ISO/IEC 27005 Risk Yöneticisi Eğitimi

Eğitim Hakkında

ISO/IEC 27005 risk yönetim sürecini adım adım uygulayan risk yöneticisi becerileri

ISO/IEC 27005 Risk Yöneticisi Eğitimi, bilgi güvenliği risk yönetim sürecini bir kurumda uygulama ve yönetme yetkinliği kazandırır. ISO/IEC 27005:2022 temelinde bağlamın belirlenmesi, risk değerlendirme, risk işleme ve risk iletişimi uygulamalı olarak işlenir. Program, risk kriterlerinin kurulmasından risk işleme planı ve Uygulanabilirlik Bildirimine (SoA) kadar süreci ISO 27001 BGYS ile bütünleştirmeye odaklanır.

Süre ve Format

3 Gün. Her gün dört modül; risk değerlendirme uygulamaları, risk tabloları ve işleme planı atölyeleriyle işlenir.

Seviye

Orta Seviye — ISO/IEC 27005 risk yönetim sürecini kurumda uygulayan ve yöneten risk yöneticisi programı

Öğrenme Metodu

Örnek kurum senaryoları üzerinde risk değerlendirme, risk matrisi kurma ve risk işleme planı hazırlama atölyeleriyle uygulamalı çalışılır.

Neden Bu Eğitim?

🛠️Uygulama yetkinliği

ISO/IEC 27005 risk sürecini bağlamdan risk işlemeye kadar bir kurumda adım adım uygulamayı öğrenirsiniz.

📊Risk değerlendirme

Varlık ve olay temelli yaklaşımlarla risk belirler, etki ve olasılığı değerlendirip risk matrisi kurmayı kavrarsınız.

🔗BGYS'ye bağlama

Risk sürecini ISO 27001 madde 6.1.2 ile ilişkilendirip risk işleme planı ve SoA üretmeyi uygularsınız.

Anahtar Konular

iso 27005 risk yöneticisiiso 27005 risk managerbilgi güvenliği risk yönetimirisk değerlendirme eğitimirisk matrisi eğitimirisk işleme planıiso 27002 kontrol seçimiiso 27005 uygulamabgys risk yönetimisoa hazırlama

“İyi bir risk yöneticisi korkuyu değil kanıtı yönetir; her kararı ölçülebilir bir risk değerlendirmesine dayandırır.”

Ön Koşullar

Risk yöneticisi düzeyinden verim almak için önerilen bilgi ve deneyim

1

Temel risk bilgisi

ISO/IEC 27005 temel kavramlarına veya risk yönetimine aşinalık, uygulama atölyelerinden verim almanızı sağlar.

2

Bilgi güvenliği

ISO 27001 ve temel bilgi güvenliği kontrollerine aşinalık, risk işleme kararlarını bağlamıyla anlamanızı kolaylaştırır.

3

Analitik beceri

Sayısal ve niteliksel değerlendirme alışkanlığı, risk analizi ve matris kurma çalışmalarından verim almanızı sağlar.

4

Süreç ilgisi

Süreç ve prosedür yaklaşımına ilgi, risk yönetim adımlarını kurumda uygulamayı daha kolay kavramanıza yardımcı olur.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı ISO/IEC 27005 risk yönetim sürecini açıklar, temel kavramları uygular ve bir kurum için bağlamı ve risk kriterlerini pratik biçimde kurar.

Modül 1

ISO/IEC 27005 Süreci

ISO/IEC 27005:2022 sürecinin genel akışı
ISO 31000 risk çerçevesiyle ilişki
ISO 27001'e sağladığı yöntem desteği
Sürecin tekrar eden (iteratif) yapısı
Girdiler, faaliyetler ve çıktılar
Rol ve sorumlulukların net tanımı

Modül 2

Risk Kavramlarının Uygulanması

Varlık, tehdit, zafiyet ilişkisi
Olasılık ve sonuç değerlendirmesi
Doğal (inherent) ve artık risk
Risk sahipliği ve hesap verebilirlik
Kontrollerin risk üzerindeki etkisi
Risk iştahı ve tolerans uygulaması

Modül 3

Bağlamın Kurulması

İç ve dış bağlamın incelenip analizi
Risk yönetimi kapsam ve sınırları
Paydaşların ve beklentilerin belirlenmesi
Temel risk yönetimi süreçlerinin tanımı
Risk değerlendirme yaklaşımının seçimi
Bağlam dokümanının hazırlanması

Modül 4

Risk Kriterlerinin Tanımı

Etki (sonuç) ölçeklerinin kurulması
Olasılık ölçeklerinin kurulması
Risk seviyesi hesaplama kuralları
Risk kabul kriterlerinin tanımı
Nitel ve nicel değerlendirme ölçeği seçimi
Kriterlerin yönetim tarafından onayı

Günün hedefiKatılımcı olay ve varlık temelli yaklaşımlarla risk belirler, etki ve olasılığı değerlendirir, risk matrisiyle seviyeleri hesaplar ve riskleri önceliklendirip kaydeder.

Modül 1

Risk Belirleme Uygulaması

Varlık envanterinin oluşturulması
Olay temelli senaryoların yazımı
Tehdit ve zafiyet eşleştirmesi
Mevcut kontrollerin belirlenmesi
Risk kaynaklarının listelenmesi
Risk kaydına ilk girişlerin yapılması

Modül 2

Risk Analizi Uygulaması

Etkinin belirlenen ölçekle değerlendirilmesi
Olasılığın belirlenen ölçekle değerlendirilmesi
Nitel analiz yönteminin uygulanması
Nicel analiz ve beklenen kayıp tahmini
Analiz varsayımlarının kaydedilmesi
Analiz sonuçlarının doğrulanması

Modül 3

Risk Matrisi ve Seviyeler

Risk değerlendirme matrisinin tasarlanması
Etki-olasılık kesişiminden seviye bulma
Renk kodlu risk gösteriminin kullanımı
Risk seviyelerinin yorumlanması
Matrisin kurum kriterlerine uyarlanması
Analiz sonuçlarının görselleştirilmesi

Modül 4

Değerlendirme ve Önceliklendirme

Risk seviyelerinin kriterle karşılaştırılması
Risklerin önem sırasına göre önceliklendirilmesi
Kabul edilebilir risklerin ayrılması
İşlenecek risklerin belirlenmesi
Risk kaydının (register) güncellenmesi
Değerlendirme raporunun hazırlanması

Günün hedefiKatılımcı risk işleme seçeneklerini uygular, ISO 27002 kontrollerini seçer, risk işleme planı ve SoA hazırlar, risk iletişimini kurar ve süreci izleyip gözden geçirir.

Modül 1

Risk İşleme Seçeneklerinin Uygulanması

Riski değiştirme ve kontrol ekleme
Riski kabullenme kararı ve gerekçesi
Riskten kaçınma (avoid) yaklaşımı
Riski paylaşma ve transfer (share)
Seçenekler arası fayda-maliyet
Artık (residual) riskin hesaplanması

Modül 2

Kontrol Seçimi (ISO 27002)

ISO 27002:2022 kontrol setinin yapısı
Risklere uygun kontrollerin seçimi
Organizasyonel ve teknik kontroller
Kontrol gerekçelerinin belgelenmesi
Kontrol etkinliğinin öngörülmesi
Seçilen kontrollerin gerekçeli kaydı

Modül 3

Risk İşleme Planı ve SoA

Risk işleme planının yapısı ve içeriği
Uygulama sorumluluk ve takvimi
Uygulanabilirlik Bildirimi (SoA) hazırlama
Dahil etme ve hariç tutma gerekçeleri
Risk sahibinin artık riski onayı
Planın yönetim onayına sunulması

Modül 4

İzleme, Gözden Geçirme ve İletişim

Risklerin ve kontrollerin izlenmesi
Değişen bağlamın yeniden değerlendirmesi
Periyodik gözden geçirme takvimi
Risk kaydının güncel tutulması
Paydaşlara düzenli risk raporlaması
Sürekli iyileştirme (PUKÖ) döngüsü

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

27005 süreci

ISO/IEC 27005 risk yönetim sürecini girdileri, faaliyetleri ve çıktılarıyla kurumda adım adım uygularsınız.

✅

Bağlam ve kriter

Risk yönetiminin bağlamını kurar, etki ve olasılık ölçekleri ile risk kabul kriterlerini pratik biçimde tanımlarsınız.

✅

Risk belirleme

Varlık ve olay temelli yaklaşımlarla risk senaryoları oluşturur ve riskleri risk kaydına sistematik işlersiniz.

✅

Risk analizi

Etki ve olasılığı nitel ve nicel yöntemlerle değerlendirir ve bir risk matrisiyle seviyeleri hesaplarsınız.

✅

Önceliklendirme

Riskleri kriterlerle karşılaştırır, önceliklendirir ve işlenecek riskleri gerekçesiyle belirlersiniz.

✅

Risk işleme

Değiştirme, kabul, kaçınma ve paylaşma seçeneklerini uygular ve uygun ISO 27002 kontrollerini seçersiniz.

✅

SoA ve plan

Risk işleme planını ve Uygulanabilirlik Bildirimini (SoA) hazırlar ve artık riski onaya sunarsınız.

✅

Süreç İzleme

Risk sürecini izler, değişen bağlamı yeniden değerlendirir ve risk iletişimi ile raporlamayı yönetirsiniz.

Kimler İçin Uygundur?

Bilgi güvenliği uzmanları
risk ve uyum sorumluları
BGYS ekip üyeleri
iç denetçiler
danışmanlar ile risk yönetim sürecini kurumda uygulayıp yönetmek isteyen profesyoneller için uygundur

Sıkça Sorulan Sorular

ISO/IEC 27005 Risk Yöneticisi eğitimi kimler içindir?

Eğitim bilgi güvenliği uzmanları, risk ve uyum sorumluları, BGYS ekip üyeleri, iç denetçiler ve danışmanlar ile risk yönetim sürecini kurumda uygulamak isteyen profesyoneller içindir. Temel risk kavramlarına veya ISO 27005'e aşinalık önerilir ancak zorunlu değildir.

Risk Yöneticisi ile Temel eğitim arasındaki fark nedir?

Temel eğitim kavramları ve süreci anlamaya odaklanır. Risk Yöneticisi eğitimi ise bu süreci kurumda uygulamaya; risk değerlendirmeyi, risk matrisi kurmayı ve risk işleme planı ile SoA üretmeyi yönetmeye odaklanır. Uygulamalı atölyeler içerir ve orta seviyededir.

Risk Yöneticisi ile Lider Risk Yöneticisi farkı nedir?

Risk Yöneticisi süreci uygulamaya ve yönetmeye odaklanır. Lider Risk Yöneticisi ise programı kurumda baştan kurma, yönetişim tasarımı ve OCTAVE, MEHARI, EBIOS yöntemlerine hakimiyetle ekibe liderlik etmeye odaklanır; daha stratejik ve program düzeyindedir.

Eğitim ISO 27001 ile nasıl ilişkilidir?

ISO/IEC 27005, ISO 27001'in madde 6.1.2 risk değerlendirme ve 6.1.3 risk işleme gereksinimlerine yöntem desteği verir. Eğitim risk sürecini SoA ve risk işleme planıyla BGYS'ye bağlamayı uygulamalı gösterir; böylece 27001 belgelendirmesine hazırlığı güçlendirir.

Eğitim sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Bu belge tamamlanan modülleri ve risk atölyelerini kayıt altına alır. Resmi sınav talep edenler için sınav başvurusu ve ücreti ilgili belgelendirme kuruluşuna aittir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika