CMMC 2.0 Readiness Workshop Eğitimi

Eğitim Hakkında

Kapsam belirleme, boşluk analizi, SSP/POA&M ve simülasyon değerlendirme atölyesi

CMMC 2.0 Readiness Compliance Workshop Eğitimi, kuruluşun CMMC 2.0 değerlendirmesine uygulamalı hazırlanmasını Türkçe öğretir. Atölye, değerlendirme kapsamının ve varlık sınıflarının belirlenmesini, NIST SP 800-171 boşluk analizini, Sistem Güvenlik Planı (SSP) ve Eylem Planı (POA&M) üretimini, kanıt toplamayı, SPRS skorlamasını ve simülasyon değerlendirmeyi kapsar. Katılımcılar gerçek bir hazırlık projesini yürütme becerisi kazanır.

Süre ve Format

3 Gün. Her gün dört modül; kapsam belirleme, boşluk analizi ve belge üretimi atölyeleriyle uygulamalı yürütülür.

Seviye

Orta Seviye — CMMC 2.0 değerlendirmesine uygulamalı hazırlık, boşluk analizi ve belge üretimi

Öğrenme Metodu

Örnek bir kuruluş üzerinden kapsam çizilir, boşluk analizi yapılır, SSP ve POA&M üretilir, simülasyon değerlendirmeyle pekiştirilir.

Neden Bu Eğitim?

🧭Kapsam netliği

Değerlendirme sınırını ve varlık sınıflarını doğru belirleyerek gereksiz kapsam genişlemesini önlemeyi öğrenirsiniz.

🔍Boşluk analizi

110 kontrole karşı mevcut durumu değerlendirir, açıkları önceliklendirir ve iyileştirme planı kurarsınız.

📝Belge üretimi

Değerlendirmede sunulan SSP ve POA&M belgelerini gerçek şablonlar üzerinde üretmeyi uygularsınız.

Anahtar Konular

cmmc readiness eğitimicmmc hazırlık atölyesicmmc boşluk analizissp hazırlama eğitimipoa&m eğitiminist 800-171 değerlendirmecmmc kapsam belirlemec3pao hazırlık eğitimicmmc gap analizisprs skorlama

“Başarılı bir CMMC değerlendirmesi, atölyede dürüstçe yapılan boşluk analizi ve iyi belgelenmiş kanıtlarla başlar.”

Ön Koşullar

Atölyeden en iyi verimi almak için gereken temel bilgi ve rol bağlamı

1

CMMC temel bilgisi

CMMC seviyeleri ve NIST 800-171'e temel aşinalık, atölyedeki hazırlık adımlarından verim almanızı sağlar.

2

Kurumsal BT bağlamı

Kuruluşun ağ, sistem ve CUI akışına dair bilgi, kapsam ve boşluk çalışmalarını hızlandırır.

3

Belge aşinalığı

Politika ve prosedür belgeleriyle çalışma deneyimi, SSP ve POA&M üretiminde faydalıdır.

4

İngilizce terim

Kontrol, belge ve değerlendirme terimlerinin İngilizce karşılıklarına aşinalık faydalıdır; terimler iki dilde verilir.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı CMMC değerlendirme kapsamını, varlık sınıflarını, CUI veri akışını ve mevcut durum envanterini örnek bir kuruluş üzerinde belirler ve ağ sınırını çizer.

Modül 1

Değerlendirme Kapsamı İlkeleri

Değerlendirme sınırının (assessment scope) tanımı
Kapsamı daraltmanın maliyet ve risk etkisi
Kapsam dışı bırakma kriterleri ve gerekçeleri
Ağ segmentasyonuyla kapsamın sınırlanması
Bulut ve dış hizmetlerin kapsama dahli
Kapsam kararlarının belgelenmesi

Modül 2

CMMC Varlık Sınıfları

CUI Varlıkları (CUI Assets) ve işleme/saklama
Güvenlik Koruma Varlıkları (Security Protection Assets)
Olası risk azaltılmış varlıklar (CRMA) kavramı
Dışarıda bırakılan (Out-of-Scope) varlıklar
Özel varlıklar (Specialized Assets) ve ele alınması
Varlık envanter tablosunun oluşturulması

Modül 3

CUI Veri Akışı Haritalama

CUI'nin kuruluşa giriş noktalarının belirlenmesi
CUI'nin işlendiği, saklandığı, iletildiği yerler
Veri akış diyagramının (data flow) çizilmesi
Üçüncü taraf ve tedarikçi akışlarının izlenmesi
CUI'ye temas eden kullanıcı ve rollerin tespiti
Akış haritasının kapsamla hizalanması

Modül 4

Mevcut Durum Envanteri

Sistem, uygulama ve ağ bileşeni envanteri
Mevcut güvenlik kontrollerinin kaydı
Rol, sorumluluk ve yetki envanteri
Mevcut politika ve prosedürlerin derlenmesi
Paydaş ve veri sahibi görüşmeleri
Envanterin boşluk analizine hazırlanması

Günün hedefiKatılımcı NIST 800-171'in 110 kontrolüne karşı boşluk analizi yapar, bulguları önceliklendirir, Sistem Güvenlik Planı ve Eylem Planı belgelerini örnek şablonlarla üretir.

Modül 1

Boşluk Analizi Yürütme

Her kontrolün uygulanma durumunun değerlendirilmesi
Uygulandı, kısmen, uygulanmadı, uygulanmaz ayrımı
Kanıt ve mülakatla durum doğrulaması
Objektif değerlendirme nesnelerinin kontrolü
Boşlukların kayıt tablosuna işlenmesi
Kontrol bazında bulgu notlarının yazılması

Modül 2

Bulgu Önceliklendirme

800-171 skorlama ağırlıklarıyla etki sıralaması
Risk ve efor matrisiyle önceliklendirme
Hızlı kazanımların (quick win) belirlenmesi
Bağımlı kontrollerin gruplanması
İyileştirme yol haritası taslağı
Sorumlu ve hedef tarih ataması

Modül 3

Sistem Güvenlik Planı (SSP)

SSP yapısının ve zorunlu bölümlerinin kurulması
Sistem sınırı ve bileşenlerinin tanımlanması
Her kontrolün uygulanma açıklamasının yazılması
Rol, sorumluluk ve bağlı politikaların eklenmesi
Ağ ve veri akış diyagramlarının iliştirilmesi
SSP'nin güncel ve denetlenebilir tutulması

Modül 4

Eylem Planı (POA&M)

POA&M tablosunun açık kontrollerle doldurulması
Her açık için düzeltici eylem ve kaynak tanımı
Sorumlu, başlangıç ve kapanış tarihi ataması
POA&M'e izin verilen ve yasak kontrol ayrımı
İlerlemenin izlenmesi ve güncellenmesi
POA&M ile SSP arasındaki tutarlılık kontrolü

Günün hedefiKatılımcı simülasyon (mock) değerlendirme yürütür, SPRS skorunu hesaplar, bulgu raporu üretir ve değerlendirme öncesi iyileştirme yol haritasını tamamlar.

Modül 1

Simülasyon Değerlendirme

Mock değerlendirme senaryosunun kurgulanması
Mülakat, inceleme ve test yöntemlerinin uygulanması
Kanıtların objektif nesnelerle eşleştirilmesi
Değerlendirici bakışıyla açıkların yakalanması
Katılımcı rolleri ve hazırlık provaları
Bulguların değerlendirme kaydına işlenmesi

Modül 2

SPRS Skoru Hesaplama

110 puan tabanından kontrol ağırlıklarının düşülmesi
Kısmi uygulanan kontrollerin puanlanması
Hedef skor ve kabul eşiğinin belirlenmesi
Skorun SPRS'e bildirim formatının hazırlanması
Skor iyileştirmesi için öncelik kararları
Skorun sözleşme uygunluğuna etkisinin yorumu

Modül 3

Bulgu Raporu ve Kanıt

Değerlendirme bulgu raporunun yapısı
Kanıt kütüphanesinin düzenlenmesi ve etiketlenmesi
Kanıt yeterliliği ve güncelliği kontrolü
Açık bulguların POA&M'e aktarılması
Yönetime özet bulgu sunumunun hazırlanması
İzlenebilirlik için kanıt-kontrol eşlemesi

Modül 4

İyileştirme ve Belgelendirme Hazırlığı

Değerlendirme öncesi iyileştirme yol haritası
Kontrollerin kapatılması ve yeniden doğrulama
C3PAO değerlendirmesine hazırlık kontrol listesi
Yıllık doğrulama ve sürdürme planı
Digital Vizyon Akademi Katılım ve Başarı Sertifikası'nın verilmesi
Resmi CMMC değerlendirme başvurusu ve ücreti ilgili kuruma aittir

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Kapsam belirleme

Değerlendirme sınırını ve varlık sınıflarını çizer, kapsamı gereksiz genişlemeden korursunuz.

✅

CUI akışı

CUI'nin giriş, işleme, saklama ve iletim akışını haritalar ve kapsamla hizalarsınız.

✅

Boşluk analizi

110 kontrole karşı mevcut durumu değerlendirir, kanıtla doğrular ve bulguları kaydedersiniz.

✅

Önceliklendirme

Skorlama ve risk-efor matrisiyle açıkları önceliklendirip iyileştirme yol haritası kurarsınız.

✅

SSP üretimi

Sistem Güvenlik Planını zorunlu bölümleri ve diyagramlarıyla eksiksiz hazırlarsınız.

✅

POA&M üretimi

Açık kontroller için Eylem Planını sorumlu, tarih ve kaynaklarıyla oluşturursunuz.

✅

Simülasyon ve skor

Mock değerlendirme yürütür, SPRS skorunu hesaplar ve ayrıntılı bulgu raporu üretirsiniz.

✅

Belgelendirme hazırlığı

C3PAO değerlendirmesine hazırlık listesini tamamlar ve sürdürme planını kurarsınız.

Kimler İçin Uygundur?

CMMC değerlendirmesine hazırlanan savunma tedarikçisi firmaların uyum ekipleri
bilgi güvenliği ve BT yöneticileri
CMMC danışmanları
SSP ve POA&M üretiminden sorumlu profesyoneller için uygundur

Sıkça Sorulan Sorular

Bu atölye için ön koşul nedir?

CMMC seviyeleri ve NIST 800-171'e temel aşinalık beklenir. Kuruluşun ağ, sistem ve CUI akışına dair bilgi faydalıdır ancak zorunlu değildir; kapsam belirleme, boşluk analizi ve belge üretimi adımları örnek bir kuruluş üzerinden baştan ele alınır.

Bu atölye kimler için uygundur?

CMMC değerlendirmesine hazırlanan savunma tedarikçisi firmaların uyum ekipleri, bilgi güvenliği ve BT yöneticileri, CMMC danışmanları ile SSP ve POA&M üretiminden sorumlu profesyoneller için uygundur. Hazırlık projesini yönetecek ekip liderleri de yararlanır.

Compliance Training eğitiminizden farkı nedir?

Training programı CMMC modelini, seviyeleri ve NIST 800-171 kontrollerini kavramaya odaklanır. Bu atölye ise kapsam çizme, boşluk analizi, SSP ve POA&M üretimi ile simülasyon değerlendirme gibi uygulamalı hazırlık çalışmalarını örnek kuruluş üzerinden yürütür.

Atölyede hangi belgeler üretilir?

Atölye boyunca varlık envanteri, CUI veri akış haritası, boşluk analizi tablosu, Sistem Güvenlik Planı (SSP), Eylem Planı (POA&M), simülasyon bulgu raporu ve iyileştirme yol haritası gibi değerlendirmede kullanılan belgeler örnek şablonlar üzerinde üretilir.

Atölye sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır; bu belge tamamlanan atölye çalışmalarını kayıt altına alır. CMMC'nin resmi değerlendirmesi ve sertifikası ayrı olup C3PAO ve ilgili kuruma aittir; başvuru ve ücreti katılımcı kuruluşa aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika