ISC2 CGRC Governance Risk Compliance Eğitimi

Eğitim Hakkında

CGRC yedi alanı, NIST RMF, kontrol seçimi, değerlendirme, yetkilendirme ve sürekli izleme

ISC Certified in Governance Risk and Compliance Eğitimi, ISC2'nin CGRC sertifikasının yedi sınav alanını NIST Risk Management Framework temelinde uygulamalı öğretir. Program, bilgi güvenliği risk yönetimi programını, sistem kapsamını, kontrollerin seçimi ile onayını, uygulanmasını, değerlendirmesini, sistemin yetkilendirilmesini ve sürekli izlemeyi ele alır. NIST SP 800-37 ve 800-53 çerçevesinde yetkilendirme paketi hazırlama pratiğiyle sınava ve gerçek GRC işine hazırlar.

Süre ve Format

3 Gün. Her gün dört modül; RMF adımları, kontrol seçimi ve yetkilendirme paketi hazırlama atölyeleriyle uygulamalı işlenir.

Seviye

Orta Seviye — ISC2 CGRC sınav alanları ve NIST RMF temelli yetkilendirme programı

Öğrenme Metodu

Örnek bir sistem RMF adımlarıyla kategorize edilir, kontroller seçilip uygulanır, değerlendirilir ve yetkilendirme paketi hazırlanır.

Neden Bu Eğitim?

🎯Sınav alanlarına hâkimiyet

CGRC'nin yedi alanını tanım ezberi yerine RMF akışında bağlamıyla öğrenerek sınav sorularını güvenle yorumlar ve çözersiniz.

🔁Uçtan uca RMF

Kategorilendirmeden sürekli izlemeye kadar RMF adımlarını tek bir sistem üzerinde izleyerek süreci bütün olarak kavrarsınız.

📦Yetkilendirme paketi

SSP, risk değerlendirme raporu ve POA&M'den oluşan yetkilendirme paketini hazırlamayı öğrenerek gerçek işe hazır olursunuz.

Anahtar Konular

cgrc eğitimiisc2 cgrcgovernance risk compliancenist rmf eğitiminist 800-53grc sertifikasıyetkilendirme atosystem security planrisk management frameworkbilgi güvenliği uyum

“Yetkilendirme bir imza değil, bilinçli bir risk kararıdır; CGRC bu kararı kanıtla destekleyen disiplini öğretir.”

Ön Koşullar

Programdan en iyi verimi almak için gereken temel bilgi ve bağlam

1

Güvenlik temeli

Bilgi güvenliği ve gizlilik/bütünlük/erişilebilirlik kavramlarına aşinalık, RMF akışını izlemeyi kolaylaştırır.

2

Risk kavramları

Tehdit, zafiyet, olasılık ve etki gibi temel risk kavramlarına genel farkındalık uygulamaları hızlandırır.

3

Çerçeve farkındalığı

NIST, ISO 27001 ya da benzeri çerçevelerle genel tanışıklık, kontrol kataloğu çalışmalarını bağlamına oturtur.

4

Doküman ortamı

SSP, kontrol ve POA&M şablonları için bir doküman ile tablo aracına erişim uygulamalar için yeterlidir.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı bilgi güvenliği risk yönetimi programını ve yönetişimini kavrar, sistemin kapsamını ve güvenlik kategorisini belirlemeyi öğrenir.

Modül 1

Bilgi Güvenliği Risk Yönetimi Programı

GRC'nin yönetişim, risk ve uyum bileşenleri
Risk toleransı ve risk iştahının tanımlanması
Organizasyonel, misyon ve sistem risk katmanları
Yasa, düzenleme ve standartların programa etkisi
Program politikaları ve sorumluluk yapısı
Risk yönetimi stratejisinin belgelenmesi

Modül 2

RMF Rolleri ve Hazırlık (Prepare)

Authorizing Official ve yetki devri
System Owner ve ISSO sorumlulukları
Risk Executive ve kontrol değerlendiricisi rolü
RMF Prepare adımının amacı ve çıktıları
Ortak (common) ve karma kontrol stratejisi
Kurumsal risk kaydı ve bağlam oluşturma

Modül 3

Sistem Kapsamı ve Sınırların Belirlenmesi

Yetkilendirme sınırının (authorization boundary) çizimi
Bilgi türleri ve sistem bileşenlerinin envanteri
Bağlı sistemler ve veri akışlarının haritalanması
Kalıtsal (inherited) kontrollerin tespiti
Bulut ve paylaşımlı sorumluluk sınırları
Kapsam kararının gerekçeli belgelenmesi

Modül 4

Kategorilendirme (Categorize)

FIPS 199 ile etki düzeyi belirleme
Gizlilik, bütünlük, erişilebilirlik için düşük/orta/yüksek
NIST SP 800-60 ile bilgi türü eşleme
En yüksek su işareti (high water mark) mantığı
Kategorinin kontrol seçimine etkisi
Kategorilendirme kararının onaylanması

Günün hedefiKatılımcı güvenlik ve gizlilik kontrollerinin seçimini, uyarlanmasını ve uygulanmasını NIST SP 800-53 kataloğu üzerinden öğrenir.

Modül 1

Kontrol Seçimi (Select)

NIST SP 800-53B baseline (low/moderate/high)
Kontrol ailelerinin yapısı ve numaralandırması
Baseline'ın sisteme göre başlangıç noktası olması
Overlay'lerin (gizlilik, bulut vb.) uygulanması
Kontrol seçim kararının gerekçelendirilmesi
Seçimin paydaşlarla gözden geçirilmesi

Modül 2

Kontrollerin Uyarlanması (Tailoring)

Uygulanabilir olmayan kontrollerin dışlanması
Telafi edici (compensating) kontrol tanımı
Kontrol parametrelerinin kuruma göre atanması
Scoping kararlarının belgelenmesi
Risk temelli uyarlama gerekçesi
Uyarlama sonucu kontrol setinin dondurulması

Modül 3

System Security Plan (SSP)

SSP'nin amacı ve yetkilendirmedeki yeri
Sistem tanımı ve sınır bilgisinin yazımı
Her kontrol için uygulama ifadesinin yazımı
Sorumlu rol ve uygulama durumunun belirtilmesi
Kalıtsal ve ortak kontrollerin işaretlenmesi
SSP'nin güncel ve izlenebilir tutulması

Modül 4

Kontrollerin Uygulanması (Implement)

Teknik, yönetsel ve fiziksel kontrol uygulaması
Yapılandırma temeli (baseline) ile uyum
Uygulama kanıtı ve eserlerin (artifact) toplanması
Otomasyon ve kontrol kalıtımının kullanımı
Uygulama ile SSP'nin tutarlılığı
Uygulama sırasında ortaya çıkan risklerin kaydı

Günün hedefiKatılımcı kontrollerin değerlendirilmesini, sistemin yetkilendirilmesini ve sürekli izleme sürecini uygulamalı olarak öğrenir ve yetkilendirme paketini bütünleştirir.

Modül 1

Değerlendirme ve Denetim (Assess)

Security Assessment Plan'ın hazırlanması
NIST SP 800-53A ile değerlendirme yöntemleri
İnceleme, görüşme ve test tekniklerinin seçimi
Değerlendirici bağımsızlığı ilkesi
Security Assessment Report (SAR) yazımı
Bulguların kritiklik düzeyine göre sınıflanması

Modül 2

POA&M ve Risk Kararı

Plan of Action and Milestones oluşturma
Bulguların kalan risk (residual risk) değeri
Düzeltme planı, sorumlu ve termin atama
Risk azaltma, kabul ve transfer seçenekleri
Risk kararının gerekçeli dokümantasyonu
POA&M'in izlenmesi ve güncellenmesi

Modül 3

Yetkilendirme (Authorize)

Yetkilendirme paketinin (SSP, SAR, POA&M) derlenmesi
Authorizing Official'ın risk temelli kararı
ATO, ATO with conditions ve DATO sonuçları
Yetkilendirme süresi ve geçerlilik koşulları
Koşullu onayda kalan risklerin yönetimi
Yetki kararının paydaşlara iletilmesi

Modül 4

Sürekli İzleme (Monitor)

Sürekli izleme stratejisinin tanımlanması
İzlenecek kontrollerin ve sıklığın belirlenmesi
Yapılandırma ve değişiklik yönetimiyle bağ
Güvenlik durumu (security posture) raporlaması
Ongoing authorization ve yeniden değerlendirme
Sistemin kullanımdan kaldırılması (decommission)

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

CGRC alan hakimiyeti

CGRC'nin yedi sınav alanını RMF akışında bağlamıyla kavrayıp sınav sorularını güvenle yorumlarsınız.

✅

Sistem kategorilendirme

FIPS 199 ve SP 800-60 ile bir sistemin güvenlik kategorisini gerekçeli biçimde belirlersiniz.

✅

Kontrol seçimi

NIST SP 800-53B baseline'ını seçip overlay ve uyarlama ile sisteme özgü kontrol setini oluşturursunuz.

✅

SSP yazımı

Her kontrol için uygulama ifadesini ve sorumlu rolü içeren izlenebilir bir SSP hazırlarsınız.

✅

Değerlendirme

SP 800-53A yöntemleriyle kontrolleri değerlendirip bulguları içeren bir SAR üretirsiniz.

✅

POA&M ve risk

Bulguları kalan riske çevirip düzeltme planı, sorumlu ve terminle bir POA&M oluşturursunuz.

✅

Yetkilendirme kararı

Yetkilendirme paketini derleyip ATO sürecini ve koşullu onay senaryolarını yönetirsiniz.

✅

Sürekli izleme

Sürekli izleme stratejisi kurarak güvenlik durumunu izler ve ongoing authorization yürütürsünüz.

Kimler İçin Uygundur?

Bilgi güvenliği ve GRC uzmanları
risk ve uyum analistleri
ISSO ve sistem güvenliği yetkilileri
denetçiler
yetkilendirme
akreditasyon süreçlerinde görev alacak BT ve güvenlik çalışanları için uygundur

Sıkça Sorulan Sorular

CGRC ile CAP aynı sertifika mı?

Evet, CGRC (Certified in Governance, Risk and Compliance) ISC2'nin önceki CAP (Certified Authorization Professional) sertifikasının güncellenmiş ve yeniden adlandırılmış hâlidir. Odak, NIST Risk Management Framework temelinde bilgi sistemlerini yetkilendirme ve sürekli izlemedir. Eğitim güncel yedi alana göre hizalanmıştır.

Bu eğitim CISSP'den farklı mı?

Evet. CISSP geniş bir güvenlik yönetimi sertifikasıyken CGRC özellikle yönetişim, risk ve uyum ile sistem yetkilendirme (RMF) odaklıdır. Bu eğitim kontrol kataloğu, SSP, değerlendirme ve ATO gibi yetkilendirme süreçlerine derinleşir. İkisi birbirini tamamlar; bu program GRC ve yetkilendirme rollerine yöneliktir.

Bu eğitime kimler katılmalı?

Bilgi güvenliği ve GRC uzmanları, risk ve uyum analistleri, ISSO ve sistem güvenliği yetkilileri, denetçiler ile yetkilendirme süreçlerinde görev alacak BT ve güvenlik çalışanları katılmalıdır. NIST RMF temelli uyum işleriyle ilgilenen herkes yararlanır.

Eğitim CGRC sınavına hazırlar mı?

Program CGRC'nin yedi sınav alanını kapsar ve kavramları RMF akışıyla bağlamına oturtarak sınav hazırlığını güçlü biçimde destekler. Ancak resmi sınav ISC2 tarafından yürütülür; sınav başvurusu ve ücreti ilgili kuruma aittir. Eğitim bir hazırlık ve uygulama programıdır.

Eğitim sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Bu belge tamamlanan modülleri ve RMF ile yetkilendirme paketi atölyelerini kayıt altına alır. ISC2 CGRC unvanı için resmi sınav başvurusu ve ücreti ilgili kuruma aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika