ISC2 Certified Cloud Security Professional Eğitimi

(ISC)², bulut güvenliği profesyonellerinin bulut güvenliği tasarımı, uygulaması, mimarisi, operasyonları, kontrolleri ve düzenleyici çerçevelerle uyumluluk konularında gerekli bilgi, beceri ve yeteneklere sahip olmasını sağlamak için Sertifikalı Bulut Güvenliği Uzmanı (CCSP) kimlik bilgilerini geliştirdi. Bir CCSP, bilgi güvenliği uzmanlığını bir bulut bilişim ortamına uygular ve bulut güvenliği mimarisi, tasarımı, operasyonları ve hizmet orkestrasyonu konusundaki yetkinliğini gösterir. Bu mesleki yeterlilik, dünya çapında tanınan bir bilgi birikimine göre ölçülür.

CCSP Ortak Bilgi Grubunda (CBK) yer alan konular, bulut güvenliği alanındaki tüm disiplinlerle ilgili olmasını sağlar. Başarılı adaylar aşağıdaki 6 alanda yetkindir:

• Bulut Kavramları, Mimarisi ve Tasarımı
• Bulut Veri Güvenliği
• Bulut Platformu ve Altyapı Güvenliği
• Bulut Uygulama Güvenliği
• Bulut Güvenliği Operasyonları
• Yasal, Risk ve Uyumluluk

(ISC)² CCSP sınavı bu eğitime dahildir.

Katılımcıların bilgi teknolojisi alanında en az 5 yıllık kümülatif ücretli iş deneyimine sahip olması gerekir; bunun 3 yılı bilgi güvenliği alanında ve 1 yılı CCSP CBK'nin 6 alanından 1 veya daha fazlasında olmalıdır. CSA'nın CCSK sertifikasını kazanmak, CCSP CBK'nin 6 alanından 1 veya daha fazlasında 1 yıllık deneyim yerine geçebilir. (ISC)²'nin CISSP sertifikasını kazanmak, tüm CCSP deneyiminin yerine geçebilir

CCSP olmak için gerekli deneyime sahip olmayan bir aday, CCSP sınavını başarıyla geçerek (ISC)² Associate olabilir. (ISC)² Associate'in 5 yıllık gerekli deneyimi kazanması için 6 yılı olacaktır. CCSP deneyim gereksinimleri ve yarı zamanlı çalışma ve stajların nasıl hesaba katılacağı hakkında daha fazla bilgiyi www.isc2.org/Certifications/CCSP/experience-requirements adresinden edinebilirsiniz.

"ISC2 Certified Cloud Security Professional" eğitimi ile aşağıdakilerin nasıl yapılacağını öğreneceksiniz:

• Bulut bilişimin NIST tanımını karşılamak için gereken beş özelliği tanımlayın ve açıklayın
• Bulut bilişim referans mimarisine dahil edilen çeşitli hizmet olarak dağıtım modelleri ve çerçeveleri arasında ayrım yapın
• Durağan ve hareket halindeki verileri korumaya yönelik stratejileri açıklama
• Verileri korumaya, verileri sınıflandırmaya, mahremiyeti sağlamaya, düzenleyici kurumlarla uyumluluğu sağlamaya ve yasal soruşturmalar sırasında yetkililerle çalışmaya yönelik stratejileri tartışın
• Kurumsal veri merkezindeki adli analiz ile bulut bilişim ortamları arasındaki zıtlık

CCSP Domain Ağırlığı:

• Bulut Kavramları, Mimarisi ve Tasarımı %17
• Bulut Veri Güvenliği %20
• Bulut Platformu ve Altyapı Güvenliği %17
• Bulut Uygulama Güvenliği %17
• Bulut Güvenliği Operasyonları %16
• Yasal, Risk ve Uyumluluk %13

Alan 1: Bulut Kavramları, Mimarisi ve Tasarımı

• Bulut Bilişim Kavramlarını Anlayın
  • Bulut Bilişim Tanımları
  • Bulut Bilişim Rolleri (ör. bulut hizmeti müşterisi, bulut hizmeti sağlayıcısı, bulut hizmeti ortağı, bulut hizmeti komisyoncusu)
  • Temel Bulut Bilişim Özellikleri (örneğin, isteğe bağlı self-servis, geniş ağ erişimi, çoklu kiracılık, hızlı esneklik ve ölçeklenebilirlik, kaynak havuzu oluşturma, ölçülen hizmet)
  • Yapı Taşı Teknolojileri (ör. sanallaştırma, depolama, ağ oluşturma, veritabanları, orkestrasyon)
• Bulut Referans Mimarisini Tanımlayın
• Bulut Bilişimle İlgili Güvenlik Kavramlarını Anlayın
• Güvenli Bulut Bilişimin Tasarım İlkelerini Anlayın
  • Bulut Güvenli Veri Yaşam Döngüsü
  • Bulut tabanlı Felaket Kurtarma (DR) ve İş Sürekliliği (BC) planlaması
  • Maliyet Fayda Analizi
  • İşlevsel Güvenlik Gereksinimleri (ör. taşınabilirlik, birlikte çalışabilirlik, satıcıya bağlılık)
  • Farklı Bulut Kategorileri için Güvenlik Hususları (ör. Hizmet Olarak Yazılım (SaaS), Hizmet Olarak Altyapı (IaaS), Hizmet Olarak Platform (PaaS))
• Bulut Hizmeti Sağlayıcılarını Değerlendirin
  • Kriterlere Göre Doğrulama (örneğin, Uluslararası Standardizasyon Örgütü/Uluslararası Elektroteknik Komisyonu (ISO/IEC) 27017, Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (PCI DSS))
  • Sistem/alt sistem Ürün Sertifikaları (örneğin, Ortak Kriterler (CC), Federal Bilgi İşleme Standardı (FIPS) 140-2)
  • Bulut Bilişim Faaliyetleri
  • Bulut Hizmeti Yetenekleri (örneğin, uygulama yeteneği türleri, platform yeteneği türleri, altyapı yeteneği türleri)
  • Bulut Hizmeti Kategorileri (örneğin, Hizmet Olarak Yazılım (SaaS), Hizmet Olarak Altyapı (IaaS),
  • Hizmet Olarak Platform (PaaS))
  • Bulut Dağıtım Modelleri (ör. genel, özel, hibrit, topluluk)
  • Bulutta Paylaşılan Hususlar (ör. birlikte çalışabilirlik, taşınabilirlik, tersine çevrilebilirlik, kullanılabilirlik, güvenlik, gizlilik, esneklik, performans, yönetişim, bakım ve sürüm oluşturma, hizmet düzeyleri ve Hizmet Düzeyi Anlaşmaları (SLA), denetlenebilirlik, mevzuat)
  • İlgili Teknolojilerin Etkisi (örneğin, makine öğrenimi, yapay zeka, blockchain,
  • Nesnelerin İnterneti (IoT), konteynerler, kuantum hesaplama)
  • Kriptografi ve Anahtar Yönetimi
  • Erişim Kontrolü
  • Veri ve Medya Temizleme (ör. üzerine yazma, kriptografik silme)
  • Ağ Güvenliği (ör. ağ güvenlik grupları)
  • Sanallaştırma Güvenliği (örn. hipervizör güvenliği, konteyner güvenliği)
  • Yaygın Tehditler
• Bulut Veri Kavramlarını Tanımlayın
  • Bulut Veri Yaşam Döngüsü Aşamaları
  • Veri Dağılımı
• Bulut Veri Depolama Mimarilerini Tasarlama ve Uygulama
  • Depolama Türleri (ör. uzun vadeli, geçici, ham disk)
  • Depolama Türlerine Yönelik Tehditler
• Veri Güvenliği Teknolojileri ve Stratejilerini Tasarlamak ve Uygulamak
• Veri Keşfinin Uygulanması
  • Yapılandırılmış Veri
  • Yapılandırılmamış Veri
• Veri Sınıflandırmasını Uygulayın
• Bilgi Hakları Yönetimini (IRM) Tasarlamak ve Uygulamak
  • Hedefler (ör. veri hakları, provizyon, erişim modelleri)
  • Uygun Araçlar (örneğin, sertifikaların verilmesi ve iptal edilmesi)

 Alan 2: Bulut Veri Güvenliği

• Şifreleme ve Anahtar Yönetimi
• Karma
• Maskeleme
• Tokenleştirme
• Veri Kaybını Önleme (DLP)
• Veri Gizleme
• Verilerin Kimlik Gizlenmesi (ör. anonimleştirme)
• Haritalama
• Etiketleme
• Hassas veriler (ör. Korunan Sağlık Bilgileri (PHI), Kişisel Olarak Tanımlanabilir Bilgiler (PII), kart sahibi verileri)
• Veri Saklama, Silme ve Arşivleme Politikalarını Planlayın ve Uygulayın
• Veri Saklama Politikaları
• Veri Silme Prosedürleri ve Mekanizmaları
• Veri Arşivleme Prosedürleri ve Mekanizmaları
• Yasal Bekletme
• Veri Olaylarının Denetlenebilirliği, İzlenebilirliği ve Hesap Verilebilirliğini Tasarlamak ve Uygulamak
  • Olay Kaynaklarının Tanımı ve Kimlik Atıf Gerekliliği
  • Veri Olaylarının Günlüğe Kaydedilmesi, Saklanması ve Analizi
  • Gözetim Zinciri ve İnkar Edilemezlik
• Bulut Altyapı Bileşenlerini Anlayın
• Güvenli Bir Veri Merkezi Tasarlayın
  • Mantıksal Tasarım (ör. kiracı bölümleme, erişim kontrolü)
  • Fiziksel Tasarım (ör. konum, satın alma veya inşa etme)
  • Çevresel Tasarım (ör. Isıtma, Havalandırma ve İklimlendirme (HVAC), çok satıcılı yol bağlantısı)
• Bulut Altyapısıyla İlişkili Riskleri Analiz Edin
• Güvenlik Kontrollerini Tasarlayın ve Planlayın
• Felaket Kurtarmayı (DR) ve İş Sürekliliğini (BC) Planlayın

Alan 3: Bulut Platformu ve Altyapı Güvenliği

• Fiziksel Çevre
• Ağ ve İletişim
• Hesapla
• Sanallaştırma
• Depolamak
• Yönetim Düzlemi
• Risk Değerlendirmesi ve Analizi
• Bulut Açıkları, Tehditler ve Saldırılar
• Sanallaştırma Riskleri
• Karşı Tedbir Stratejileri
• Fiziksel ve Çevresel Koruma (ör. şirket içi)
• Sistem ve İletişim Koruması
• Sanallaştırma Sistemleri Koruması
• Bulut Altyapısında Kimlik Doğrulama ve Yetkilendirme
• Denetim Mekanizmaları (örn. günlük toplama, paket yakalama)
• Bulut Ortamına İlişkin Riskler
• İş Gereksinimleri (ör. Kurtarma Süresi Hedefi (RTO), Kurtarma Noktası Hedefi (RPO), Kurtarma Hizmet Düzeyi (RSL))
• İş Sürekliliği/Felaket Kurtarma Stratejisi
• Planın Oluşturulması, Uygulanması ve Test Edilmesi

Alan 4: Bulut Uygulama Güvenliği

Uygulama Güvenliği için Eğitim ve Farkındalığın Savunucusu

• Bulut Geliştirmenin Temelleri
• Yaygın Tuzaklar
• Ortak Bulut Güvenlik Açıkları

• Güvenli Yazılım Geliştirme Yaşam Döngüsü (SDLC) Sürecini Tanımlayın
  • İş Gereksinimleri
  • Aşamalar ve Metodolojiler
• Güvenli Yazılım Geliştirme Yaşam Döngüsünü (SDLC) Uygulayın
• Bulut Yazılım Güvencesi ve Doğrulamasını Uygulayın
  • Fonksiyonel Test
  • Güvenlik Test Metodolojileri
• Doğrulanmış Güvenli Yazılım Kullanın
  • Onaylı Uygulama Programlama Arayüzleri (API)
  • Tedarik zinciri yönetimi
  • Üçüncü Taraf Yazılım Yönetimi
  • Doğrulanmış Açık Kaynak Yazılım
  • Geliştirme Sırasında Yaygın Güvenlik Açıklarından Kaçının
  • Buluta Özgü Riskler
  • Kalite Güvencesi
  • Tehdit Modellemesi
  • Yazılım Konfigürasyon Yönetimi ve Sürüm Oluşturma
• Bulut Uygulama Mimarisinin Özelliklerini Anlayın
• Tamamlayıcı Güvenlik bileşenleri (ör. Web Uygulaması Güvenlik Duvarı (WAF), Veritabanı Etkinliği İzleme)
• (DAM), Genişletilebilir İşaretleme Dili (XML) güvenlik duvarları, Uygulama Programlama Arayüzü (API) ağ geçidi)
  • Kriptografi
  • Korumalı alana alma
  • Uygulama Sanallaştırma ve Düzenleme
• Uygun Kimlik ve Erişim Yönetimi (IAM) Çözümleri Tasarlayın
  • Birleşik Kimlik
  • Kimlik Sağlayıcılar
  • Tek Oturum Açma (SSO)
  • Çok Faktörlü Kimlik Doğrulama
  • Bulut Erişim Güvenliği Aracısı (CASB)
• Bulut Ortamı için Fiziksel ve Mantıksal Altyapıyı Uygulamak ve Oluşturmak
  • Donanıma Özel Güvenlik Yapılandırma Gereksinimleri (örneğin, Temel Giriş Çıkış Sistemi (BIOS), sanallaştırma ve Güvenilir Platform Modülü (TPM), depolama denetleyicileri, ağ denetleyicileri için ayarlar)
  • Sanallaştırma Yönetim Araçlarının Kurulumu ve Konfigürasyonu
  • Sanal Donanıma Özgü Güvenlik Yapılandırma Gereksinimleri (ör. ağ, depolama, bellek, Merkezi İşlem Birimi (CPU)
  • Konuk İşletim Sistemi (OS) Sanallaştırma Araç Setlerinin Kurulumu
• Bulut Ortamı için Fiziksel ve Mantıksal Altyapının İşletilmesi
• Bulut Ortamı için Fiziksel ve Mantıksal Altyapıyı Yönetin

Alan 5: Bulut Güvenliği Operasyonları

• Uzaktan Erişim için Erişim Kontrolleri (ör. Uzak Masaüstü Protokolü (RDP), Güvenli Terminal Erişimi, Güvenli Kabuk (SSH))
• İşletim Sistemi (OS) Temel Uyumluluğu
• İzleme ve İyileştirme
• Yama Yönetimi
• Performans ve Kapasite İzleme (ör. ağ, bilgi işlem, depolama, yanıt süresi)
• Donanım İzleme (örn. Disk, Merkezi İşlem Birimi (CPU), fan hızı, sıcaklık)
• Ana Bilgisayar ve Konuk İşletim Sistemi (OS) Yedekleme ve Geri Yükleme İşlevlerinin Yapılandırması
• Ağ Güvenliği Kontrolleri (ör. güvenlik duvarları, İzinsiz Giriş Tespit Sistemleri (IDS), İzinsiz Giriş Önleme Sistemleri (IPS), bal küpleri, güvenlik açığı değerlendirmeleri, ağ güvenlik grupları)
• Yönetim Düzlemi (örneğin planlama, düzenleme, bakım)
• Yerel ve Uzaktan Erişim için Erişim Denetimini Yapılandırma (örneğin, Güvenli Klavye Video Faresi (KVM), konsol tabanlı erişim mekanizmaları, Uzak Masaüstü Protokolü (RDP))
• Güvenli Ağ Yapılandırması (örneğin, Sanal Yerel Alan Ağları (VLAN), Aktarım Katmanı Güvenliği (TLS), Dinamik Ana Bilgisayar Yapılandırma Protokolü (DHCP), Etki Alanı Adı Sistemi (DNS), Sanal Özel Ağ (VPN))
• Temel Çizgilerin Uygulanması Yoluyla İşletim Sisteminin (OS) Güçlendirilmesi (örn. Windows, Linux, VMware)
• Bağımsız Ana Bilgisayarların Kullanılabilirliği
• Kümelenmiş Ana Bilgisayarların Kullanılabilirliği (örneğin, Dağıtılmış Kaynak Planlama (DRS), Dinamik
• Optimizasyon (DO), depolama kümeleri, bakım modu, Yüksek Kullanılabilirlik)
• Konuk İşletim Sisteminin (OS) Kullanılabilirliği
• Değişim Yönetimi
• Süreklilik Yönetimi
• Bilgi Güvenliği Yönetimi
• Sürekli Hizmet İyileştirme Yönetimi
• Olay Yönetimi
• Sorun Yönetimi
• Sürüm Yönetimi
• Dağıtım Yönetimi
• Konfigürasyon Yönetimi
• Hizmet Seviyesi Yönetimi
• Kullanılabilirlik Yönetimi
• Kapasite Yönetimi
• Satıcılar
• Müşteriler
• Ortaklar
• Düzenleyiciler
• Diğer Paydaşlar
• Operasyonel Kontrolleri ve Standartları Uygulayın (örn. Bilgi Teknolojisi
• Altyapı Kütüphanesi (ITIL), Uluslararası Standardizasyon Örgütü/Uluslararası
• Elektroteknik Komisyonu (ISO/IEC) 20000-1)
• Dijital Adli Bilimi Destekleyin
  • Adli Veri Toplama Metodolojileri
  • Kanıt Yönetimi
  • Dijital Kanıtları Toplayın, Edinin ve Koruyun
• İlgili Taraflarla İletişimin Yönetilmesi
• Güvenlik Operasyonlarını Yönetin
• Güvenlik Operasyon Merkezi (SOC)
• Güvenlik Kontrollerinin İzlenmesi (örneğin, güvenlik duvarları, Saldırı Tespit Sistemleri (IDS),
• Saldırı Önleme Sistemleri (IPS), honeypot'lar, güvenlik açığı değerlendirmeleri, ağ güvenlik grupları)
• Günlük Yakalama ve Analizi (ör. Güvenlik Bilgileri ve Olay Yönetimi (SIEM), günlük yönetimi)
• Olay Yönetimi
  • Bulut Ortamındaki Yasal Gereksinimleri ve Benzersiz Riskleri Açıkça Belirtin
  • Gizlilik Sorunlarını Anlayın
  • Sözleşmeye Tabi ve Düzenlemeye Tabi Özel Veriler Arasındaki Fark (örneğin, Korunan Sağlık Bilgileri (PHI), Kişisel Olarak Tanımlanabilir Bilgiler (PII))
  • Özel Verilerle İlgili Ülkeye Özgü Mevzuat (ör. Korunan Sağlık Bilgileri (PHI), Kişisel Olarak Tanımlanabilir Bilgiler (PII))
  • Veri Gizliliğinde Yargısal Farklılıklar
  • Standart Gizlilik Gereksinimleri (ör. Uluslararası Standardizasyon Örgütü/Uluslararası Elektroteknik Komisyonu (ISO/IEC) 27018, Genel Kabul Görmüş Gizlilik İlkeleri (GAPP), Genel Veri Koruma Yönetmeliği (GDPR))
• Bulut Ortamı için Denetim Sürecini, Metodolojilerini ve Gerekli Uyarlamaları Anlayın

Alan 6: Yasal, Risk ve Uyumluluk

• Çelişen Uluslararası Mevzuat
• Bulut Bilişime Özel Hukuki Risklerin Değerlendirilmesi
• Yasal Çerçeve ve Kılavuzlar
• eKeşif (örneğin, Uluslararası Standardizasyon Örgütü/Uluslararası Elektroteknik Komisyonu (ISO/IEC) 27050, Bulut Güvenlik Birliği (CSA) Kılavuzu)
• Adli Tıp Gereksinimleri
• İç ve Dış Denetim Kontrolleri
• Denetim Gereksinimlerinin Etkisi
• Sanallaştırma ve Bulutun Güvence Zorluklarını Belirleyin
• Denetim Raporu Türleri (örneğin, Onaylama Görevleri Standartlarına İlişkin Beyan (SSAE), Hizmet Organizasyonu Kontrolü (SOC), Güvence Görevine İlişkin Uluslararası Standart (ISAE))
• Denetim Kapsam Beyanlarına İlişkin Kısıtlamalar (örneğin, Onaylama Görevleri Standartlarına İlişkin Beyan (SSAE), Güvence Görevlerine İlişkin Uluslararası Standart (ISAE))
• Boşluk Analizi
• Denetim Planlama
• İç Bilgi Güvenliği Yönetim Sistemi (BGYS)
• İç Bilgi Güvenliği Kontrol Sistemi
• Politikalar (ör. organizasyonel, işlevsel, bulut bilişim)
• İlgili Paydaşların Belirlenmesi ve Katılımı
• Yüksek Düzeyde Düzenlemelere Tabi Sektörler için Özel Uyumluluk Gereksinimleri (örneğin, Kuzey Amerika Elektrik Güvenilirlik Kurumu/ Kritik Altyapı Koruması (NERC/CIP), Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA), Ödeme Kartı Endüstrisi (PCI))
• Dağıtılmış Bilgi Teknolojisi (BT) Modelinin Etkisi (örneğin, farklı coğrafi konumlar ve yasal yetki alanlarının aşılması)
• Bulutun Kurumsal Risk Yönetimine Etkilerini Anlayın
• Dış Kaynak Kullanımı ve Bulut Sözleşme Tasarımını Anlayın
  • İş Gereksinimleri (ör. Hizmet Seviyesi Sözleşmesi (SLA), Ana Hizmet Sözleşmesi (MSA), İş Bildirisi (SOW))
  • Satıcı Yönetimi
  • Sözleşme Yönetimi (ör. denetim hakkı, ölçümler, tanımlar, fesih, dava, güvence, uyumluluk, buluta/verilere erişim, siber risk sigortası)
  • Tedarik Zinciri Yönetimi (örneğin, Uluslararası Standardizasyon Örgütü/Uluslararası Elektroteknik Komisyonu (ISO/IEC) 27036)