Alan 1: Erişim Kontrolleri
1.1 Kimlik doğrulama yöntemlerini uygulayın ve sürdürün
- Tek/çok faktörlü kimlik doğrulama
- Tek oturum açma » Cihaz kimlik doğrulaması
- Birleşik erişim
1.2 Ağlar arası güven mimarilerini destekleyin
- Güven ilişkileri (örn. 1 yönlü, 2 yönlü, geçişli)
- Extranet
- Üçüncü taraf bağlantıları
1.3 Kimlik yönetimi yaşam döngüsüne katılın
- Yetkilendirme » Prova
- Sağlama/sağlamayı kaldırma
- Bakım » Yetki
- Kimlik ve Erişim Yönetimi (IAM) sistemleri
1.4 Erişim kontrollerini uygulayın
- Zorunlu
- isteğe bağlı olmayan
- isteğe bağlı
- Rol tabanlı
- Özellik tabanlı
- Konu bazlı
- Nesne tabanlı
Alan 2: Güvenlik Operasyonları ve Yönetimi
2.1 Etik kurallara uyun
- (ISC)² Etik Kurallar
- Organizasyonel etik kuralları
2.2 Güvenlik kavramlarını anlayın
- Gizlilik
- Bütünlük
- Kullanılabilirlik
- Sorumluluk
- Mahremiyet
- İnkar edilemezlik
- En az ayrıcalık
- Görev ayrımı
2.3 İşlevsel güvenlik kontrollerini belgeleyin, uygulayın ve sürdürün
- Caydırıcı kontroller
- Önleyici kontroller
- Dedektif kontroller
- Düzeltici kontroller
- Telafi edici kontroller
2.4 Varlık yönetimine katılın
- Yaşam döngüsü (donanım, yazılım ve veriler)
- Donanım envanteri
- Yazılım envanteri ve lisanslama
- Veri depolama
2.5 Güvenlik kontrollerini uygulayın ve uyumluluğu değerlendirin
- Teknik kontroller (örn. oturum zaman aşımı, şifre eskitme)
- Fiziksel kontroller (ör. mantrap, kameralar, kilitler)
- İdari kontroller (örneğin, güvenlik politikaları ve standartları, prosedürler, temeller)
- Periyodik denetim ve inceleme
Alan 3: Risk Belirleme, İzleme ve Analiz
3.1 Risk yönetimi sürecini anlayın
- Risk görünürlüğü ve raporlama (örn. risk kaydı, tehdit istihbaratının paylaşılması, Ortak Güvenlik Açığı Puanlama Sistemi (CVSS))
- Risk yönetimi kavramları (ör. etki değerlendirmeleri, tehdit modelleme, İş Etki Analizi (BIA))
- Risk yönetimi çerçeveleri (örn. ISO, NIST)
- Riskin ele alınması (örneğin kabul etme, aktarma, hafifletme, kaçınma, yeniden düzenleme)
3.2 Güvenlik değerlendirme faaliyetlerini gerçekleştirin
- Güvenlik testlerine katılın » Tarama ve test sonuçlarının yorumlanması ve raporlanması » Düzeltme doğrulaması
- Denetim bulgusunun iyileştirilmesi 3.3 İzleme sistemlerini çalıştırın ve sürdürün (örneğin, sürekli izleme)
- İlgi çekici olaylar (örn. anormallikler, izinsiz girişler, yetkisiz değişiklikler, uyumluluk izleme)
- Günlüğe kaydetme » Kaynak sistemleri
- Yasal ve düzenleyici kaygılar (ör. yargı yetkisi, sınırlamalar, gizlilik)
3.4 İzleme sonuçlarını analiz edin
- Güvenlik temelleri ve anormallikler
- Görselleştirmeler, ölçümler ve trendler (ör. kontrol panelleri, zaman çizelgeleri)
- Olay veri analizi
- Bulguları belgeleyin ve iletin (ör. üst kademeye iletme)
Alan 4: Olaylara Müdahale ve Kurtarma
4.1 Destek olayı yaşam döngüsü
- Hazırlık
- Tespit, analiz ve üst kademeye iletme
- Sınırlama » Yok Etme
- İyileşmek
- Alınan dersler/yeni karşı önlemin uygulanması
4.2 Adli soruşturmaları anlamak ve desteklemek
- Yasal ve etik ilkeler
- Kanıtların ele alınması (örneğin ilk müdahale, triyaj, gözetim zinciri, olay yerinin korunması)
4.3 İş Sürekliliği Planı (BCP) ve Felaket Kurtarma Planı (DRP) faaliyetlerini anlamak ve desteklemek
- Acil durum müdahale planları ve prosedürleri (örneğin bilgi sistemi acil durum planı)
- Geçici veya alternatif işleme stratejileri
- Restorasyon planlaması
- Yedekleme ve artıklık uygulaması
- Testler ve tatbikatlar
Alan 5: Kriptografi
5.1 Kriptografinin temel kavramlarını anlayın
- Hashing » Tuzlama
- Simetrik/asimetrik şifreleme/Eliptik Eğri Şifrelemesi (ECC)
- Reddedilmeme (örneğin, dijital imzalar/sertifikalar, HMAC, denetim takibi)
- Şifreleme algoritmaları (ör. AES, RSA)
- Anahtar gücü (ör. 256, 512, 1024, 2048 bit anahtarlar)
- Kriptografik saldırılar, kriptanaliz ve karşı önlemler
5.2 Kriptografinin nedenlerini ve gerekliliklerini anlayın
5.3 Güvenli protokolleri anlayın ve destekleyin
5.4 Açık Anahtar Altyapısı (PKI) sistemlerini anlama
- Temel anahtar yönetimi kavramları (ör. anahtar rotasyonu, anahtar bileşimi, anahtar oluşturma, takas, iptal, emanet)
- Güven Ağı (WOT) (ör. PGP, GPG)
- Karma
- Tuzlama
- Simetrik/asimetrik şifreleme/Eliptik Eğri Şifrelemesi (ECC)
- Reddedilmeme (örneğin, dijital imzalar/sertifikalar, HMAC, denetim takibi)
- Şifreleme algoritmaları (ör. AES, RSA)
- Anahtar gücü (ör. 256, 512, 1024, 2048 bit anahtarlar)
- Kriptografik saldırılar, kriptanaliz ve karşı önlemler
- Gizlilik
- Bütünlük ve özgünlük
- Veri hassasiyeti (ör. PII, fikri mülkiyet, PHI)
- Düzenleyici
- Hizmetler ve protokoller (ör. IPSec, TLS, S/MIME, DKIM)
- Yaygın kullanım örnekleri » Sınırlamalar ve güvenlik açıkları
Alan 6: Ağ ve İletişim Güvenliği
6.1 Ağ oluşturmanın temel kavramlarını anlayın ve uygulayın
- OSI ve TCP/IP modelleri » Ağ topografyaları (ör. halka, yıldız, veri yolu, ağ, ağaç)
- Ağ ilişkileri (ör. eşler arası, istemci sunucu)
- İletim ortamı türleri (ör. fiber, kablolu, kablosuz)
- Yaygın olarak kullanılan bağlantı noktaları ve protokoller
6.2 Ağ saldırılarını ve karşı önlemleri anlayın (ör. DDoS, ortadaki adam, DNS zehirlenmesi)
6.3 Ağ erişim kontrollerini yönetin
- Ağ erişim kontrolü ve izleme (ör. iyileştirme, karantina, kabul)
- Ağ erişim kontrolü standartları ve protokolleri (örn. IEEE 802.1X, Radius, TACACS)
- Uzaktan erişim işlemi ve yapılandırması (örn., ince istemci, SSL VPN, IPSec VPN, tele çalışma)
6.4 Ağ güvenliğini yönetin
- Ağ cihazlarının mantıksal ve fiziksel yerleşimi (ör. hat içi, pasif)
- Segmentasyon (ör. fiziksel/mantıksal, veri/kontrol düzlemi, VLAN, ACL'ler)
- Güvenli cihaz yönetimi
6.5 Ağ tabanlı güvenlik cihazlarını çalıştırın ve yapılandırın
- Güvenlik duvarları ve proxy'ler (örn. filtreleme yöntemleri) » Ağa izinsiz giriş tespit/önleme sistemleri
- Yönlendiriciler ve anahtarlar » Trafiği şekillendiren cihazlar (ör. WAN optimizasyonu, yük dengeleme)
6.6 Kablosuz teknolojileri (örn. Bluetooth, NFC, WiFi) çalıştırın ve yapılandırın
- İletim güvenliği
- Kablosuz güvenlik cihazları (örn. WIPS, WIDS)
Alan 7: Sistemler ve Uygulama Güvenliği
7.1 Kötü amaçlı kodu ve etkinliği tanımlayın ve analiz edin
- Kötü amaçlı yazılım (ör. rootkit'ler, casus yazılımlar, korkutucu yazılımlar, fidye yazılımları, truva atları, virüsler, solucanlar, tuzak kapıları, arka kapılar ve uzaktan erişim truva atları)
- Kötü amaçlı kodlara karşı önlemler (ör. tarayıcılar, kötü amaçlı yazılımdan koruma, kod imzalama, korumalı alan oluşturma)
- Kötü amaçlı etkinlik (ör. içeriden tehdit, veri hırsızlığı, DDoS, botnet)
- Kötü amaçlı etkinliklere karşı önlemler (ör. kullanıcı farkındalığı, sistem sağlamlaştırma, yama uygulama, korumalı alan oluşturma, izolasyon)
7.2 Uç nokta cihaz güvenliğini uygulayın ve çalıştırın
- GİZLİLER
- Ana bilgisayar tabanlı güvenlik duvarları
- Uygulama beyaz listesi
- Uç nokta şifreleme
- Güvenilir Platform Modülü (TPM)
- Mobil Cihaz Yönetimi (MDM) (ör. COPE, BYOD)
- Güvenli tarama (ör. korumalı alan)
7.3 Bulut güvenliğini çalıştırın ve yapılandırın
- Dağıtım modelleri (ör. genel, özel, hibrit, topluluk)
- Hizmet modelleri (ör. IaaS, PaaS ve SaaS)
- Sanallaştırma (örn. hipervizör) » Yasal ve düzenleyici kaygılar (örn. gizlilik, gözetim, veri sahipliği, yargı yetkisi, e-Keşif)
- Veri depolama ve iletim (ör. arşivleme, kurtarma, esneklik)
- Üçüncü taraf/dış kaynak kullanımı gereksinimleri (ör. SLA, veri taşınabilirliği, veri imhası, denetim) » Paylaşılan sorumluluk modeli
7.4 Sanal ortamları işletmek ve güvenliğini sağlamak
- Yazılım tanımlı ağ iletişimi
- Hipervizör
- Sanal cihazlar
- Süreklilik ve dayanıklılık
- Saldırılar ve karşı önlemler
- Paylaşılan depolama
