137 çerçevesinde kurar, izleme sıklığını, metrikleri ve otomasyonu tanımlar.

Modül 1

Compliance Maintenance Alanının Kapsamı

CGRC yedi alanı içinde Compliance Maintenance'ın yeri
Yetkilendirme (ATO) sonrası sürdürme aşamasının tanımı
System Compliance (yetkilendirme) ile aradaki fark ve geçiş
RMF'nin Monitor adımıyla alanın hizalanması
Sürdürmede ISSO, ISSM ve yetkili makamın rolleri
Uyumun zamanla neden bozulduğu (drift) ve izlemenin gerekçesi

Modül 2

Sürekli İzleme Stratejisi (ConMon)

NIST SP 800-137 sürekli izleme çerçevesinin temel mantığı
ConMon stratejisinin kurumsal, misyon ve sistem katmanları
İzlenecek varlık, kontrol ve açıkların kapsamının belirlenmesi
Risk toleransına göre izleme kapsamının ölçeklenmesi
Stratejinin yetkili makamca onaylanması ve belgelenmesi
ConMon stratejisinin düzenli gözden geçirilmesi

Modül 3

İzleme Sıklığı ve Metrikler

Kontrol volatilitesine göre izleme sıklığının belirlenmesi
Kritik kontrollerin daha sık izlenmesinin gerekçelendirilmesi
Güvenlik metriklerinin ve göstergelerinin tanımlanması
Metriklerin karar alıcıya anlamlı bilgi verecek seçimi
Eşik değerler ve sapma durumunda tetiklenen eylemler
Metrik verisinin güvenilirliğinin ve kaynağının doğrulanması

Modül 4

İzleme Otomasyonu ve Araçlar

Otomatik veri toplamanın (SCAP, zafiyet tarayıcı) rolü
Varlık, konfigürasyon ve zafiyet verisinin bir araya getirilmesi
Güvenlik durumu panolarının (dashboard) oluşturulması
Otomasyonla manuel değerlendirmenin dengelenmesi
Veri akışının gerçek zamanlıya yaklaştırılmasının faydası
Araç çıktılarının uyum kanıtı olarak saklanması

Günün hedefiKatılımcılar güvenlik kontrollerinin etkinliğini sürekli değerlendirir, değişiklik ve konfigürasyon yönetimini risk temelli yürütür, güvenlik etki analizini ve POA&M kayıtlarını yönetmeyi öğrenir.

Modül 1

Kontrol Etkinliğinin Sürekli Değerlendirilmesi

Kontrol ailelerinin seçilerek dönemsel yeniden değerlendirilmesi
Kontrollerin uygulandığı gibi çalışıp çalışmadığının teyidi
Zafiyet tarama ve sızma testi bulgularının izlenmesi
Kontrol sapmalarının ve zayıflıklarının tespiti
Değerlendirme kanıtlarının (evidence) toplanması ve saklanması
Kontrol sonuçlarının risk durumuna yansıtılması

Modül 2

Değişiklik Yönetimi ve Güvenlik Etki Analizi

Sistem değişikliklerinin resmi değişiklik sürecinden geçirilmesi
Güvenlik etki analiziyle (SIA) değişikliğin uyuma etkisi
Önemli değişikliğin (significant change) tanımlanması
Değişikliğin yeniden yetkilendirmeyi tetikleyip tetiklemediği
Değişiklik kayıtlarının izlenebilir biçimde tutulması
Acil değişikliklerin kontrollü ve geriye dönük onayı

Modül 3

Konfigürasyon Yönetimi

Güvenli temel konfigürasyonun (baseline) tanımlanması
Konfigürasyon sapmalarının (drift) sürekli tespiti
Yetkisiz değişikliklerin belirlenmesi ve geri alınması
Konfigürasyon öğelerinin envanterinin güncel tutulması
Sertleştirme kılavuzlarına (hardening) uyumun izlenmesi
Konfigürasyon yönetiminin değişiklik süreciyle bağlanması

Modül 4

POA&M Kayıtlarının Yönetimi

Düzeltici eylem planının (POA&M) amacı ve içeriği
Zayıflıkların kök neden, risk ve önceliğe göre kaydı
Her maddeye sorumlu, kaynak ve hedef tarih atanması
Düzeltme ilerlemesinin izlenmesi ve kapanışın doğrulanması
Risk kabulü ve geçici hafifletmenin POA&M'de belgelenmesi
POA&M'nin yetkili makama düzenli raporlanması

Günün hedefiKatılımcılar güvenlik durumunu sürekli yetkilendirme kararına besler, yetkili makama ve paydaşlara raporlar, yeniden yetkilendirme tetikleyicilerini değerlendirir ve sistem kapatmayı güvenle yürütür.

Modül 1

Sürekli Yetkilendirme (Ongoing Authorization)

Statik üç yıllık ATO ile sürekli yetkilendirme farkı
Güvenlik durumu verisinin karara sürekli beslenmesi
Yetkili makamın (AO) kalan riske dayalı karar vermesi
Sürekli yetkilendirmenin ön koşulu olan olgun ConMon programı
Risk eşiği aşıldığında yetkilendirmenin askıya alınması
Kararın ve gerekçesinin izlenebilir biçimde belgelenmesi

Modül 2

Güvenlik Durumu Raporlama

Yetkili makama yönelik güvenlik durumu raporunun yapısı
Risk, zafiyet ve POA&M özetinin karar odaklı sunulması
Panolar ve eğilim grafikleriyle güvenlik durumunun gösterimi
Paydaşa göre raporun detay seviyesinin ayarlanması
Raporlama sıklığının ve tetikleyici olayların tanımı
Rapor kanıtlarının denetim için saklanması

Modül 3

Yeniden Yetkilendirme Tetikleyicileri

Önemli değişiklik ve ciddi olay sonrası yeniden değerlendirme
Risk profilinde kalıcı değişimin yetkilendirmeye etkisi
Zaman temelli yerine olay temelli yeniden yetkilendirme mantığı
Yeniden yetkilendirme kapsamının ve derinliğinin belirlenmesi
Güncellenen kanıt ve değerlendirmenin AO'ya sunulması
Yeniden yetkilendirme kararının belgelenmesi

Modül 4

Sistemden Çıkarma (Decommissioning)

Sistemin yaşam döngüsü sonu kararının verilmesi
Veri temizliği, arşivleme ve güvenli imha (sanitization)
Lisans, bağımlılık ve entegrasyonların sonlandırılması
Yetkilendirmenin ve ilgili kayıtların resmi kapatılması
Çıkarma sürecinin güvenlik ve uyum açısından doğrulanması
Kapatma kanıtlarının ve dersleri gösteren kaydın saklanması

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Alan kapsamı

CGRC Compliance Maintenance alanının kapsamını ve yetkilendirme sonrası sürdürme aşamasını kavrarsınız.

✅

ConMon stratejisi

NIST SP 800-137 çerçevesinde sürekli izleme stratejisi, sıklık ve metrikleri kurarsınız.

✅

Kontrol izleme

Güvenlik kontrollerinin etkinliğini sürekli değerlendirir ve sapmaları kanıtla belgelersiniz.

✅

Değişiklik yönetimi

Değişiklikleri güvenlik etki analiziyle değerlendirir ve yetkilendirmeye etkisini yönetirsiniz.

✅

Konfigürasyon kontrolü

Güvenli temel konfigürasyonu tanımlar, sapmaları ve yetkisiz değişiklikleri tespit edersiniz.

✅

POA&M yönetimi

Zayıflıkları POA&M'de önceliklendirir, düzeltme ilerlemesini izler ve kapanışı doğrularsınız.

✅

Sürekli yetkilendirme

Güvenlik durumunu sürekli yetkilendirme kararına besler ve yeniden yetkilendirmeyi yönetirsiniz.

✅

Sistemden çıkarma

Sistemi yaşam döngüsü sonunda güvenli veri imhası ve resmi kapatmayla hizmetten çıkarırsınız.

Kimler İçin Uygundur?

CGRC (eski CAP) sertifikasına hazırlanan uyum ve risk uzmanları
ISSO/ISSM rolündeki güvenlik yöneticileri
sürekli izlemeden sorumlu GRC analistleri
denetçiler
yetkilendirme sürecini sürdüren ekipler için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

CGRC (eski CAP) sertifikasına hazırlanan uyum ve risk uzmanları, ISSO/ISSM rolündeki güvenlik yöneticileri, sürekli izlemeden sorumlu GRC analistleri ve denetçiler için uygundur. Yetkilendirilmiş bir sistemin uyumunu sürdürmekle görevli herkese hitap eder.

Compliance Maintenance ve System Compliance farkı nedir?

System Compliance alanı sistemi yetkilendirmeye (ATO) götüren risk belirleme ve karar sürecine odaklanır; Compliance Maintenance ise yetkilendirme alındıktan sonra uyumun sürekli izleme, değişiklik yönetimi ve POA&M ile nasıl sürdürüleceğine odaklanır. Bu eğitim sürdürme aşamasını kapsar.

Hangi çerçeveler temel alınır?

İçerik ağırlıklı olarak NIST Risk Management Framework (SP 800-37) ve sürekli izleme için NIST SP 800-137 ile hizalıdır. ISC2 CGRC sınav hedefleriyle uyumludur; çerçeveler kurumun kendi uyum bağlamına uyarlanabilir.

Bu eğitim CGRC sınavına hazırlık mıdır?

Eğitim CGRC sınavının Compliance Maintenance alanının konularını kapsar ve sınav hazırlığını destekler. Resmi sınav ISC2 tarafından yürütülür; sınav başvurusu ve ücreti ilgili kuruma aittir. Eğitim konu hakimiyeti ve pratik uygulamaya odaklanır.

Eğitim sonunda sertifika veriliyor mu?

Program tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Sertifika eğitime katılımı ve değerlendirmedeki başarıyı belgeler. Bu, ISC2 CGRC unvanından ayrıdır; CGRC için resmi sınava ayrıca girilmesi gerekir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika