ISO/IEC 27005 Lider Risk Yöneticisi Eğitimi

Eğitim Hakkında

ISO/IEC 27005 ve ISO 31000 temelinde bir ISRM programını kurup yönlendiren lider becerileri

ISO/IEC 27005 Lider Risk Yöneticisi Eğitimi, bir kurumda bilgi güvenliği risk yönetim (ISRM) programını kurup lider düzeyde yönetme yetkinliği kazandırır. ISO/IEC 27005:2022 ve ISO 31000 çerçevesinde bağlamın belirlenmesi, risk değerlendirme, risk işleme ve iletişim süreçleri derinlemesine işlenir. Program ayrıca OCTAVE, MEHARI ve EBIOS gibi yöntemleri, risk kriterlerinin tasarımını ve riskin ISO 27001 BGYS ile bütünleştirilmesini kapsar.

Süre ve Format

3 Gün. Her gün dört modül; risk senaryoları, yöntem karşılaştırmaları ve risk işleme planı atölyeleriyle işlenir.

Seviye

Orta Seviye — ISO/IEC 27005 ile bilgi güvenliği risk yönetim programını kurup yöneten lider düzeyi program

Öğrenme Metodu

Gerçek risk senaryolarıyla risk değerlendirme, yöntem seçimi ve risk işleme planı atölyeleri yapılır; program kurma pratiği uygulanır.

Neden Bu Eğitim?

🎯Program liderliği

Bir kurumun bilgi güvenliği risk yönetim programını baştan kurup yönetmeyi, rolleri ve yönetişimi tasarlamayı öğrenirsiniz.

📐Yöntem hakimiyeti

OCTAVE, MEHARI ve EBIOS gibi yöntemleri karşılaştırır, kurumunuza uygun risk değerlendirme yaklaşımını seçmeyi kavrarsınız.

🔗BGYS entegrasyonu

Risk sürecini ISO 27001 madde 6.1.2 ve 8.2 ile bütünleştirip SoA ve risk işleme planına bağlamayı uygularsınız.

Anahtar Konular

iso 27005 eğitimiiso 27005 lider risk yöneticisibilgi güvenliği risk yönetimilead risk manager eğitimiiso 31000 risk yönetimioctave mehari ebiosrisk değerlendirme eğitimiiso 27005 kursubgys risk yönetimirisk işleme planı

“Risk yönetimi belirsizliği yok etmez; kurumun belirsizlik karşısında bilinçli ve tutarlı kararlar almasını sağlar.”

Ön Koşullar

Lider düzeyinden en iyi verimi almak için önerilen bilgi ve deneyim

1

Bilgi güvenliği temeli

ISO 27001 ve temel bilgi güvenliği kavramlarına aşinalık, risk sürecini BGYS bağlamında yorumlamanızı kolaylaştırır.

2

Risk kavramları

Varlık, tehdit, zafiyet ve etki gibi temel risk kavramlarına aşinalık, ileri düzey senaryoları hızla kavramanızı sağlar.

3

Yönetim deneyimi

Süreç veya ekip yönetimi deneyimi, program kurma ve liderlik konularından daha fazla verim almanıza yardımcı olur.

4

Analitik yaklaşım

Belirsizlik altında karar verme ve nicel/nitel değerlendirme alışkanlığı, risk analizi çalışmalarından verim sağlar.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı ISO/IEC 27005:2022 ile ISO 31000 ilişkisini açıklar, bilgi güvenliği risk kavramlarını ayırt eder ve risk yönetiminin bağlamını ve kriterlerini kurum düzeyinde tasarlar.

Modül 1

ISO/IEC 27005 ve ISO 31000 İlişkisi

ISO/IEC 27005:2022'nin amacı ve kapsamı
ISO 31000 risk yönetim çerçevesiyle hizalanma
27005'in ISO 27001'e sağladığı destek
2022 revizyonuyla gelen temel değişiklikler
Risk yönetim süreci genel akışı
Standartlar ailesindeki yeri ve ilgili belgeler

Modül 2

Temel Risk Kavramları

Varlık, tehdit, zafiyet ve etki kavramları
Risk kaynağı ve olay (event) kavramı
Olasılık (likelihood) ve sonuç (consequence)
Doğal (inherent) ve artık (residual) risk
Risk sahipliği ve hesap verebilirlik
Risk iştahı ve risk toleransı ayrımı

Modül 3

Bağlamın Belirlenmesi ve Risk Kriterleri

İç ve dış bağlamın analiz edilmesi
Risk yönetim kapsamının ve sınırlarının tanımı
Risk değerlendirme kriterlerinin belirlenmesi
Etki ve olasılık ölçeklerinin tasarımı
Risk kabul kriterlerinin tanımlanması
Nitel ve nicel değerlendirme yaklaşımı seçimi

Modül 4

Risk Yönetim Programının Tasarımı

ISRM programının amaç ve hedeflerinin tanımı
Rol, sorumluluk ve yönetişim yapısı kurma
Risk yönetimi politikası ve prosedürleri
Paydaş analizi ve iletişim planı
Kaynak, bütçe ve yetkinlik planlaması
Programın BGYS ile bütünleştirilmesi

Günün hedefiKatılımcı olay ve varlık temelli yaklaşımlarla risk belirler, riskleri analiz edip değerlendirir ve OCTAVE, MEHARI, EBIOS yöntemlerini karşılaştırarak kuruma uygun olanı seçer.

Modül 1

Risk Belirleme Yaklaşımları

Olay temelli (event-based) risk belirleme
Varlık temelli (asset-based) risk belirleme
Risk senaryolarının oluşturulması
Tehdit ve zafiyet kaynaklarının envanteri
Mevcut kontrollerin belirlenmesi
İki yaklaşımın bir arada kullanımı

Modül 2

Risk Analizi (Etki ve Olasılık)

Sonuçların (etki) değerlendirilmesi
Olasılığın (likelihood) değerlendirilmesi
Risk seviyesinin hesaplanıp belirlenmesi
Nitel analiz teknikleri ve ölçekleri
Nicel analiz ve beklenen kayıp hesabı
Belirsizlik ve varsayımların yönetimi

Modül 3

Risk Değerlendirme ve Önceliklendirme

Risk seviyelerinin kriterlerle karşılaştırılması
Risklerin önem sırasına göre önceliklendirilmesi
Risk kabul eşiğiyle değerlendirme
Risk değerlendirme sonuçlarının kayda alınması
Risk sahipleriyle sonuçların doğrulanması
Değerlendirme çıktılarının raporlanması

Modül 4

Risk Değerlendirme Yöntemleri

OCTAVE yaklaşımı ve varlık odaklı analiz
MEHARI yöntemi ve kontrol kütüphanesi
EBIOS Risk Manager yöntemi ve yaklaşımı
Yöntemlerin güçlü ve zayıf yönleri
Kuruma uygun yöntemin seçim ölçütleri
Yöntemin 27005 sürecine uyarlanması

Günün hedefiKatılımcı risk işleme seçeneklerini belirler, risk işleme planı ve SoA hazırlar, risk iletişimini yönetir ve programın izleme, gözden geçirme ve iyileştirme döngüsünü kurar.

Modül 1

Risk İşleme Seçenekleri

Riski değiştirme (modify) ve kontrol seçimi
Riski kabullenme (retain) kararı
Riskten kaçınma (avoid) yaklaşımı
Riski paylaşma (share) ve transfer
ISO 27002 kontrollerinin seçimi
Artık riskin hesaplanması ve kabulü

Modül 2

Risk İşleme Planı ve SoA

Risk işleme planının yapısı ve içeriği
Kontrol uygulama sorumluluk ve takvimi
Uygulanabilirlik Bildirimi (SoA) hazırlama
Risk sahibinin artık riski onayı
Planın kaynak ve bütçeyle ilişkilendirilmesi
Planın yönetim onayına sunulması

Modül 3

Risk İletişimi ve Danışma

Paydaşlarla risk iletişimi planı
Risk raporlamanın biçim ve sıklığı
Üst yönetime özet risk sunumu ve raporu
Risk bilincinin kurumda yaygınlaştırılması
Karar alıcılarla danışma süreçleri
Risk kayıt (risk register) yönetimi

Modül 4

İzleme, Gözden Geçirme ve Liderlik

Risklerin ve kontrollerin sürekli izlenmesi
Değişen bağlamın risk üzerindeki etkisi
Periyodik risk gözden geçirmeleri
Risk yönetimi olgunluğunun ölçülmesi
Sürekli iyileştirme ve ders çıkarma
Risk ekibini yönlendirme ve liderlik

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

27005 ve 31000

ISO/IEC 27005:2022'yi ISO 31000 çerçevesiyle ilişkilendirir ve ISO 27001 BGYS'ye nasıl destek verdiğini açıklarsınız.

✅

Bağlam ve kriter

Risk yönetiminin iç/dış bağlamını analiz eder, etki, olasılık ve kabul kriterlerini kurum düzeyinde tasarlarsınız.

✅

Risk belirleme

Olay ve varlık temelli yaklaşımlarla risk senaryoları oluşturur, tehdit ve zafiyetleri sistematik biçimde belirlersiniz.

✅

Risk analizi

Etki ve olasılığı nitel ve nicel yöntemlerle değerlendirir, risk seviyelerini hesaplayıp önceliklendirirsiniz.

✅

Yöntem seçimi

OCTAVE, MEHARI ve EBIOS yöntemlerini karşılaştırır ve kurumunuza en uygun risk değerlendirme yöntemini seçersiniz.

✅

Risk işleme

Değiştirme, kabul, kaçınma ve paylaşma seçeneklerini uygular, risk işleme planı ve SoA hazırlarsınız.

✅

Risk iletişimi

Üst yönetim ve paydaşlarla risk iletişimini kurar, risk kaydını ve raporlamayı etkili biçimde yönetirsiniz.

✅

Program liderliği

Bir ISRM programını kurar, izleme ve iyileştirme döngüsünü yönetir ve risk ekibine liderlik edersiniz.

Kimler İçin Uygundur?

Bilgi güvenliği yöneticileri
risk yöneticileri
CISO ve danışmanlar
uyum
GRC uzmanları ile bir kurumda risk yönetim programını tasarlayıp yönetmek isteyen deneyimli profesyoneller için uygundur

Sıkça Sorulan Sorular

ISO/IEC 27005 Lider Risk Yöneticisi eğitimi kimler içindir?

Eğitim bilgi güvenliği ve risk yöneticileri, CISO ve danışmanlar, uyum ve GRC uzmanları ile bir kurumda risk yönetim programını tasarlayıp yönetmek isteyen deneyimli profesyoneller içindir. ISO 27001 ve temel risk kavramlarına aşinalık önerilir ancak zorunlu değildir.

Lider Risk Yöneticisi ile Risk Yöneticisi eğitimi arasındaki fark nedir?

Risk Yöneticisi eğitimi 27005 risk sürecini uygulamaya odaklanır. Lider Risk Yöneticisi ise programı kurumda baştan kurma, yönetişim tasarımı ve OCTAVE, MEHARI, EBIOS gibi yöntemlere hakim olarak ekibe liderlik etmeye odaklanır; daha stratejik ve program düzeyindedir.

Eğitimde hangi risk değerlendirme yöntemleri işleniyor?

Program ISO/IEC 27005 risk sürecinin yanı sıra OCTAVE'in varlık odaklı yaklaşımını, MEHARI'nin kontrol kütüphanesini ve EBIOS Risk Manager yöntemini karşılaştırmalı olarak işler. Katılımcı her yöntemin güçlü yönlerini öğrenir ve kurumuna uygun olanı seçme ölçütlerini kavrar.

Eğitim ISO 27001 ile nasıl ilişkilidir?

ISO/IEC 27005, ISO 27001 BGYS'nin madde 6.1.2 risk değerlendirme ve madde 6.1.3 risk işleme gereksinimlerine yöntem desteği sağlar. Eğitim risk sürecini SoA ve risk işleme planıyla BGYS'ye bağlamayı gösterir; böylece 27001 uygulamasını güçlendirir.

Eğitim sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Bu belge tamamlanan modülleri ve risk atölyelerini kayıt altına alır. Resmi sınav talep edenler için sınav başvurusu ve ücreti ilgili belgelendirme kuruluşuna aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika