Federal Risk Management Framework RMF Eğitimi

Eğitim Hakkında

Hazırlıktan kategorizasyona, kontrol seçiminden değerlendirme, yetkilendirme ve sürekli izlemeye

Federal Risk Management Framework (RMF) Eğitimi, NIST 800-37 RMF yaşam döngüsünü ve sistemlere uygulanışını öğretir. Katılımcılar FISMA bağlamını, hazırlık (Prepare) adımını, FIPS 199 ile kategorizasyonu, FIPS 200 ve NIST 800-53 kataloğundan kontrol seçimi ile uyarlamayı, kontrol uygulama ve System Security Plan (SSP) belgelemeyi, 800-53A ile değerlendirmeyi, SAR ve POA&M hazırlığını, yetkilendirme (ATO) kararını ve sürekli izlemeyi (ConMon) gerçek adımlarla ele alır.

Süre ve Format

3 Gün. Her gün dört modül; RMF adımları gerçek belge örnekleri, kontrol seçimi ve değerlendirme senaryolarıyla uygulamalı işlenir.

Seviye

Orta Seviye — NIST RMF adımlarını ve NIST 800-37/800-53 denetimlerini sistemlere uygulamak isteyenler için

Öğrenme Metodu

Her RMF adımı amaç, girdi ve çıktılarıyla anlatılır; kategorizasyon, kontrol seçimi ve değerlendirme belge örnekleriyle uygulanır.

Neden Bu Eğitim?

📋Adım adım RMF

RMF'in yedi adımını amaç, girdi ve çıktılarıyla kavrayarak sistemleri yapılandırılmış biçimde yetkilendirirsiniz.

🗂️Kontrol hakimiyeti

NIST 800-53 kontrol kataloğunu ve baseline uyarlamayı öğrenerek kontrolleri doğru seçip belgeleyebilirsiniz.

🔄Sürekli izleme

ConMon ile yetkilendirme sonrası güvenlik duruşunu sürekli izleyerek riski güncel tutmayı öğrenirsiniz.

Anahtar Konular

rmf eğitiminist rmf eğitimirisk management frameworknist 800-37nist 800-53 eğitimifisma eğitimifips 199ato yetkilendirmepoa&msürekli izleme conmon

“Güvenlik bir kerelik bir onay değil, süren bir güvencedir; RMF yetkilendirmeyi bir son değil, sürekli izlemeyle beslenen canlı bir döngüye dönüştürür.”

Ön Koşullar

Programdan en iyi verimi almak için gereken temel bilgi ve bakış

1

Güvenlik temeli

Bilgi güvenliği, CIA üçlüsü ve temel kontrol kavramlarına aşinalık konuları takip etmeyi kolaylaştırır.

2

Sistem bilgisi

Bilgi sistemleri, ağ ve bileşen mimarisi hakkında genel bir anlayış örnekleri somutlaştırır.

3

Uyum kavramı

Risk, denetim ve uyum süreçlerine dair temel aşinalık RMF akışını kavramayı destekler.

4

İngilizce okuma

NIST yayınları İngilizce olduğundan temel teknik İngilizce okuma becerisi faydalı olur.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı FISMA bağlamını ve RMF yaşam döngüsünü kavrar, hazırlık (Prepare) adımını ve rolleri öğrenir, FIPS 199 ile bilgi sistemlerini etki düzeyine göre kategorize etmeyi uygular.

Modül 1

FISMA ve RMF Bağlamı

FISMA yasası ve federal güvenlik yükümlülükleri
NIST yayın ailesi: 800-37, 800-53, FIPS
RMF'in amacı ve risk temelli yaklaşımı
Risk yönetimi katmanları (organizasyon, misyon, sistem)
RMF ile sürekli güvence ilişkisi
RMF ve diğer çerçevelerle uyum

Modül 2

RMF Yaşam Döngüsü ve Roller

RMF yedi adımına bütünsel bakış
Adımların girdi, çıktı ve sıralaması
Authorizing Official (AO) rolü
System Owner ve ISSO/ISSM rolleri
Security Control Assessor (SCA) rolü
Roller arası sorumluluk ve akış

Modül 3

Hazırlık (Prepare) Adımı

Kurum düzeyi hazırlık görevleri
Risk yönetim stratejisi ve iştahı
Ortak kontroller (common controls) belirleme
Sistem sınırı (boundary) tanımlama
Paydaş ve kaynak planlama görevleri
Sistem düzeyi hazırlık çıktıları

Modül 4

Kategorizasyon (FIPS 199)

Bilgi türü ve etki düzeyi belirleme
Gizlilik, bütünlük, erişilebilirlik etkisi
Düşük, orta, yüksek etki sınıflandırması
En yüksek su işareti (high water mark) kuralı
NIST 800-60 ile bilgi türü eşleme
Kategorizasyon kararının belgelenmesi

Günün hedefiKatılımcı FIPS 200 ve NIST 800-53 kontrol kataloğundan güvenlik kontrollerini seçer, baseline uyarlamayı yapar, kontrolleri uygular ve System Security Plan (SSP) ile belgelemeyi öğrenir.

Modül 1

Kontrol Seçimi ve Baseline

FIPS 200 minimum güvenlik gereksinimleri
NIST 800-53 kontrol kataloğu yapısı
Kontrol aileleri (AC, AU, SC, IR vb.)
Etki düzeyine göre baseline (800-53B)
Overlay ve bağlama özel kontrol setleri
Seçim kararının gerekçelendirilmesi

Modül 2

Kontrol Uyarlama (Tailoring)

Baseline uyarlama mantığı ve adımları
Kontrol ekleme, çıkarma ve kapsam belirleme
Telafi edici (compensating) kontroller
Parametre atama ve kontrol detaylandırma
Ortak, hibrit ve sistem özel kontroller
Uyarlama kararlarının kayıt altına alınması

Modül 3

Kontrollerin Uygulanması

Kontrol uygulama planlama adımları
Teknik, yönetsel ve fiziksel kontroller
Uygulamanın mimariye yerleştirilmesi
Kontrollerin birbirine bağımlılığı
Uygulama kanıtı ve yapılandırma
Uygulama sırasında sık yapılan hatalar

Modül 4

System Security Plan (SSP)

SSP belgesinin amacı ve içeriği
Sistem tanımı, sınır ve işletim ortamı
Kontrol uygulama açıklamaları kaydı
Sorumluluk ve uygulama durumu kaydı
SSP ile diğer belgelerin ilişkisi
SSP güncelliği ve sürüm yönetimi

Günün hedefiKatılımcı NIST 800-53A ile kontrol değerlendirmesi yapar, değerlendirme raporu (SAR) ve POA&M hazırlar, yetkilendirme (ATO) kararını ve Authorizing Official sürecini kavrar, sürekli izlemeyi uygular.

Modül 1

Kontrol Değerlendirme (800-53A)

Değerlendirme (Assess) adımının amacı
NIST 800-53A değerlendirme prosedürleri
İnceleme, görüşme ve test yöntemleri
Değerlendirme planının hazırlanması
Bağımsız değerlendirici (SCA) rolü
Bulguların kaydı ve kanıt toplama

Modül 2

Değerlendirme Raporu ve POA&M

Security Assessment Report (SAR) yapısı
Bulguların ciddiyet ve risk derecelendirmesi
Plan of Action and Milestones (POA&M)
Zafiyet giderme planı ve kilometre taşları
Artık riskin belirlenmesi ve kabulü
Risk kararına girdi olarak raporlar

Modül 3

Yetkilendirme (Authorize) ve ATO

Yetkilendirme adımının amacı ve kapsamı
Authorization package içeriği (SSP, SAR, POA&M)
Authorizing Official risk kabul kararı
ATO, IATT ve koşullu yetkilendirme türleri
Yetkilendirme süresi ve geçerlilik
Yetkilendirme kararının belgelenmesi

Modül 4

Sürekli İzleme (ConMon)

Monitor adımının amacı ve kapsamı
Sürekli izleme stratejisi ve sıklığı
Kontrol etkinliğinin düzenli izlenmesi
Değişiklik yönetimi ve etki analizi
Güvenlik durumu raporlaması ve metrikler
Yeniden yetkilendirme ve ongoing authorization

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

RMF kavrayışı

FISMA bağlamını ve RMF yaşam döngüsünün yedi adımını amaç, girdi ve çıktılarıyla açıklayabilirsiniz.

✅

Kategorizasyon

FIPS 199 ve 800-60 ile sistemleri etki düzeyine göre doğru biçimde kategorize edebilirsiniz.

✅

Kontrol seçimi

NIST 800-53 kataloğundan baseline seçip bağlama göre uyarlayarak uygun kontrol setini oluşturursunuz.

✅

SSP belgeleme

Kontrollerin uygulamasını System Security Plan içinde eksiksiz ve tutarlı biçimde belgeleyebilirsiniz.

✅

Değerlendirme

NIST 800-53A prosedürleriyle kontrol değerlendirmesi yapar ve değerlendirme raporunu (SAR) hazırlarsınız.

✅

POA&M yönetimi

Bulgular için POA&M hazırlayarak zafiyet giderme planını ve artık riski yapılandırılmış biçimde yönetirsiniz.

✅

Yetkilendirme

Authorization package ve ATO kararını kavrayarak Authorizing Official risk kabul sürecini açıklarsınız.

✅

Sürekli izleme

ConMon stratejisiyle yetkilendirme sonrası güvenlik duruşunu sürekli izleyip güncel tutabilirsiniz.

Kimler İçin Uygundur?

Bilgi güvenliği ve siber güvenlik uzmanları
sistem ve güvenlik yöneticileri
uyum ve denetim ekipleri ile kamu ya da federal bağlamda çalışan ISSO
ISSM
güvenlik değerlendirme rollerindeki profesyoneller için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Bilgi güvenliği ve siber güvenlik uzmanları, sistem ve güvenlik yöneticileri, uyum ve denetim ekipleri ile kamu veya federal bağlamda çalışan ISSO, ISSM ve güvenlik değerlendirme rollerindeki profesyoneller için uygundur. Temel bilgi güvenliği ve sistem kavramlarına aşinalık faydalıdır.

RMF ile NIST 800-53 arasındaki ilişki nedir?

RMF (NIST 800-37) güvenlik yaşam döngüsünü tanımlayan süreçtir; NIST 800-53 ise bu süreçte seçilip uygulanan güvenlik ve gizlilik kontrollerinin kataloğudur. Eğitim RMF adımlarını işlerken 800-53 kontrol ailelerini, baseline'ları ve uyarlamayı seçim ve uygulama adımlarında ayrıntılı kullanır.

Eğitim hangi NIST yayınlarını kapsıyor?

Eğitim NIST 800-37 (RMF), 800-53 ve 800-53B (kontroller ve baseline), 800-53A (değerlendirme), FIPS 199 ve FIPS 200 (kategorizasyon ve minimum gereksinim) ile 800-60 (bilgi türü eşleme) yayınlarını uygulamalı olarak ele alır. Yayınlar İngilizce olduğundan temel teknik İngilizce okuma faydalıdır.

Belge örnekleri üzerinde çalışılıyor mu?

Evet. Kategorizasyon kaydı, System Security Plan (SSP), Security Assessment Report (SAR) ve POA&M gibi RMF çıktıları örnek şablonlar üzerinden incelenir ve senaryolarla uygulanır. Amaç adımları yalnızca teorik değil, üretilen gerçek belgeler üzerinden kavratmaktır.

Eğitim sonunda sertifika veriliyor mu?

Evet. Program tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. RMF ile ilişkili resmi mesleki sertifika sınavları ayrıdır; sınav başvurusu ve ücreti ilgili kuruma aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika