PCI Compliance Essentials Eğitimi

Eğitim Hakkında

PCI DSS v4.0'ın temelleri: kapsam, kart verisi ortamı ve uyum yolculuğu

Bu eğitim, kart verisi işleyen kurumların PCI DSS v4.0 uyumunu doğru temelde kurmasını hedefler. Katılımcılar kart verisi ortamını (CDE) belirlemeyi, PAN ve hassas kimlik doğrulama verisini ayırt etmeyi, standardın 12 gereksinimini ve 6 kontrol hedefini öğrenir. Ağ segmentasyonu, tokenizasyon, şifreleme ve kayıt yönetimi ele alınır; SAQ türleri, merchant seviyeleri, QSA ve ASV rolleri somut örneklerle işlenir. Program sonunda kapsamı daraltacak yol haritası çıkarılır.

Süre ve Format

3 Gün. Yüz yüze veya canlı online; her gün teorik anlatım, standart maddelerinin yorumlanması ve gerçek senaryolarla uygulamalı çalışma içerir.

Seviye

Temel Seviye — kart verisi işleyen ekipler için PCI DSS v4.0 gereksinimlerinin temel düzeyde kavranması.

Öğrenme Metodu

Standart maddesi okuma, kapsam belirleme atölyeleri, SAQ alıştırmaları ve örnek denetim bulgularının çözümlenmesiyle uygulamalı ilerler.

Neden Bu Eğitim?

🎯Kapsamı Doğru Çizin

CDE'yi ve segmentasyonu doğru belirlemek denetim yükünü ve maliyeti ciddi ölçüde düşürür; bu eğitim kapsamı daraltmayı öğretir.

🛡️Veri İhlalini Önleyin

Kart verisi ihlalleri ağır ceza ve itibar kaybı getirir; 12 gereksinim doğru uygulandığında saldırı yüzeyi belirgin biçimde azalır.

📋Denetime Hazır Olun

SAQ, ROC ve AOC sürecini anlamak, QSA denetimine eksiksiz girmeyi ve uyum beyanını zamanında sunmayı mümkün kılar.

Anahtar Konular

pci dss eğitimipci compliance eğitimipci dss v4.0ödeme kartı güvenliğikart verisi güvenliğisaq eğitimicde kapsam belirlemepci uyumkurumsal uyum eğitimiveri güvenliği eğitimi

“Uyum bir kerelik proje değil, kart verisini her gün koruyan sürekli bir disiplindir; doğru kapsam ile başlar, güçlü kontrollerle yaşar.”

Ön Koşullar

Eğitime başlamadan önce faydalı olacak temel bilgi ve deneyimler

1

Temel BT Bilgisi

Ağ, sunucu ve uygulama kavramlarına dair genel bir farkındalık izlenceyi takip etmeyi kolaylaştırır.

2

Ödeme Akışı Farkındalığı

Kurumun kart verisini nerede aldığını ve işlediğini genel hatlarıyla bilmek örnekleri anlamayı sağlar.

3

Güvenlik Temelleri

Şifreleme, erişim kontrolü ve güvenlik duvarı gibi temel kavramlara aşinalık yararlı olur.

4

İngilizce Okuma

Standart metni İngilizce yayımlandığından temel okuma düzeyi terimleri izlemeyi destekler.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcılar PCI DSS v4.0'ın yapısını, kart verisi türlerini ve kart verisi ortamını (CDE) tanımlamayı öğrenir; kurumlarının uyum kapsamını doğru çizebilir hale gelir.

Modül 1

PCI DSS'e Giriş ve Ekosistem

PCI SSC, kart şemaları (Visa, Mastercard) ve standardın amacı
PCI DSS v3.2.1'den v4.0'a geçiş ve temel değişiklikler
Merchant ve service provider (hizmet sağlayıcı) ayrımı
Merchant seviyeleri (Level 1-4) ve yıllık işlem hacmi eşikleri
Uyumun zorunluluğu: edinen banka ve kart şeması yaptırımları
Uyumsuzluk sonuçları: para cezası, denetim ve itibar riski

Modül 2

Kart Verisi ve Hassas Veri

PAN (birincil hesap numarası) tanımı ve maskeleme kuralları
Hassas kimlik doğrulama verisi (SAD): CVV, track, PIN
Yetkilendirme sonrası SAD saklama yasağının gerekçesi
Kart sahibi verisi (CHD) ile SAD arasındaki temel fark
PAN'ın okunamaz hale getirilmesi: hash, truncation, şifreleme
Veri akış diyagramı ile kart verisinin izlenmesi

Modül 3

Kapsam Belirleme ve Segmentasyon

Kart verisi ortamının (CDE) sınırlarının tanımlanması
Bağlı sistemler (connected-to) ve etkileyen sistemler kavramı
Ağ segmentasyonu ile kapsamın daraltılması mantığı
Segmentasyon testi ile izolasyonun doğrulanması
Kapsam azaltmanın denetim maliyetine etkisi
Yıllık kapsam gözden geçirme zorunluluğu

Modül 4

Uyum Modeli: SAQ, ROC, AOC

Öz değerlendirme anketi (SAQ) türleri ve seçim kriterleri
SAQ A, A-EP, B, C, D arasındaki temel farklar
Uyum Raporu (ROC) ve ne zaman gerekli olduğu
Uyum Beyanı (AOC) ve edinen bankaya sunumu
QSA ve ISA rollerinin denetimdeki yeri
ASV tarafından yapılan dış ağ taramaları

Günün hedefiKatılımcılar PCI DSS v4.0'ın 12 gereksinimini ve 6 kontrol hedefini ayrıntılı inceler; her gereksinimin teknik ve yönetsel karşılıklarını kurumlarına uyarlamayı öğrenir.

Modül 1

Güvenli Ağ ve Sistem Kurma

Gereksinim 1: ağ güvenlik kontrolleri ve güvenlik duvarı kuralları
Gereksinim 2: varsayılan parola ve güvenli yapılandırmalar
Yapılandırma standartları ve sistem sertleştirme (hardening)
Gereksiz servis, port ve protokollerin devre dışı bırakılması
Kablosuz ağ güvenliği ve CDE'ye bağlantı kuralları
Değişiklik yönetimi ve yapılandırma envanteri

Modül 2

Kart Verisinin Korunması

Gereksinim 3: saklanan kart verisinin korunması ve şifreleme
Anahtar yönetimi: üretim, dağıtım, saklama ve rotasyon
Tokenizasyon ile PAN'ın kapsam dışına çıkarılması
Gereksinim 4: açık ağlar üzerinde güçlü kriptografi (TLS)
Veri saklama ve imha politikası ile saklama süresi
Disk, yedek ve log ortamlarında PAN'ın korunması

Modül 3

Erişim Kontrolü ve Kimlik

Gereksinim 7: bilinmesi gereken ilkesine göre erişim
Gereksinim 8: benzersiz kimlik ve çok faktörlü kimlik doğrulama
v4.0 ile genişleyen MFA ve parola uzunluğu kuralları
Gereksinim 9: fiziksel erişim ve ortam güvenliği
Hesap yaşam döngüsü: açma, yetki, iptal ve gözden geçirme
Paylaşımlı ve servis hesaplarının yönetimi

Modül 4

İzleme, Test ve Zafiyet Yönetimi

Gereksinim 5: zararlı yazılıma karşı koruma ve güncelleme
Gereksinim 6: güvenli yazılım geliştirme ve yama yönetimi
Gereksinim 10: kayıt tutma, saklama ve günlük inceleme
Gereksinim 11: zafiyet taraması ve sızma testi periyotları
Gereksinim 12: bilgi güvenliği politikası ve farkındalık
Olay müdahale planı ve yıllık test zorunluluğu

Günün hedefiKatılımcılar boşluk analizi yapmayı, bir uyum yol haritası kurmayı ve v4.0'ın yeni yaklaşımları ile uyumu sürekli kılmayı öğrenir; denetime hazır bir dokümantasyon seti oluşturur.

Modül 1

Boşluk Analizi ve Yol Haritası

Mevcut durumun gereksinimlere göre haritalanması
Uyum boşluklarının risk önceliğine göre sıralanması
Telafi edici kontroller (compensating controls) kullanımı
Sorumluluk matrisi ve service provider paylaşımlı sorumluluk
Bütçe, kaynak ve zaman planı oluşturma
İç paydaş ve yönetim onayının sağlanması

Modül 2

PCI DSS v4.0 Yenilikleri

Tanımlanmış yaklaşım (defined) ve özelleştirilmiş yaklaşım
Özelleştirilmiş yaklaşımda hedef odaklı kontrol tasarımı
Hedeflenmiş risk analizi (targeted risk analysis) kavramı
2025 sonrası zorunlu hale gelen yeni gereksinimler
Betik ve ödeme sayfası güvenliği (6.4.3 ve 11.6.1)
Kimlik doğrulama ve MFA kurallarının güçlendirilmesi

Modül 3

Dokümantasyon ve Kanıt Yönetimi

Politika, prosedür ve standartların yazımı
Her gereksinim için kanıt (evidence) toplama disiplini
Ağ diyagramı ve veri akış diyagramının güncel tutulması
SAQ'nun doğru türle eksiksiz doldurulması
Denetçiye sunulacak dosya setinin düzenlenmesi
Bulguların kapatılması ve yeniden test süreci

Modül 4

Sürekli Uyum ve Operasyon

Uyumun yıllık değil sürekli bir süreç olarak kurgulanması
Günlük, haftalık, çeyreklik ve yıllık kontrol takvimi
İş rollerine uyum görevlerinin atanması (BAU yaklaşımı)
Değişiklik ve yeni proje için kapsam etkisi değerlendirmesi
Farkındalık eğitimi ve phishing testlerinin sürdürülmesi
Uyum metriklerinin yönetime raporlanması

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

CDE Belirleme

Kart verisi ortamını ve bağlı sistemleri doğru tanımlayarak uyum kapsamını gerçekçi biçimde çizebilirsiniz.

✅

12 Gereksinim Hakimiyeti

Standardın 12 gereksinimini ve 6 kontrol hedefini kurumunuzun süreçlerine uyarlayabilecek düzeyde kavrarsınız.

✅

Doğru SAQ Seçimi

İş modelinize uygun SAQ türünü seçip eksiksiz doldurabilir, uyum beyanınızı doğru temelde hazırlarsınız.

✅

Segmentasyon Mantığı

Ağ segmentasyonu ile kapsamı daraltarak denetim yükünü ve uyum maliyetini azaltabilirsiniz.

✅

Veri Koruma Yöntemleri

Şifreleme, tokenizasyon ve maskeleme yöntemlerini doğru senaryoda uygulayarak PAN'ı güvenceye alırsınız.

✅

v4.0 Geçiş Yeterliği

Özelleştirilmiş yaklaşım ve hedeflenmiş risk analizi gibi v4.0 yeniliklerini ekibinize aktarabilirsiniz.

✅

Boşluk Analizi

Mevcut durumu gereksinimlerle karşılaştırıp öncelikli bir uyum yol haritası oluşturabilirsiniz.

✅

Denetime Hazırlık

Kanıt setini ve dokümantasyonu düzenleyerek QSA denetimine ve edinen banka talebine hazır olursunuz.

Kimler İçin Uygundur?

Ödeme sistemleri
e-ticaret
finans ve perakende alanında çalışan BT
güvenlik
uyum
operasyon personeli; PCI DSS uyum sürecine yeni başlayan proje ekipleri ve kart verisi işleyen KOBİ yöneticileri

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Kart verisi işleyen, ileten veya saklayan e-ticaret, finans ve perakende kurumlarındaki BT, güvenlik, uyum ve operasyon personeli için uygundur. PCI DSS sürecine yeni başlayan proje ekipleri ve KOBİ yöneticileri de hedef kitlededir. Standart terimlerine aşina olmak gerekmez; temel düzeyden başlanır.

Eğitim hangi PCI DSS sürümünü kapsıyor?

Eğitim güncel PCI DSS v4.0 sürümünü temel alır. v3.2.1'den geçiş farkları, özelleştirilmiş yaklaşım, hedeflenmiş risk analizi ve 2025 sonrası zorunlu hale gelen yeni gereksinimler ayrıca işlenir. Böylece katılımcılar hem mevcut sürümü hem de geçiş yükümlülüklerini öğrenir.

Eğitim süresi ve formatı nedir?

Program 3 gün sürer ve yüz yüze veya canlı online olarak verilebilir. Her gün teorik anlatımın yanında kapsam belirleme atölyeleri, SAQ doldurma alıştırmaları ve örnek denetim bulgularının çözümlenmesini içerir. İçerik kurumun ödeme akışına özel olarak uyarlanabilir.

Eğitim sonunda sertifika veriliyor mu?

Programı tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Bu eğitim bir QSA veya ISA unvanı vermez; resmi PCI SSC sınavlarına girmek isteyenler için sınav başvurusu ve ücreti ilgili kuruma aittir. Eğitim kurumsal uyum yetkinliği kazandırmaya odaklanır.

Teknik olmayan uyum personeli de katılabilir mi?

Evet. Eğitim hem teknik hem yönetsel gereksinimleri dengeli biçimde ele aldığından uyum, risk ve operasyon ekipleri de rahatça takip edebilir. Teknik modüller kavramsal düzeyde anlatılır; derin ağ veya kodlama bilgisi ön koşul değildir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika