ISO/IEC 27001:2022
ISO/IEC 27001 iç tetkikçi eğitimi
ISO/IEC 27001, bilgi güvenliği yönetim sisteminin (BGYS) şartları karşılayıp karşılamadığının ve etkin biçimde uygulanıp uygulanmadığının planlı aralıklarla yapılan iç tetkiklerle değerlendirilmesini ister. Bu eğitim, riskleri ve kontrolleri kanıta dayalı olarak sorgulayabilen iç tetkikler yürütmek için gereken bilgi ve teknikleri kazandırır. Eğitimi herkese açık programlarımızda veya kurumunuza özel olarak düzenleyebiliriz.
Eğitimin amacı
BGYS’de iç tetkik; risk değerlendirmesinin güncel olup olmadığını, seçilen kontrollerin Uygulanabilirlik Bildirgesi’nde belirtildiği gibi uygulanıp uygulanmadığını ve bilgi güvenliği performansının izlenip izlenmediğini doğrular. İyi bir iç tetkik, kontrollerin yalnızca tanımlandığını değil, günlük işlerde gerçekten uygulandığını gösteren kanıtlar arar.
Eğitim, 2024’te yayımlanan iklim eylemi değişikliğiyle (Amd 1:2024) birlikte ISO/IEC 27001:2022’yi esas alır. Standardın Ek A’sındaki 93 kontrol organizasyonel, insana yönelik, fiziksel ve teknolojik olmak üzere dört temada gruplanır. Sistem kurulumu ve belgelendirmeye hazırlık için ISO/IEC 27001 danışmanlığı sayfamıza, kişisel veriler için KVKK uyum danışmanlığı sayfamıza bakabilirsiniz.
Kimler katılmalı?
- Kuruluşunda BGYS iç tetkiklerinde görev alacak veya almak isteyen çalışanlar
- Bilgi güvenliği yöneticileri, BT ve siber güvenlik ekipleri
- Risk, uyum, iç kontrol ve kişisel verilerin korunması birimlerinde çalışan uzmanlar
- Teknik olmayan birimlerden iç tetkik ekibine katılacak çalışanlar
Eğitim içeriği
Program, şartları anlamaktan bulguların takibine kadar bir iç tetkikin tüm aşamalarını uygulamalı örnekler üzerinden izler:
ISO/IEC 27001 şartları
Bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme maddelerinin tetkik açısından yorumlanması.
Risk, Uygulanabilirlik Bildirgesi ve Ek A
Risk değerlendirme ve işleme sürecinin, Uygulanabilirlik Bildirgesi’nin ve kontrollerin uygulandığına dair kanıtların nasıl tetkik edileceği.
ISO 19011 tetkik ilkeleri
Dürüstlük, tarafsız sunum, gerekli mesleki özen, gizlilik, bağımsızlık ve kanıta dayalı yaklaşım gibi ilkeler; hassas bilgilere erişimde gizlilik.
İç tetkik programı ve tetkik planı
Programın bilgi güvenliği risklerine, olaylara ve önceki tetkik sonuçlarına göre önceliklendirilmesi; tetkik planı ve kontrol listeleri.
Kanıt toplama ve görüşme teknikleri
Politika ve kayıt incelemesi, yapılandırmaların gözlemi, erişim ve olay kayıtlarından örnekleme; iç tetkikin teknik güvenlik testlerinden farkı.
Uygunsuzluk yazımı
Bulguların şart, kanıt ve uygunsuzluk ifadesiyle açık, doğrulanabilir ve tarafsız biçimde yazılması; tetkik raporu.
Düzeltici faaliyet takibi
Düzeltme, kök neden analizi ve düzeltici faaliyet arasındaki fark; risk işleme planıyla ilişki ve etkinliğin doğrulanması.
Vaka çalışmaları
Herkese açık eğitimlerde kurgusal bir kuruluş senaryosu, kuruma özel eğitimlerde kendi kontrolleriniz üzerinde kontrol tetkiki, görüşme canlandırmaları ve bulgu yazma alıştırmaları.
Öğrenme kazanımları
Eğitimi tamamlayan katılımcılar:
- ISO/IEC 27001 şartlarını ve Ek A kontrollerini tetkik edilebilir sorulara dönüştürebilir
- Risk değerlendirmesi, risk işleme ve Uygulanabilirlik Bildirgesi arasındaki tutarlılığı değerlendirebilir
- Bir iç tetkiki ISO 19011 rehberliğine uygun olarak planlayabilir ve yürütebilir
- Açık, doğrulanabilir ve tarafsız bulgular yazabilir
- Düzeltici faaliyetlerin etkinliğini değerlendirebilir
Sınav, sertifika ve takvim
Eğitimin süresi, takvimi ve katılım biçimi ile varsa sınav koşulları eğitim programında ve kayıt sırasında bildirilir. Eğitimi tamamlayan katılımcılara HENA tarafından katılım sertifikası verilir.
Katılım sertifikası, eğitimin tamamlandığını gösterir; bir belgelendirme kuruluşu adına denetçi olarak görev yapma yetkisi vermez ve kişi belgelendirmesi yerine geçmez. Personel belgelendirmesi, ISO/IEC 17024’e göre akredite personel belgelendirme kuruluşlarınca yapılır. Tüm programlar için eğitimlerimiz sayfasına bakabilirsiniz.
Takvim ve kayıt bilgisi veya kurumunuza özel eğitim için teklif formunu doldurarak katılımcı sayınızı bize iletebilirsiniz.
Kuruma özel eğitim ve iç tetkik desteği
Eğitimi kurumunuza özel olarak da düzenleyebiliriz. Kuruma özel eğitimlerde vaka çalışmaları kendi risk değerlendirmeniz, Uygulanabilirlik Bildirgeniz ve kayıtlarınız üzerinden, gizlilik gözetilerek yürütülür; ekibiniz eğitim sırasında ilk iç tetkik planını ve kontrol listelerini birlikte hazırlayabilir.
İsterseniz eğitim, ISO/IEC 27001 danışmanlığı projesinin bir parçası olarak planlanır: iç tetkik programının kurulması, ilk iç tetkiklerin ekibinizle birlikte yürütülmesi ve belgelendirme tetkikine hazırlık aynı proje içinde ele alınır.
Sıkça sorulan sorular
İç tetkikçi eğitimi sertifikası beni belgelendirme denetçisi yapar mı?
Hayır. Bu eğitim kendi kuruluşunuzda iç tetkik yapmanıza yönelik bilgi ve teknikleri kazandırır. Bir belgelendirme kuruluşunda denetçi olarak görev almak için ayrıca eğitim, iş ve tetkik deneyimi ile kuruluşun yetkinlik değerlendirmesi gibi şartların karşılanması gerekir.
Katılmak için ileri düzey teknik bilgi gerekir mi?
Şart değildir; ancak temel bilgi teknolojileri kavramlarına aşinalık yararlıdır ve önerilen ön bilgi eğitim programında belirtilir. İç tetkik, sızma testi gibi teknik güvenlik testlerinin yerine geçmez; kontrollerin uygulandığına ve etkin olduğuna dair kanıtları değerlendirir.
Eğitimde kuruluşumuzun iç tetkik programı hazırlanabilir mi?
Evet, kuruma özel eğitimlerde. Herkese açık eğitimler genel örnekler ve kurgusal vaka çalışmaları üzerinden yürütülür. Kuruma özel eğitimlerde ise ekibinizle birlikte kendi iç tetkik programınız ve kontrol listeleriniz üzerinde çalışabilir, isterseniz ilk iç tetkikleri danışmanlık kapsamında birlikte yürütebiliriz.
İlgili hizmetler
- ISO/IEC 27001 danışmanlığıBilgi güvenliği yönetim sisteminizi risk temelli olarak kuruyor ve belgelendirme tetkikine hazırlıyoruz.
- Kurumsal eğitimlerBaşdenetçi, iç tetkikçi ve temel standart eğitimleri — herkese açık veya kurumunuza özel.
- ISO 9001 iç tetkikçi eğitimiKalite yönetim sisteminde iç tetkikleri ISO 19011 rehberliğiyle planlamayı, yürütmeyi ve raporlamayı öğrenin.
Kurumunuz için doğru adımı birlikte planlayalım.
İhtiyacınızı kısaca anlatın; mevcut durumunuzu değerlendirip size özel bir yol haritası ve teklif hazırlayalım.