Bir SaaS şirketinde süresi dolan yüklenici sözleşmelerine rağmen bazı kullanıcı hesapları haftalarca etkin kalıyor. İnsan kaynakları bildirim gönderiyor, fakat hesap açma, değiştirme, devre dışı bırakma ve periyodik hesap gözden geçirme adımları tek bir süreçte yönetilmiyor.

Question: Bu boşluğu en doğrudan ele alan birincil kontrol hangisidir?

Choices:
A. Kurumsal kullanıcıların kimliğini doğrulamak ve oturum açarken kimlik doğrulaması istemek
B. Personel ayrılışında kurumsal çıkış işlemlerini ve bildirimleri yürütmek
C. Hesap yaşam döngüsünü; onay, değişiklik, devre dışı bırakma ve gözden geçirmeyle birlikte yönetmek
D. Sistem bileşenlerinin güncel bir envanterini oluşturmak ve korumak

Answer: C

Explanation: PS-4 ayrılış sürecini tetikleyebilir; ancak senaryodaki doğrudan teknik ve yönetsel boşluk hesapların tüm yaşam döngüsünün yönetilmemesidir. AC-2 bu amacı kapsar.


Veritabanı yöneticileri sürekli tam yetkili hesap kullanıyor. Günlük işlerinin çoğu yalnızca okuma gerektiriyor; yüksek yetki gerektiğinde süreli yükseltme ve işlem sonrasında otomatik geri alma mekanizması bulunmuyor.

Question: Riski azaltmak için birincil olarak hangi kontrol uygulanmalıdır?

Choices:
A. Yetkileri görev için gereken en düşük düzeyle sınırlandırmak ve ayrıcalıklı kullanımı daraltmak
B. Tanımlanmış erişim kararlarını sistem üzerinde uygulatmak
C. Kullanıcı kimliğini oturum başlangıcında doğrulamak
D. Çakışan görevleri farklı kişiler arasında ayırmak

Answer: A

Explanation: Sürekli ve gereğinden geniş ayrıcalık senaryonun merkezidir. Süreli yükseltme AC-6'nın en az ayrıcalık amacını uygular; diğer kontroller destekleyici olabilir fakat fazla yetkiyi doğrudan çözmez.


Bir denetçi, finans uygulamasında aynı kişinin ödeme talebi oluşturup onaylayamadığını ve üretime uygulayamadığını doğrulamak istiyor.

Question: Görevlerin ayrılığı kontrolünün dönem boyunca işletildiğini gösteren en güçlü kanıt hangisidir?

Choices:
A. Yöneticilerin en az ayrıcalık ilkesini kabul ettiğini gösteren imzalı politika
B. Uygulamada hangi olay türlerinin loglanacağını gösteren yapılandırma listesi
C. Talep eden, onaylayan ve uygulayan kimlikleri içeren dönemsel işlem örneği ile rol çakışma sorgusu
D. Geçen yıl yayımlanmış genel kontrol değerlendirme takvimi

Answer: C

Explanation: AC-5 için güçlü kanıt yalnızca politika değil, çakışan rollerin engellendiğini ve gerçek işlemlerde farklı kimliklerin görev aldığını gösteren yapılandırma ve işletim kayıtlarıdır.


Çalışanlar ve tedarikçiler kurum ağına internet üzerinden farklı araçlarla bağlanabiliyor. Hangi uzaktan bağlantı yöntemlerinin izinli olduğu, bağlantıların hangi yönetilen geçitlerden geçeceği ve kimlerin onay vereceği tanımlı değil.

Question: Bu kurumsal uzaktan erişim boşluğunu birincil olarak hangi kontrol ele alır?

Choices:
A. İletim sırasında bilginin gizliliğini ve bütünlüğünü korumak
B. Bakım amacıyla yapılan uzak bağlantıları yetkilendirmek ve izlemek
C. Kurumsal kullanıcıların kimliğini doğrulamak
D. Uzaktan erişim yöntemlerini, kısıtlarını, yetkilendirmesini ve yönetilen erişim noktalarını belirlemek

Answer: D

Explanation: Senaryo yalnızca bakım oturumlarını veya şifrelemeyi değil, kurum genelindeki uzaktan erişimin yetkilendirilmesini ve yönlendirilmesini sorar. En doğrudan kontrol AC-17'dir.


Bir hastane entegrasyon katmanında, laboratuvar sistemi yalnızca sonuç verisini hasta portalına göndermelidir. Mevcut ağ kuralı iki sistem arasında bağlantıya izin veriyor, fakat hangi veri alanlarının ve hangi yönde aktarılabileceğini sınırlamıyor.

Question: Tanımlı veri akışını içerik ve yön bakımından zorlamak için en uygun birincil kontrol hangisidir?

Choices:
A. Dış ve iç ağ sınırlarında iletişimleri izlemek ve kontrol etmek
B. Kullanıcı ve süreç erişim kararlarını sistemde uygulatmak
C. Bilginin sistemler arasındaki akışını tanımlı politikalara göre zorlamak
D. Aktarım kanalında veri gizliliği ve bütünlüğü sağlamak

Answer: C

Explanation: Bağlantının varlığından çok hangi bilginin hangi yönde geçebileceği sorulmaktadır. AC-4 bilgi akışı politikasını uygular; sınır koruması ve şifreleme tek başına alan düzeyindeki akışı sınırlandırmaz.


Yeni çalışanların çoğu oltalama, parola paylaşımı ve şüpheli olay bildirim yöntemlerini bilmiyor. Kurum tüm personele işe girişte ve düzenli aralıklarla temel güvenlik eğitimi vermek istiyor.

Question: Bu ihtiyacı en doğrudan karşılayan kontrol hangisidir?

Choices:
A. Belirli görev ve rollere özgü güvenlik eğitimi vermek
B. Gerekli güvenlik ve gizlilik yetkinliklerine sahip iş gücünü planlamak
C. Tüm kullanıcılar için temel güvenlik ve gizlilik farkındalık eğitimi sağlamak
D. Güvenlik uyarı ve tavsiyelerini ilgili taraflara duyurmak

Answer: C

Explanation: Kapsam tüm personelin temel farkındalığıdır; bu AT-2'nin doğrudan amacıdır. AT-3 ise geliştirici, yönetici veya olay müdahale uzmanı gibi özel rollere yöneliktir.


Genel farkındalık eğitimini tamamlayan yazılım geliştiriciler, güvenli kod inceleme sorumluluklarını ve kullandıkları geliştirme hattındaki güvenlik kontrollerini yine de bilmiyor.

Question: Eksikliği gidermek için hangi kontrol öncelikli olmalıdır?

Choices:
A. Geliştiricilere görevleri ve kullandıkları sistemlere özgü rol tabanlı eğitim vermek
B. Tüm çalışanlara aynı genel farkındalık içeriğini yeniden vermek
C. Sistem dokümantasyonunu elde etmek ve korumak
D. Kurumsal iş gücü planında yetkinlik ihtiyacını tanımlamak

Answer: A

Explanation: Genel eğitim tamamlanmış, eksiklik belirli bir göreve ilişkindir. AT-3 rol tabanlı eğitimle bu boşluğu doğrudan ele alır.


Kurum, ayrıcalıklı sistem yöneticilerine yılda bir rol tabanlı eğitim verdiğini beyan ediyor. Denetçi hem kapsama hem de zamanında tamamlamaya ilişkin güvence arıyor.

Question: Eğitim kayıtları kontrolü için en güçlü kanıt paketi hangisidir?

Choices:
A. Hedef yönetici evreni, atanmış eğitim, tamamlama tarihi, başarısız/gecikmiş kayıtlar ve takip işlemleri
B. Merkezi log platformunun genel saklama süresi yapılandırması
C. Farkındalık portalının ana sayfasından alınmış tarihsiz ekran görüntüsü
D. Denetim ekibinin yıllık çalışma planı

Answer: A

Explanation: AT-4 için kanıt; hedef kitleyi, atanmayı, tamamlanmayı ve istisna takibini dönem boyunca ilişkilendirmelidir. Tek bir ekran görüntüsü kapsama ve zamanlamayı kanıtlamaz.


Tüm çalışanlar yıllık farkındalık videosunu tamamlamış görünüyor; buna rağmen oltalama bağlantılarına tıklama ve şüpheli mesajları geç bildirme oranı değişmemiş.

Question: AT-2'nin etkinliğini değerlendirmek için en anlamlı yaklaşım hangisidir?

Choices:
A. Yalnızca katılım kayıtlarının eksiksiz olmasını kontrolün etkinliği için yeterli saymak
B. Eğitim içeriğini incelemeden yalnız politika belgesinin onay tarihini doğrulamak
C. Rol ve risklere göre davranış ölçümleri, kontrollü alıştırmalar ve bildirim performansını tamamlanma verisiyle birlikte değerlendirmek
D. Eğitim bütçesinin geçen yıla göre artmasını başarı ölçütü kabul etmek

Answer: C

Explanation: Tamamlama, faaliyetin yapıldığını gösterir; istenen davranış değişikliğini tek başına göstermez. AT-2 etkinliği riskle ilişkili pratik ölçümler ve takip sonuçlarıyla sınanmalıdır.


SOC analistleri genel farkındalık eğitimi almış, ancak delil zinciri, olay sınıflandırması ve kişisel veri içeren logların güvenli işlenmesi konusunda ortak çalışma biçimleri yok.

Question: Bu role özgü yetkinlik boşluğunu hangi kontrol en doğrudan azaltır?

Choices:
A. SOC görevlerine, sorumluluklarına ve kullanılan araçlara özgü eğitim sağlamak
B. SOC sistemlerinin kabul edilebilir kullanım kurallarını personele imzalatmak
C. Tüm personele temel güvenlik farkındalığını yinelemek
D. Gerçek olaylarda analiz, sınırlama ve kurtarma faaliyetlerini yürütmek

Answer: A

Explanation: Genel farkındalık tamamlanmıştır; eksiklik SOC rolüne, sorumluluklarına ve kullanılan araçlara özgü görev eğitimidir. AT-3 bunu doğrudan ele alır.


Yeni ödeme uygulaması üretime alınacak, fakat ekip hangi güvenlik olaylarının kaydedileceğine karar vermemiş. Bazı servisler tüm istekleri, bazıları yalnız hataları logluyor.

Question: Önce hangi kontrol uygulanmalıdır?

Choices:
A. Risk ve kullanım ihtiyacına göre kaydedilecek olay türlerini tanımlamak ve gözden geçirmek
B. Her denetim kaydında bulunması gereken ayrıntıları belirlemek
C. Denetim kayıtlarının ne kadar süre saklanacağını belirlemek
D. Sistem davranışını izleyip saldırı göstergelerini tespit etmek

Answer: A

Explanation: İlk boşluk hangi olayların loglanacağıdır; AU-2 bu olay seçimini ele alır. AU-3 seçilen olayların kayıt içeriğini tanımlar.


API erişim loglarında yalnızca 'istek başarılı' ifadesi bulunuyor. Olay zamanı, kaynak, kullanıcı/servis kimliği, hedef ve sonuç ayrıntıları olmadığı için olay incelemesi yapılamıyor.

Question: Kayıtların içeriğindeki bu boşluğu hangi kontrol birincil olarak ele alır?

Choices:
A. Denetim kayıtlarının olay türü, zaman, kaynak, sonuç ve ilişkili kimlik gibi gerekli içeriği taşımasını sağlamak
B. Hangi olay kategorilerinin kaydedileceğini seçmek
C. Kayıtlarda güvenilir zaman damgası üretmek
D. Tanımlanan sistem bileşenlerinde denetim kaydı üretimini koordine etmek

Answer: A

Explanation: Olay zaten kaydedilmektedir, fakat kayıt yeterli alanları içermemektedir. Bu doğrudan AU-3 kapsamındadır.


Bir olayda güvenlik duvarı, kimlik sağlayıcı ve uygulama logları arasında sekiz dakikaya varan saat farkı görülüyor; olayların sırası güvenilir biçimde kurulamıyor.

Question: Denetim kayıtlarının güvenilir zaman bilgisi taşıması için birincil denetim kontrolü hangisidir?

Choices:
A. Logları düzenli olarak incelemek ve şüpheli örüntüleri raporlamak
B. Sistem saatlerini yetkili zaman kaynaklarıyla eşitlemek
C. Bileşenlerde merkezi denetim kaydı üretmek
D. Denetim kayıtlarında kabul edilen doğrulukta zaman damgaları kullanmak

Answer: D

Explanation: SC-45 saat eşitlemesi için önemli bir uygulama mekanizmasıdır; soru denetim kayıtlarının olay sıralamasını destekleyecek zaman damgalarına sahip olmasını sorar. AU-8 birincil denetim kontrolüdür.


Sistem yöneticilerinin kendi ayrıcalıklı işlemlerine ait merkezi logları değiştiremediği iddia ediliyor. Denetçi bu iddiayı sınamak istiyor.

Question: Denetim bilgisinin korunmasına ilişkin en güçlü kanıt hangisidir?

Choices:
A. Logların bir yıl saklanacağını belirten onaylı saklama politikası
B. Yöneticilerin en az ayrıcalık eğitimine katılım listesi
C. SOC ekibinin aylık alarm sayısını gösteren sunum
D. Değiştirilemez depoya aktarım yapılandırması, yazma yetkisi matrisi ve yetkisiz değişiklik testinin sonucu

Answer: D

Explanation: AU-9, denetim bilgisi ve araçlarının yetkisiz erişim, değişiklik ve silmeye karşı korunmasını hedefler. Yapılandırma, yetki ve test sonucu birlikte tasarım ve işletime dair güçlü kanıt oluşturur.


Kurum bütün kritik sistem loglarını SIEM'e aktarıyor, ancak uyarılar yalnız olay yaşandıktan sonra ve talep üzerine aranıyor. Düzenli inceleme ölçütü, sorumlu ve eskalasyon süresi tanımlı değil.

Question: Eksik olan birincil kontrol uygulaması hangisidir?

Choices:
A. Kaynak sistemlerde daha fazla denetim kaydı üretmek
B. Kayıtları tanımlı sıklık ve ölçütlerle incelemek, analiz etmek ve sonuçları raporlamak
C. Log depolama kapasitesini artırmak
D. Kayıt zaman damgalarını eşitlemek

Answer: B

Explanation: Logların toplanması tek başına yeterli değildir. Senaryodaki açık, düzenli inceleme, analiz ve raporlama sürecidir; AU-6 bunu doğrudan ele alır.


Bir sistem sahibi, kontrollerin dokümante edildiğini gösteriyor; ancak kontrollerin doğru uygulandığı, amaçlanan biçimde çalıştığı ve beklenen sonucu ürettiği bağımsız olarak sınanmamış.

Question: Bu güvence boşluğunu hangi kontrol birincil olarak ele alır?

Choices:
A. Sistem güvenlik ve gizlilik planını hazırlamak ve güncel tutmak
B. Bulgu ve düzeltmeleri eylem planında izlemek
C. Kontrolleri sürekli izleme stratejisine göre takip etmek
D. Kontrolleri değerlendirme prosedürleriyle sınayıp etkinlik sonuçlarını belgelemek

Answer: D

Explanation: Dokümantasyonun ötesinde uygulama ve etkinlik değerlendirmesi istenmektedir. CA-2 bu değerlendirmeyi doğrudan gerektirir.


Denetimde 37 güvenlik bulgusu açılmış, fakat çoğunda sorumlu, hedef tarih, ara adım ve kapanış doğrulaması yok. Bulgular e-posta zincirlerinde kayboluyor.

Question: Bulguların kontrollü biçimde düzeltilmesi için hangi kontrol uygulanmalıdır?

Choices:
A. Her risk için kabul, azaltma, aktarma veya kaçınma yanıtı seçmek
B. Teknik kusurları tanımlı sürelerde gidermek ve güncellemeleri kurmak
C. Kontrol değerlendirmesi yapmak ve sonuçları raporlamak
D. Eksiklikleri sorumlu, kaynak, kilometre taşı, hedef tarih ve durumla eylem planında yönetmek

Answer: D

Explanation: Senaryo, bulguların yapılandırılmış düzeltme planında izlenmemesini anlatır. CA-5 eylem ve kilometre taşları planını doğrudan kapsar.


Kritik bulut ortamı yılda bir kez kapsamlı denetleniyor. Yıl içinde varlık, zafiyet, yetki ve yapılandırma değişiklikleri izlenmediği için önemli kontrol bozulmaları aylarca fark edilmiyor.

Question: Yıllık değerlendirmenin arasındaki güvence boşluğunu en doğrudan hangi kontrol kapatır?

Choices:
A. Aynı yıllık kontrol değerlendirmesinin kapsamını genişletmek
B. Tanımlı metrik ve sıklıklarla kontrol durumunu sürekli izleyip raporlamak
C. Kurumsal güvenlik performans göstergelerini üst yönetime sunmak
D. Her teknik değişiklik için değişiklik kaydı açmak

Answer: B

Explanation: CA-7, kontrol etkinliğinin seçilmiş göstergeler ve değerlendirmelerle yıl boyunca izlenmesini hedefler. Yıllık CA-2 değerlendirmesini tamamlar.


İnternete açık müşteri portalında taramalar tek tek zafiyetler buluyor; ekip bu zafiyetlerin zincirlenerek yetkisiz erişim ve iş etkisi oluşturup oluşturamayacağını kontrollü biçimde sınamak istiyor.

Question: Yazılı kapsam ve yetki altında hangi kontrol faaliyeti en uygundur?

Choices:
A. Bilinen zafiyetleri otomatik ve düzenli olarak taramak
B. Geliştiricinin birim, entegrasyon ve güvenlik testlerini yürütmesi
C. Kontrol uygulamalarını prosedürlerle genel olarak değerlendirmek
D. Yetkili sızma testiyle zayıflıkların zincirlenebilirliğini ve gerçek etkisini sınamak

Answer: D

Explanation: Zafiyetlerin kontrollü istismarla zincirlenmesi ve etkisinin görülmesi CA-8 kapsamındaki sızma testinin ayırt edici amacıdır.


İki kurum, vaka yönetim sistemleri arasında sürekli veri alışverişi kuracak. Aktarılacak veri, arayüz korumaları, tarafların sorumlulukları, olay bildirimi ve anlaşmanın gözden geçirilmesi henüz yazılı değil.

Question: Bu sistemler arası değişimin yönetişimini birincil olarak hangi kontrol ele alır?

Choices:
A. Aktarım kanalını kriptografik olarak korumak
B. Sistemler arasında izin verilen bilgi akışını teknik olarak zorlamak
C. Harici hizmet sağlayıcının güvenlik kontrollerini yönetmek
D. Bilgi alışverişi koşullarını, arayüz özelliklerini, sorumlulukları ve anlaşmaları tanımlamak

Answer: D

Explanation: Şifreleme ve akış kuralları uygulama önlemleridir; soru iki taraf arasındaki bilgi alışverişinin koşulları ve sorumluluklarının yönetilmesini sorar. CA-3 en doğrudan kontroldür.


Aynı işlevi gören Linux sunucularında paketler, servisler ve güvenlik ayarları birbirinden farklı. Onaylanmış başlangıç yapılandırması olmadığı için sapma tanımlanamıyor.

Question: Önce hangi kontrol uygulanmalıdır?

Choices:
A. Belirli güvenlik ayarlarını yapılandırıp istisnaları yönetmek
B. Sistem için güncel ve onaylı temel yapılandırma oluşturmak ve korumak
C. Sistem bileşenlerinin envanterini çıkarmak
D. Bilinen yazılım kusurlarını yamalarla gidermek

Answer: B

Explanation: Sapmayı ölçebilmek için önce onaylanmış bir başlangıç durumu gerekir. CM-2 temel yapılandırmayı oluşturur; CM-6 bu temel içindeki güvenlik ayarlarını ayrıntılandırabilir.


Üretim güvenlik duvarı kuralları acil taleplerle doğrudan değiştiriliyor. Güvenlik etkisi, onay, test, geri dönüş planı ve değişiklik sonrası doğrulama kayda alınmıyor.

Question: Bu süreci en doğrudan düzenleyen kontrol hangisidir?

Choices:
A. Önerilen değişikliğin güvenlik ve gizlilik etkisini analiz etmek
B. Değişiklikleri talep, etki, onay, test, uygulama ve kayıt adımlarıyla kontrol etmek
C. Değişiklik yapma yetkisini belirli kişilerle sınırlandırmak
D. Kontrolleri sürekli izleme programıyla takip etmek

Answer: B

Explanation: Senaryo değişikliğin tüm yaşam döngüsünde kontrol edilmemesini anlatır. CM-3 birincil kontroldür; CM-4 ve CM-5 bu sürecin belirli parçalarını destekler.


Kurum, sunucularda parola, oturum, protokol ve günlükleme ayarlarının onaylı sertleştirme standardına uygun olduğunu beyan ediyor.

Question: CM-6'nın işletimini gösteren en güçlü kanıt hangisidir?

Choices:
A. Sunucu imajının iki yıl önce onaylandığını gösteren toplantı tutanağı
B. Onaylı ayar standardı, güncel otomatik yapılandırma taraması, sapma listesi ve istisna onayları
C. Sunucuların yalnız ad ve IP adreslerini içeren envanter listesi
D. Denetçinin örneklem planı, fakat teknik sonuç bulunmaması

Answer: B

Explanation: CM-6 kanıtı beklenen ayarı gerçek durumla karşılaştırmalı ve sapmaların yetkili istisna sürecinde olduğunu göstermelidir.


Varlık envanterinde 500 sanal makine görünüyor. Bulut sağlayıcı sorgusu aynı kapsamda 547 çalışan makine gösteriyor; 47 makinenin sahibi, amacı ve yazılım bileşenleri bilinmiyor.

Question: Bu bulgu en doğrudan hangi kontrolün etkin olmadığını gösterir?

Choices:
A. Kuruluş düzeyinde sistem envanterini sürdürmek
B. Sistemlerdeki zafiyetleri taramak
C. Onaylı temel yapılandırmayı korumak
D. Kapsamdaki sistem bileşenlerini yeterli ayrıntıyla ve güncel biçimde envanterlemek

Answer: D

Explanation: PM-5 kuruluşun sistemler envanterine yönelir; bulgu tek bir sistem/kapsam içindeki bileşenlerin eksik ve yetersiz ayrıntıda kaydını göstermektedir. Bu nedenle CM-8 daha doğrudandır.


İnternete açık bir uygulama sunucusunda işlev için gerekmeyen dosya paylaşımı, örnek web uygulaması, derleyici ve eski uzaktan yönetim servisi etkin bırakılmış.

Question: Saldırı yüzeyini azaltmak için birincil kontrol hangisidir?

Choices:
A. Sistemi yalnız gerekli işlev, port, protokol, servis ve yazılımlarla sınırlandırmak
B. Kötücül kodları tespit edip engellemek
C. Ağ sınırındaki iletişimleri filtrelemek
D. Yazılım kullanımına ilişkin lisans ve kullanım kısıtlarını yönetmek

Answer: A

Explanation: Gereksiz servis ve yazılımların kaldırılması veya kapatılması CM-7'nin en az işlevsellik amacıdır.


Fidye yazılımı olayı sonrasında üretim verisinin yedeklerinin aynı yönetim alanında tutulduğu ve saldırgan tarafından silindiği görülüyor. Bazı kritik verilerin son başarılı kopyası üç ay önceye ait.

Question: Bu riski birincil olarak azaltan kontrol hangisidir?

Choices:
A. Kesinti rollerini ve iş sürekliliği adımlarını planlamak
B. Bilgi saklama ve imha kurallarını uygulamak
C. Sistemi olay sonrasında bilinen güvenli duruma geri getirmek
D. Kritik veri, yazılım ve yapılandırmaların korunan ve uygun sıklıkta yedeklerini almak

Answer: D

Explanation: Senaryonun temel boşluğu güncel ve saldırıdan ayrıştırılmış yedeklerin bulunmamasıdır. Bu doğrudan CP-9 kapsamındadır.


Bir banka felaket kurtarma planının her yıl test edildiğini beyan ediyor. Yapılan çalışma yalnızca ekiplerin planı toplantıda okumasından ibaret olabilir.

Question: CP-4'ün işletim etkinliğini gösteren en güçlü kanıt hangisidir?

Choices:
A. Katılımcıların kesinti rollerine ilişkin eğitim tamamlama kayıtları
B. Yedekleme işlerinin başarı yüzdesini gösteren haftalık rapor
C. Denetim planında felaket kurtarma alanının listelenmiş olması
D. Onaylı senaryo, hedef RTO/RPO, gerçek geri dönüş ölçümleri, sorun kayıtları ve kapatılmış düzeltmeler

Answer: D

Explanation: Planı okumak eğitim veya masa başı tartışma olabilir. Etkinlik için gerçekçi senaryo, ölçülebilir hedefler, sonuçlar ve düzeltme takibi birlikte görülmelidir.


Kritik ödeme sistemi için kesinti halinde roller, iletişim zinciri, öncelikli hizmetler, alternatif çalışma yöntemleri, geri dönüş adımları ve planın bakım sorumlusu tanımlı değil.

Question: Öncelikle hangi kontrol uygulanmalıdır?

Choices:
A. Kesinti görevleri olan personele eğitim vermek
B. Mevcut süreklilik kabiliyetlerini test etmek
C. Siber olay müdahale planını hazırlamak
D. Sistem için kapsamlı, rolleri ve kurtarma yaklaşımını içeren acil durum planı oluşturmak

Answer: D

Explanation: Test ve eğitimden önce uygulanabilir bir sistem acil durum planı gerekir. Verilen içerik doğrudan CP-2 kapsamındadır.


Kritik yedekler üretim veri merkeziyle aynı taşkın bölgesindeki ikinci binada saklanıyor. Tek bir bölgesel olay hem üretimi hem de tüm yedek kopyaları etkileyebilir.

Question: Bu ortak konum riskini en doğrudan azaltan kontrol hangisidir?

Choices:
A. Alternatif bilgi işlem kapasitesini farklı bir tesiste hazır tutmak
B. Yedek depolama alanını birincil tesisle aynı tehlikeye maruz kalmayacak biçimde seçmek ve işletmek
C. Sistem bileşenlerini fiziksel ve çevresel riskleri dikkate alarak konumlandırmak
D. Yedeklerin kapsam ve sıklığını artırmak

Answer: B

Explanation: Sorun yedeklerin varlığından çok alternatif depolama konumunun aynı bölgesel tehlikeye maruz kalmasıdır. CP-6 bu konum ve erişilebilirlik riskini doğrudan ele alır.


Kurum yedekten sistemi ayağa kaldırabiliyor, ancak geri dönen sunucuların yamaları, güvenlik ayarları ve veri bütünlüğü doğrulanmadan doğrudan üretime açılıyor.

Question: Kurtarma sonrasında güvenilir bir duruma dönüşü birincil olarak hangi kontrol gerektirir?

Choices:
A. Daha sık yedek almak ve yedekleri şifrelemek
B. Sistemi tanımlı güvenli yapılandırma ve bütünlük doğrulamasıyla kurtarmak ve yeniden oluşturmak
C. Normal işletim için temel yapılandırma hazırlamak
D. Yazılım ve bilginin bütünlüğünü sürekli izlemek

Answer: B

Explanation: CP-10 yalnızca hizmetin açılmasını değil, sistemin güvenilir ve bilinen bir duruma geri getirilmesini kapsar. CM-2 ve SI-7 doğrulama girdileri olabilir.


Finans uygulamasına yalnız kullanıcı adı ve parola ile giriliyor. Ele geçirilen tek bir parola, internetten hassas ödeme işlemlerine erişmek için yeterli oluyor.

Question: Kurumsal kullanıcı erişimindeki bu riski en doğrudan azaltan kontrol hangisidir?

Choices:
A. Kullanıcıya verilen işlem yetkilerini en aza indirmek
B. Parola ve diğer doğrulayıcıların yaşam döngüsünü yönetmek
C. Kurum dışı kullanıcıların kimliğini doğrulamak
D. Kurumsal kullanıcıları tanımlamak, doğrulamak ve riskli erişimlerde çok faktör kullanmak

Answer: D

Explanation: Senaryo kurumsal kullanıcının tek faktörle doğrulanmasını sorar. IA-2 kurumsal kullanıcı kimlik doğrulamasının birincil kontrolüdür.


API anahtarları kod deposunda süresiz tutuluyor, aynı anahtar birden çok servis tarafından kullanılıyor ve sızıntı şüphesinde hızlı iptal/yenileme süreci bulunmuyor.

Question: Doğrulayıcı yaşam döngüsündeki bu boşluğu hangi kontrol birincil olarak ele alır?

Choices:
A. Doğrulayıcıları üretme, dağıtma, saklama, koruma, değiştirme ve iptal etme sürecini yönetmek
B. Kullanıcı ve sistem tanımlayıcılarını atamak ve yönetmek
C. Kriptografik anahtarların kurulması ve yönetilmesini sağlamak
D. Geliştirici yapılandırma değişikliklerini kontrol etmek

Answer: A

Explanation: API anahtarı kimlik doğrulayıcı olarak kullanıldığında üretimden iptale tüm yaşam döngüsü IA-5 kapsamındadır. Kriptografik anahtar yönetimiyle kesişse de sorulan işlev kimlik doğrulamadır.


Ağa bağlanan cihazların yalnız IP adresine bakılıyor. Saldırgan yetkili bir adresi taklit ederek yönetilmeyen cihazla hassas ağa erişebiliyor.

Question: Cihazın güvenilir kimlikle tanınmasını en doğrudan hangi kontrol sağlar?

Choices:
A. Kablosuz erişim kullanımını yetkilendirmek ve kısıtlamak
B. Cihazı bağlantı kurmadan önce benzersiz ve güvenilir biçimde tanımlamak ve doğrulamak
C. Cihazı bileşen envanterine kaydetmek
D. Ağ sınırlarında trafiği filtrelemek

Answer: B

Explanation: Envanter ve ağ filtreleme yardımcıdır; fakat bağlanan cihazın kimliğinin güvenilir biçimde doğrulanması IA-3'ün doğrudan amacıdır.


Uzaktan müşteri kaydında başvuran kişinin verdiği ad, kimlik numarası ve telefon doğrulanmadan doğrudan yüksek riskli hesap açılıyor. Sonraki oturumlarda güçlü MFA kullanılıyor.

Question: MFA'ya rağmen açık kalan birincil kontrol boşluğu hangisidir?

Choices:
A. Kayıt sonrasındaki her oturumda ek bir doğrulama faktörü istemek
B. Dijital kimliği vermeden önce başvuranın gerçek dünya kimliğini uygun güvenceyle kanıtlamak
C. MFA doğrulayıcılarının yenileme süresini kısaltmak
D. Açılan hesabı periyodik olarak gözden geçirmek

Answer: B

Explanation: Güçlü oturum doğrulaması, hesabın başlangıçta yanlış kişiye verilmesini düzeltmez. İlk kimlik bağının kurulması IA-12 kapsamındaki kimlik kanıtlamadır.


Mikroservisler aynı paylaşılan teknik hesapla birbirine bağlanıyor. Bir çağrının hangi servis örneğinden geldiği doğrulanamıyor ve ele geçirilen sır tüm servisleri taklit etmeye yetiyor.

Question: Servisler arası kimlik sorununu birincil olarak hangi kontrol ele alır?

Choices:
A. Servisler arasında izin verilen veri akışlarını sınırlandırmak
B. Fiziksel veya sanal cihazları ağa bağlanırken doğrulamak
C. Kurulan iletişim oturumunun özgünlüğünü korumak
D. Hizmetleri benzersiz kimliklerle tanımlamak ve birbirlerine karşı doğrulamak

Answer: D

Explanation: Senaryo insan veya cihazdan çok servis iş yüklerinin benzersiz biçimde tanınmasını sorar. IA-9 bu ihtiyaca doğrudan yöneliktir.


Bir uç noktada kötü amaçlı yazılım alarmı oluştuğunda ekip kimin analiz yapacağını, cihazın ne zaman izole edileceğini, delilin nasıl korunacağını ve hizmetin nasıl geri döndürüleceğini bilmiyor.

Question: Gerçek olayın analiz, sınırlama, temizleme ve kurtarma adımlarını hangi kontrol birincil olarak ele alır?

Choices:
A. Olayı hazırlık, tespit, analiz, sınırlama, temizleme ve kurtarma süreciyle ele almak
B. Kurumsal olay müdahale planını oluşturmak ve güncel tutmak
C. Olay müdahale kabiliyetini tatbikatla test etmek
D. Kötücül kodu teknik araçlarla tespit etmek ve engellemek

Answer: A

Explanation: Plan ve araçlar destekleyicidir; soru gerçek bir olayın uçtan uca ele alınmasını sorar. Bu IR-4'ün doğrudan amacıdır.


Kişisel veri ihlali şüphesi SOC içinde kayıtlı kalıyor. Hangi olayların, kime, hangi süre içinde ve hangi bilgilerle kurum içi veya yetkili dış taraflara bildirileceği tanımlı değil.

Question: Bu bildirim boşluğunu en doğrudan hangi kontrol ele alır?

Choices:
A. Olayların durumunu ve çözüm ilerlemesini izlemek
B. Olayları tanımlı ölçüt, süre ve yetkili makamlara göre raporlamak
C. Olayı teknik olarak analiz etmek ve sınırlamak
D. Kuruluş düzeyinde gizlilik raporlamasını yürütmek

Answer: B

Explanation: Senaryo olayın teknik işlenmesinden çok raporlama ölçütü, içeriği, alıcısı ve zamanını sorar. IR-6 birincil kontroldür.


Kurum, olay müdahale kabiliyetini düzenli test ettiğini söylüyor. Denetçi tatbikatın yalnız davet gönderilmiş bir toplantı olmadığını doğrulamak istiyor.

Question: En güçlü kanıt paketi hangisidir?

Choices:
A. Müdahale ekibinin eğitim tamamlama listesi
B. Onaylı olay müdahale planının kapak sayfası
C. Denetçinin tatbikata katılanların adlarını not ettiği liste
D. Senaryo, hedefler, enjekte edilen olaylar, zaman çizelgesi, karar kayıtları, ölçülen sonuçlar ve kapanan iyileştirmeler

Answer: D

Explanation: IR-3 etkinliği, tatbikatın yürütüldüğünü ve öğrenilen derslerin düzeltmeye dönüştüğünü gösteren uçtan uca kayıtlarla kanıtlanır.


Kurumun olay müdahale dokümanı yalnız üç teknik komuttan oluşuyor. Amaç, kapsam, roller, iletişim, koordinasyon, raporlama, kaynaklar, bakım ve üst yönetim onayı bulunmuyor.

Question: Bu doküman boşluğunu hangi kontrol birincil olarak giderir?

Choices:
A. Her bir olayda teknik müdahale adımlarını yürütmek
B. İş kesintisi için acil durum planı hazırlamak
C. Kapsamlı, onaylı ve sürdürülen olay müdahale planı oluşturmak
D. Olay bildirimlerini zamanında yapmak

Answer: C

Explanation: Eksik sayılan unsurlar olay müdahale planının yapısı ve yönetimine ilişkindir. IR-8 doğrudan bu planı kapsar.


SOC aynı kampanyaya ait 18 alarmı ayrı biletlerde kapatıyor. Olayların ortak kök nedeni, etkilenen varlık evreni, durum değişiklikleri ve alınan aksiyonlar merkezi olarak izlenmiyor.

Question: Bu durum en doğrudan hangi kontrolün işletim boşluğudur?

Choices:
A. Daha fazla teknik alarm ve telemetri üretmek
B. Her uç noktayı tek tek temizlemek ve kurtarmak
C. Olayları ilişkilendirerek durum, etki, aksiyon ve çözüm boyunca izlemek
D. Log inceleme sıklığını artırmak

Answer: C

Explanation: Alarm üretimi vardır; eksik olan ilişkili olayların yaşam döngüsü ve durumunun izlenmesidir. IR-5 bunu doğrudan ele alır.


Üretim sunucularında bakım işlemleri sözlü taleple yapılıyor. Bakım başlamadan onay alınmıyor, işlem kaydı tutulmuyor ve bakım sonrasında güvenlik kontrollerinin yeniden çalıştığı doğrulanmıyor.

Question: Bu süreci birincil olarak hangi kontrol düzenler?

Choices:
A. Sistem yapılandırma değişikliklerini değişiklik yönetimiyle kontrol etmek
B. Bakım ve onarımı belirlenen süre içinde tamamlamak
C. Güvenlik işlevlerinin doğru çalıştığını doğrulamak
D. Bakımı planlamak, yetkilendirmek, kaydetmek, izlemek ve tamamlanınca sistemi kontrol etmek

Answer: D

Explanation: Senaryo bakımın onay, kayıt, gözetim ve tamamlanma sonrası kontrolünü birlikte sorar. MA-2 bu kontrollü bakım yaşam döngüsünün birincil kontrolüdür.


Donanım tedarikçisi arıza gidermek için internetteki kendi uzaktan destek aracını kullanıyor. Oturum önceden onaylanmıyor, kurum tarafından başlatılmıyor, kaydedilmiyor ve iş bitince bağlantı kapatılmıyor.

Question: Bakım bağlamındaki bu riski en doğrudan hangi kontrol ele alır?

Choices:
A. Kurum genelindeki uzaktan erişim yöntemlerini ve geçitlerini yönetmek
B. Uzaktan bağlantıdaki veriyi şifrelemek
C. Bakım personelinin uygun yetki ve gözetimini sağlamak
D. Uzak bakım bağlantılarını yetkilendirmek, kurumca kontrol etmek, izlemek ve iş bitiminde sonlandırmak

Answer: D

Explanation: AC-17 genel uzaktan erişimi destekler; senaryo özellikle uzak bakım oturumunun kontrolünü sorar. Bu nedenle MA-4 daha doğrudandır.


Harici teknisyen, firmware güncellemesi için kendi USB belleğini ve tanılama dizüstü bilgisayarını getiriyor. Araçların kötü amaçlı kod, yetkisiz yazılım veya artık müşteri verisi içerip içermediği kontrol edilmiyor.

Question: Eksik olan birincil bakım kontrolü hangisidir?

Choices:
A. Genel amaçlı çıkarılabilir medya kullanımını kısıtlamak
B. Bakım araçlarını onaylamak, incelemek, korumak ve kullanımdan önce/sonra kontrol etmek
C. Sunucuda kötü amaçlı kod koruması çalıştırmak
D. Teknisyenin personel yetkisini doğrulamak

Answer: B

Explanation: Medya ve kötü amaçlı kod kontrolleri yardımcıdır; fakat bakım amacıyla getirilen araçların özel olarak kontrolü MA-3 kapsamındadır.


Kritik cihazlarda bakım yapan yüklenici personelin gerekli erişim yetkisine ve uygun gözetim koşullarına sahip olduğu beyan ediliyor.

Question: MA-5 için en güçlü kanıt hangisidir?

Choices:
A. Tedarikçi sözleşmesinde genel bir gizlilik maddesinin bulunması
B. Bakım personeli yetki listesi, kimlik doğrulama kaydı, gereken tarama sonucu ve gözetimli bakım oturum örnekleri
C. Cihazlar için yıllık bakım takvimi
D. Veri merkezi kapısının kartlı geçiş yapılandırması

Answer: B

Explanation: MA-5 kanıtı bakım yapan belirli kişilerin yetkisini, uygunluğunu ve gerekiyorsa gözetimini gerçek oturumlarla ilişkilendirmelidir.


Arızalı güvenlik sensörleri haftalarca değiştirilmediği için kritik bir üretim hattı kör kalıyor. Parça ve teknik personel tedariki için kabul edilen azami süre veya eskalasyon yok.

Question: Bakım gecikmesi riskini en doğrudan hangi kontrol ele alır?

Choices:
A. Bileşen arızalarını öngörmek ve yedeklilik planlamak
B. Bakım işlemlerini yetkilendirmek ve kaydetmek
C. Bakım desteği ve kritik onarımı tanımlı sürelerde sağlamak
D. Kesinti halinde alternatif işleyiş planlamak

Answer: C

Explanation: Sorun bakımın kayıt biçiminden çok kritik onarımın kabul edilen sürede sağlanmamasıdır. MA-6 bu zamanlı bakım ihtiyacını kapsar.


Kullanımdan çıkarılan diskler ikinci el satıcıya gönderiliyor. Dosyalar yalnız işletim sistemi üzerinden siliniyor; veri kurtarma testi veya imha sertifikası bulunmuyor.

Question: Bu veri sızıntısı riskini birincil olarak hangi kontrol azaltır?

Choices:
A. Kullanımdaki medyayı güvenli fiziksel alanda saklamak
B. Tedarik zinciri bileşenlerini elden çıkarma sürecini yönetmek
C. Medya yeniden kullanım veya elden çıkarma öncesinde uygun yöntemle temizlemek, imha etmek ve doğrulamak
D. Bilginin saklama süresini ve normal silme kuralını yönetmek

Answer: C

Explanation: Dosya silme fiziksel medyadaki veriyi güvenilir biçimde gidermez. MP-6 yeniden kullanım veya elden çıkarma öncesi temizleme ve doğrulamayı doğrudan kapsar.


Şifreli yedek bantları iki tesis arasında normal kargo ile gönderiliyor. Teslim alan kişi kaydı, kurcalamayı gösteren ambalaj, taşıma zinciri ve kayıp bildirim süreci yok.

Question: Taşıma sırasındaki riski en doğrudan hangi kontrol ele alır?

Choices:
A. Medya üzerindeki bilgiyi depolama sırasında kriptografik olarak korumak
B. Medya taşınmasını yetkilendirmek, izlemek, uygun paketleme ve teslim zinciriyle korumak
C. Medyanın tesis içindeki saklama alanını korumak
D. Tesise giren ve çıkan varlıkları fiziksel olarak kontrol etmek

Answer: B

Explanation: Şifreleme önemli olsa da senaryo fiziksel taşıma zinciri, yetkilendirme ve izlenebilirlik eksikliğini sorar. MP-5 birincil kontroldür.


Kurum, arşiv disklerinin yalnız yetkili kişilerin girebildiği ve çevresel koşulları izlenen bir alanda saklandığını söylüyor.

Question: MP-4 için en güçlü kanıt paketi hangisidir?

Choices:
A. Ana bina girişindeki güvenlik görevlisinin vardiya listesi
B. Medya envanteri, kasa erişim yetkileri ve logları, sıcaklık/nem kayıtları ile örnek fiziksel gözlem
C. Disk kutularında gizlilik etiketi bulunması
D. Arşivlenen verinin yedekleme işi başarı raporu

Answer: B

Explanation: MP-4 için kanıt belirli medyanın nerede tutulduğunu, kimin eriştiğini ve koruma koşullarının dönem boyunca işletildiğini göstermelidir.


Çalışanlar kişisel USB belleklerini üretim terminallerine takabiliyor. Kurum hangi çıkarılabilir medya türlerinin, hangi sistemlerde ve hangi amaçlarla kullanılabileceğini tanımlamamış.

Question: Bu kullanım riskini birincil olarak hangi kontrol ele alır?

Choices:
A. Takılan medyayı kötü amaçlı yazılıma karşı taramak
B. Sistemlerde kullanılabilecek medya türlerini ve kullanım koşullarını kısıtlamak veya yasaklamak
C. Hassas medyaya erişebilecek kişileri yetkilendirmek
D. İşletim sistemindeki gereksiz servisleri kaldırmak

Answer: B

Explanation: Kötü amaçlı kod taraması yardımcıdır; fakat hangi medyanın kullanılabileceğine ilişkin temel kısıtlama MP-7 kapsamındadır.


Yedek diskler farklı veri sınıfları içeriyor, ancak kutularında veya elektronik envanterinde sınıflandırma, dağıtım kısıtı ya da özel kullanım uyarısı bulunmuyor. Personel tüm diskleri aynı biçimde taşıyor.

Question: Bu bulgu en doğrudan hangi kontrol boşluğuna işaret eder?

Choices:
A. Medyanın hassasiyetini ve gerekli kullanım/dağıtım sınırlamalarını uygun biçimde işaretlemek
B. Her medya taşımasını zincir kayıtlarıyla izlemek
C. Bilgi ve sistem için güvenlik kategorisi belirlemek
D. Medyanın saklandığı fiziksel alanı korumak

Answer: A

Explanation: Sınıflandırma kararı bir girdidir; senaryodaki doğrudan açık, medyanın gerekli koruma ve dağıtım sınırlamalarını gösterecek biçimde işaretlenmemesidir. Bu MP-3 kapsamındadır.


Sunucu odasına girebilecek kişiler için onaylı ve sınırlı bir yetki listesi var. Buna rağmen kapı okuyucusu bu listeyi uygulamıyor; herhangi bir ofis kartı kapıyı açabiliyor ve çıkışlar kaydedilmiyor.

Question: Fiziksel giriş riskini en doğrudan hangi kontrol ele alır?

Choices:
A. Fiziksel erişim yetkisi verilecek kişileri onaylamak ve listelemek
B. Tanımlı giriş ve çıkış noktalarında fiziksel erişimi doğrulamak, kontrol etmek ve kayıt altına almak
C. Tesis çevresini ve fiziksel erişim olaylarını izlemek
D. Mantıksal kullanıcı hesaplarının yaşam döngüsünü yönetmek

Answer: B

Explanation: PE-2 yetkilendirme listesini sağlar; senaryo sunucu odası girişinin fiilen kontrol edilmemesini vurgular. PE-3 giriş/çıkış noktasındaki uygulama kontrolüdür.


Kurum veri merkezi çevresinin ve kritik alan girişlerinin kesintisiz izlendiğini beyan ediyor. Denetçi yalnız kameraların duvarda asılı olduğunu görmekle yetinmek istemiyor.

Question: PE-6'nın dönem boyunca işletildiğini gösteren en güçlü kanıt hangisidir?

Choices:
A. Kamera/kart okuyucu kapsama planı, sağlık durum kayıtları, alarm örnekleri, inceleme kayıtları ve arıza takipleri
B. Bir çalışanın bugün kartla kapıyı açabildiğini gösteren tek gözlem
C. Geçen ayın ziyaretçi imza defteri
D. Fiziksel güvenlik politikasının yönetimce onaylandığını gösteren e-posta

Answer: A

Explanation: Fiziksel izleme kontrolü için kapsama, sistem sağlığı, gerçek alarm/inceleme ve arıza düzeltmeleri birlikte işletim kanıtı sağlar.


Ziyaretçilere geçici kart veriliyor, ancak kimin kimi ziyaret ettiği, giriş-çıkış zamanı, kartın iadesi ve kayıtların gözden geçirilmesi takip edilmiyor.

Question: Eksikliği en doğrudan hangi kontrol giderir?

Choices:
A. Kalıcı fiziksel erişim yetkisi olan personeli listelemek
B. Tüm fiziksel giriş noktalarında erişimi teknik olarak zorlamak
C. Ziyaretçi erişim kayıtlarını oluşturmak, saklamak ve düzenli gözden geçirmek
D. Harici personelin güvenlik koşullarını sözleşmeyle yönetmek

Answer: C

Explanation: Senaryo ziyaretçi hareketlerinin kayıt ve incelemesini sorar. PE-8 bu ihtiyacı doğrudan ele alır.


Kısa süreli elektrik kesintilerinde güvenlik cihazları ve sunucular aniden kapanıyor; jeneratörün devreye girmesine kadar sistemi düzenli kapatacak veya çalıştıracak enerji kaynağı yok.

Question: Bu fiziksel dayanıklılık riskini en doğrudan hangi kontrol azaltır?

Choices:
A. Kesinti sonrasında sistemi güvenilir biçimde kurtarmak
B. Yangın algılama ve söndürme kabiliyeti sağlamak
C. Kısa süreli kesintilerde düzenli kapatma veya sürekli çalışma için acil güç sağlamak
D. Güç ekipmanı ve kablolamasını hasar ve yetkisiz erişimden korumak

Answer: C

Explanation: Sorun güç hattının fiziksel korunması değil, kesinti anında geçiş sağlayacak acil güç kapasitesidir. PE-11 doğrudan eşleşir.


Çalışanlar evden hassas müşteri verisi işliyor. Kurum dizüstü bilgisayarları şifreliyor, ancak ev çalışma alanı, ekran görünürlüğü, belge saklama, aile üyelerinin erişimi ve olay bildirim koşulları için hiçbir değerlendirme yapmıyor.

Question: Fiziksel çalışma ortamına ilişkin birincil kontrol boşluğu hangisidir?

Choices:
A. Evden kurumsal ağa yapılan uzaktan bağlantıyı yetkilendirmek
B. Dizüstündeki veriyi depolama sırasında şifrelemek
C. Alternatif çalışma yerindeki fiziksel ve çevresel korumaları tanımlamak ve değerlendirmek
D. Kurumsal arşiv medyasını güvenli tesiste saklamak

Answer: C

Explanation: Mantıksal erişim ve şifreleme uygulanmış olsa da evdeki fiziksel çalışma koşulları yönetilmemektedir. PE-17 alternatif çalışma yerlerinin korunmasına yöneliktir.


Yeni insan kaynakları sistemi için güvenlik gereksinimleri, uygulanan kontroller, sorumlular, sistem sınırı, veri akışları ve kalan risk tek bir onaylı belgede tanımlanmamış.

Question: Bu sistem düzeyi planlama boşluğunu hangi kontrol birincil olarak giderir?

Choices:
A. Kuruluşun genel risk yönetimi yaklaşımını tanımlamak
B. Sistem güvenlik ve gizlilik mimarisini açıklamak
C. Sistem sınırı, ortamı, gereksinimleri ve kontrol uygulamalarını içeren sistem planı hazırlamak
D. Bilinen eksiklikleri eylem planında izlemek

Answer: C

Explanation: Senaryo tek bir sistemde kontrol uygulamalarının ve bağlamının dokümante edilmesini sorar. PL-2 sistem güvenlik ve gizlilik planının doğrudan amacıdır.


Kullanıcılar kurumsal sistemlerde hangi davranışların kabul edildiğini, izleme yapıldığını, verilerin nasıl kullanılabileceğini ve ihlallerin sonucunu bilmeden hesap açabiliyor.

Question: Hesap verilmeden önce hangi kontrol uygulanmalıdır?

Choices:
A. Kullanım kurallarını tanımlamak, kullanıcıya bildirmek ve uygun aralıklarla kabulünü yenilemek
B. Kullanıcıya genel güvenlik farkındalık eğitimi vermek
C. Kullanıcı hesabını açmak ve periyodik gözden geçirmek
D. Belirli pozisyonlar için erişim sözleşmesi imzalatmak

Answer: A

Explanation: Senaryo sistem kullanımı için beklenen davranış ve kabulün bildirilmesini sorar. Bu PL-4 kapsamındaki davranış kurallarıdır.


Kurum sistem güvenlik mimarisinin güncel olduğunu ve güven sınırlarıyla kontrol yerleşimini doğru gösterdiğini beyan ediyor.

Question: PL-8 için en güçlü kanıt paketi hangisidir?

Choices:
A. Sistem planının yalnız kontrol listesini içeren eki
B. Bileşenlerin yalnız ad ve sürüm bilgisini içeren envanter
C. Sürümlü mimari, veri akışları, güven sınırları, güvenlik kararları, kontrol yerleşimi ve son değişiklikle tutarlılık incelemesi
D. Tedarikçinin ürün için hazırladığı genel pazarlama mimarisi

Answer: C

Explanation: PL-8 kanıtı yalnız diyagram değil; güncel sınırları, akışları, alınan güvenlik kararlarını ve kontrollerin nerede uygulandığını göstermelidir.


Kurum, yeni bir sistem için kontrol seçimine doğrudan katalogdaki yüzlerce kontrolü tek tek tartışarak başlıyor. Sistemin etki düzeyine ve kuruluşun risk yaklaşımına uygun başlangıç kontrol kümesi seçilmemiş.

Question: Kontrol seçiminin başlangıç noktasını hangi kontrol tanımlar?

Choices:
A. Sistemin güvenlik kategorisini ve olası etki düzeyini belirlemek
B. Seçilen başlangıç kümesini sisteme göre uyarlamak
C. Uygulanan kontrolleri etkinlik açısından değerlendirmek
D. Risk ve etki girdilerine uygun kontrol temelini seçmek

Answer: D

Explanation: RA-2 seçim girdisini sağlar; PL-10 uygun başlangıç kontrol temelini seçer. PL-11 ise bu temel seçildikten sonra uyarlama yapar.


Orta etki düzeyi için seçilen kontrol temeli, küçük ve çevrimdışı bir laboratuvar sistemine hiçbir gerekçe kaydedilmeden aynen uygulanıyor. Uygulanamayan kontroller sessizce 'kapsam dışı' işaretleniyor; telafi edici önlem ve kalan risk belirtilmiyor.

Question: Bu süreçte eksik olan birincil kontrol hangisidir?

Choices:
A. Kontrol temelini sistem bağlamına göre uyarlamak, değişiklikleri gerekçelendirmek ve telafi edici önlemleri belgelemek
B. Farklı bir başlangıç kontrol temeli seçmek
C. Her bulgu için genel risk yanıtı seçmek
D. Sisteme işletim yetkisi vermek

Answer: A

Explanation: Başlangıç temeli zaten seçilmiştir. Eksiklik, kontrollerin bağlama göre gerekçeli biçimde kapsamlandırılması, uyarlanması ve telafi edici önlemlerle yönetilmesidir; bu PL-11'dir.


Kuruluşun farklı iş birimleri yüzlerce uygulama işletiyor. Yönetim hangi bilgi sistemlerinin var olduğunu, sahiplerini, iş amacını ve yetkilendirme durumunu kurum çapında göremiyor.

Question: Kuruluş düzeyindeki bu görünürlük boşluğunu hangi kontrol birincil olarak giderir?

Choices:
A. Tek bir sistem kapsamındaki donanım ve yazılım bileşenlerini envanterlemek
B. Güvenlik ve gizliliği kurumsal mimariye entegre etmek
C. Her sistemin güvenlik kategorisini belirlemek
D. Kuruluşun bilgi sistemleri envanterini sahiplik ve temel niteliklerle sürdürmek

Answer: D

Explanation: CM-8 sistem bileşenleri düzeyindedir; senaryo kurum çapındaki sistem portföyünü sorar. PM-5 doğru seviyedeki kontroldür.


İş birimleri riskleri farklı ölçeklerle değerlendiriyor. Risk iştahı, toleransı, önceliklendirme ölçütleri, karar rolleri ve risklerin kurum seviyeleri arasında nasıl aktarılacağı tanımlı değil.

Question: Bu kurumsal yönetişim boşluğunu hangi kontrol birincil olarak ele alır?

Choices:
A. Kuruluş için kapsamlı ve tutarlı bir risk yönetimi stratejisi oluşturmak
B. Belirli bir sistem veya bağlam için risk değerlendirmesi yapmak
C. Tanımlı tek bir riske yanıt seçmek
D. Risk varsayımlarını ve sınırlarını çerçevelemek

Answer: A

Explanation: Senaryo kurum genelinde ortak risk yaklaşımı, roller ve toleransı sorar. PM-9 bu risk yönetimi stratejisini doğrudan kapsar.


Farklı sistemler sürekli izleme yapıyor, ancak kurum hangi kontrol alanlarının merkezden izleneceğini, hangi metriklerin kullanılacağını, sonuçların hangi seviyeye raporlanacağını ve sistemlerle kuruluş arasında nasıl paylaşılacağını belirlememiş.

Question: Bu kuruluş düzeyi koordinasyon boşluğunu hangi kontrol giderir?

Choices:
A. Belirli bir sistemde seçilmiş kontrolleri tanımlı sıklıklarla izlemek
B. Program performansını ölçmek için göstergeler belirlemek
C. Denetim kayıtlarını incelemek ve raporlamak
D. Kuruluş ve sistem düzeylerini birleştiren sürekli izleme stratejisi oluşturmak

Answer: D

Explanation: CA-7 sistem düzeyindeki uygulamadır; soru kurum çapında kapsam, metrik, paylaşım ve raporlama stratejisini sorar. PM-31 doğru düzeydeki kontroldür.


Güvenlik programı başarıyı yalnız yapılan eğitim sayısı, alınan araç sayısı ve kapatılan bilet sayısıyla raporluyor. Kapsama, gecikme, kontrol bozulması veya risk azalmasına ilişkin ölçüt yok.

Question: Bu ölçüm eksikliğini hangi kontrol birincil olarak ele alır?

Choices:
A. Güvenlik ve gizlilik programının sonuç ve etkinliğini gösterecek performans ölçütleri geliştirmek
B. Her sistem kontrolünü aynı sıklıkta teknik olarak test etmek
C. Programa daha fazla bütçe ve personel ayırmak
D. Eğitim katılım kayıtlarını daha uzun süre saklamak

Answer: A

Explanation: Faaliyet sayıları tek başına etkinliği göstermez. PM-6, programın kapsam ve sonuçlarını ölçebilen performans göstergelerini gerektirir.


Çalışan kaynaklı veri sızıntısı belirtileri insan kaynakları, hukuk, fiziksel güvenlik ve SOC tarafından ayrı ayrı görülüyor; ekipler arasında yetkili bilgi paylaşımı, ortak değerlendirme ve eskalasyon süreci yok.

Question: Kurumsal ve çok disiplinli yaklaşımı hangi kontrol birincil olarak kurar?

Choices:
A. İç tehditleri tespit ve yönetmek için çok disiplinli bir iç tehdit programı işletmek
B. Politika ihlali yapan personele yaptırım uygulamak
C. Kullanıcı davranışına ilişkin teknik telemetriyi izlemek
D. Doğrulanmış siber olayları analiz edip sınırlamak

Answer: A

Explanation: Teknik izleme ve yaptırım tek başına farklı işlevlerdeki göstergeleri birleştirmez. PM-12 çok disiplinli iç tehdit programını kurar.


Yüksek ayrıcalıklı finans yöneticileri işe başlar başlamaz erişim alıyor. Pozisyon riskine uygun geçmiş kontrolü tamamlanmadan kritik işlemler yapabiliyorlar.

Question: Bu personel riskini en doğrudan hangi kontrol azaltır?

Choices:
A. Pozisyonların risk düzeyini ve tarama gereksinimini belirlemek
B. Erişim öncesinde ve gerekli aralıklarla pozisyona uygun personel taraması yapmak
C. Yöneticinin sistem yetkilerini en aza indirmek
D. Erişim sözleşmesi ve gizlilik taahhüdü imzalatmak

Answer: B

Explanation: PS-2 tarama düzeyini belirleyen girdidir; senaryoda eksik olan taramanın erişim öncesi uygulanmasıdır. Bu PS-3 kapsamındadır.


İşten ayrılan çalışanların fiziksel ve mantıksal erişimlerinin aynı gün kapatıldığı beyan ediliyor. Denetçi seçilen dönem için bu iddiayı doğrulamak istiyor.

Question: PS-4 için en güçlü kanıt paketi hangisidir?

Choices:
A. Bugünkü etkin kullanıcı hesapları listesinin tek başına sunulması
B. Bölüm değiştiren çalışanların yetki gözden geçirme kayıtları
C. Ayrılan kişi evreni, ayrılış zamanı, İK bildirimi, hesap/kart iptal zamanları, varlık iadesi ve gecikme takibi
D. İşe girişte imzalanan gizlilik sözleşmeleri

Answer: C

Explanation: PS-4 için güçlü kanıt, ayrılık olayını tüm erişim iptalleri ve varlık işlemleriyle zaman bakımından ilişkilendirmelidir.


Bir çalışan satıştan finans bölümüne geçtiğinde eski müşteri dışa aktarma yetkileri korunuyor ve yeni ödeme yetkileri ekleniyor. Rol değişikliğinde erişim ve eğitim etkisi değerlendirilmiyor.

Question: Personel hareketi bağlamında birincil kontrol hangisidir?

Choices:
A. Transfer ve görev değişikliklerinde erişim, yetki, kimlik kartı, eğitim ve kayıtları zamanında gözden geçirmek
B. Hesabın teknik yetkilerini periyodik olarak gözden geçirmek
C. Çakışan finans görevlerini farklı kişilere ayırmak
D. İşten ayrılan kişinin erişimini sonlandırmak

Answer: A

Explanation: AC-2 teknik hesap değişikliğini uygular; soru görev değişimiyle tetiklenen daha geniş personel transfer sürecini sorar. PS-5 birincil kontroldür.


Danışmanlara hassas sistem erişimi veriliyor, ancak erişimden önce kabul edilebilir kullanım, gizlilik, yeniden paylaşım ve erişim sonrası yükümlülükleri kabul ettiklerine dair kayıt yok.

Question: Bu boşluğu en doğrudan hangi kontrol giderir?

Choices:
A. Erişim verilmeden önce uygun erişim sözleşmelerini imzalatmak ve gerektiğinde yenilemek
B. Sistem kullanıcılarına genel davranış kurallarını bildirmek
C. Harici personelin güvenlik sorumluluklarını sağlayıcı ilişkisi içinde yönetmek
D. Danışmanlara temel farkındalık eğitimi vermek

Answer: A

Explanation: Senaryonun doğrudan talebi erişimden önce bağlayıcı yükümlülüklerin kabul edilmesidir. PS-6 bu erişim sözleşmelerini kapsar.


Dış destek sağlayıcının çalışanları müşteri verisine erişiyor. Kurum, sağlayıcının personel taraması, işten ayrılış bildirimi, yaptırım ve erişim sözleşmesi süreçlerini hiç değerlendirmemiş; yalnız şirketler arası genel hizmet sözleşmesine güveniyor.

Question: Birincil personel güvenliği kontrol boşluğu hangisidir?

Choices:
A. Harici hizmetin teknik ve sözleşmesel güvenlik kontrollerini genel olarak yönetmek
B. Tedarikçinin tedarik zinciri risklerini periyodik değerlendirmek
C. Harici personelin kurum içi personele eşdeğer uygun güvenlik koşullarına tabi olmasını sağlamak
D. Kurum çalışanlarının geçmiş kontrollerini doğrudan kurum içinde yapmak

Answer: C

Explanation: Harici hizmet yönetimi daha geniştir; bulgu özellikle harici personelin tarama, ayrılış ve sözleşme gibi personel güvenliği koşullarını sorar. PS-7 en doğrudan kontroldür.


Mobil uygulama konum, kişi listesi ve cihaz sensörü verilerini topluyor. Ürün ekibi her veri türünün hangi belirli iş amacı için gerekli olduğunu ve ikincil kullanım sınırlarını belgelememiş.

Question: Bu amaç sınırlaması boşluğunu hangi kontrol birincil olarak ele alır?

Choices:
A. Kişisel veri işlemeye ilişkin yasal veya yetkili dayanağı belirlemek
B. Toplanan verinin saklama ve silme süresini uygulamak
C. Kişisel veri işleme amaçlarını tanımlamak, sınırlandırmak ve bu amaçlarla uyumu izlemek
D. Sistem için gizlilik etki değerlendirmesi yapmak

Answer: C

Explanation: Yetki ve etki değerlendirmesi gerekli olabilir; ancak her veri öğesinin açık amaçla bağlanması ve ikincil kullanımın sınırlandırılması PT-3'ün doğrudan amacıdır.


Bir sağlık uygulaması isteğe bağlı araştırma paylaşımını hizmetin zorunlu koşulu gibi gösteriyor. Kullanıcı ayrı seçim yapamıyor, kararını geri çekemiyor ve geri çekmenin sonuçları açıklanmıyor.

Question: Bu gizlilik sorununu en doğrudan hangi kontrol ele alır?

Choices:
A. Kullanıcıya veri işleme hakkında anlaşılır bildirim sunmak
B. Araştırma ve hizmet amaçlarını ayrı tanımlamak
C. Gerektiğinde özgür, belirli ve yönetilebilir onay almak; geri çekme mekanizması sağlamak
D. Araştırma verisine teknik erişimi yetkilendirmek

Answer: C

Explanation: Amaç ve bildirim destekleyicidir; senaryo özellikle isteğe bağlı işleme için seçim ve geri çekilebilir onayın bulunmamasını sorar. PT-4 birincil kontroldür.


Kurum, müşterilere kişisel verinin toplanması sırasında güncel ve anlaşılır gizlilik bildirimi sunduğunu beyan ediyor.

Question: PT-5 için en güçlü kanıt paketi hangisidir?

Choices:
A. Dönemde kullanılan bildirim sürümleri, gösterim tetikleyicileri, dil/erişilebilirlik testi, değişiklik kaydı ve örnek kullanıcı akışı
B. Pazarlama izni veren kullanıcıların toplam sayısı
C. Veri işleme amaçlarını içeren yalnız iç politika
D. Web sunucusu loglarının saklama süresi

Answer: A

Explanation: PT-5 kanıtı yalnız metnin varlığını değil, doğru zamanda doğru sürümün kullanıcıya gerçekten sunulduğunu ve sürdürüldüğünü göstermelidir.


Analitik platformu sağlık durumu ve biyometrik şablonları sıradan profil alanlarıyla aynı erişim, dışa aktarma ve saklama kurallarına tabi tutuyor. Bu veri türlerinin doğurabileceği ek zarar değerlendirilmemiş.

Question: En doğrudan gizlilik kontrol boşluğu hangisidir?

Choices:
A. Sistemin genel güvenlik etki düzeyini yeniden belirlemek
B. Özel nitelikli kişisel veri kategorileri için ek işleme koşulları ve korumalar belirlemek
C. Tüm depolanan veriyi aynı anahtarla şifrelemek
D. Genel gizlilik bildirimini daha uzun hale getirmek

Answer: B

Explanation: Senaryo belirli hassas veri kategorilerinin ek risk ve koşullarının ele alınmamasını sorar. PT-7 bu özel kategorilere yöneliktir.


Bir iş birimi, mevcut müşteri kayıtlarını yeni bir yapay zekâ modelini eğitmek için kullanmaya başlıyor. Bu yeni işlemenin mevzuat, sözleşme, politika veya onay bakımından yetkili olup olmadığı doğrulanmamış.

Question: İşlemeye başlamadan önce hangi kontrol birincil olarak uygulanmalıdır?

Choices:
A. Kişisel veriyi işlemek için geçerli yetki ve dayanağı belirlemek, belgelemek ve değişiklikte yeniden değerlendirmek
B. Model eğitiminin iş amacını teknik dokümana yazmak
C. Yeni kullanımın gizlilik etkilerini değerlendirmek
D. Test, eğitim ve araştırmada kullanılan kişisel veriyi en aza indirmek

Answer: A

Explanation: Etki değerlendirmesi ve minimizasyon gerekli olabilir; fakat işlemenin başlatılabilmesi için önce geçerli yetki/dayanak bulunmalıdır. PT-2 bu kapıyı oluşturur.


Zafiyet tarayıcısı binlerce teknik bulgu üretiyor, ancak varlığın iş önemi, tehdit olasılığı, mevcut kontroller, olası etki ve bağımlılıklar birlikte değerlendirilmediği için düzeltme önceliği belirlenemiyor.

Question: Bu bağlamsal analiz ihtiyacını hangi kontrol birincil olarak karşılar?

Choices:
A. Teknik zafiyetleri düzenli ve otomatik olarak bulmak
B. Belirlenen kusurları risk esaslı sürelerde düzeltmek
C. Tehdit, zafiyet, etki, olasılık ve mevcut kontrolleri birlikte değerlendirerek risk belirlemek
D. Değerlendirilen risk için yanıt seçmek

Answer: C

Explanation: Tarama zayıflıkları bulur; iş ve tehdit bağlamında riskin büyüklüğünü belirleyen faaliyet RA-3 kapsamındaki risk değerlendirmesidir.


Kurum kritik sunucuların haftalık zafiyet taramasına tabi olduğunu ve bulguların düzeltme sürecine aktarıldığını beyan ediyor.

Question: RA-5'in dönem boyunca işletildiğini gösteren en güçlü kanıt hangisidir?

Choices:
A. Kapsam envanteriyle eşleşen tarama işleri, kimlik doğrulamalı sonuçlar, başarısız taramalar, yanlış pozitif kararları ve yeniden tarama kapanışları
B. Yama ekibinin kullandığı genel düzeltme prosedürü
C. Sunucuların adlarını içeren fakat tarama kapsamıyla karşılaştırılmamış envanter
D. Geçen yıl yapılan tek bir sızma testi raporu

Answer: A

Explanation: RA-5 kanıtı tarama sıklığını, gerçek kapsamı, teknik başarıyı ve bulguların doğrulanıp yeniden tarandığını göstermelidir.


Bir güvenlik kontrolü iş gereksinimi nedeniyle altı ay uygulanamayacak. Ekip kontrolü sessizce kapatmak yerine riski kabul etme, azaltma, aktarma veya kaçınma seçeneklerinden birini; sahip, süre ve gerekçeyle kaydetmek istiyor.

Question: Bu kararı birincil olarak hangi kontrol yönetir?

Choices:
A. Seçilen düzeltme faaliyetlerini kilometre taşlarıyla takip etmek
B. Başlangıç kontrol temelini sistem bağlamına göre uyarlamak
C. Riskin olasılık ve etkisini değerlendirmek
D. Değerlendirilen risk için yetkili, belgeli ve izlenen bir risk yanıtı seçmek

Answer: D

Explanation: Risk değerlendirmesi girdiyi, CA-5 uygulama takibini sağlar; riskin kabul, azaltma, aktarma veya kaçınma kararına bağlanması RA-7 kapsamındadır.


Ürün ekibi çalışanların sürekli konumunu ve uygulama kullanımını izleyecek yeni bir özellik planlıyor. Toplanan veriler, paydaşlar, olası bireysel zararlar, alternatifler ve azaltıcı önlemler henüz sistematik olarak incelenmedi.

Question: Özellik devreye alınmadan önce hangi kontrol uygulanmalıdır?

Choices:
A. Kişisel veri işleme faaliyetinin gizlilik etkilerini, risklerini ve azaltma önlemlerini değerlendirmek
B. Yalnız dış siber saldırı olasılıklarını değerlendirmek
C. Özellik yayımlandıktan sonra gizlilik bildirimi göstermek
D. Her durumda tek azaltıcı önlem olarak onay istemek

Answer: A

Explanation: Yeni ve müdahaleci işleme için tasarım öncesi sistematik gizlilik etki değerlendirmesi RA-8'in doğrudan amacıdır.


Savunma ekibi yalnız mevcut SIEM alarmlarını inceliyor. Tehdit istihbaratındaki yeni saldırı tekniklerinin geçmiş telemetride iz bırakıp bırakmadığını hipotezlerle proaktif olarak aramıyor.

Question: Eksik olan birincil kontrol faaliyeti hangisidir?

Choices:
A. Mevcut kurallarla sistemleri ve ağları sürekli izlemek
B. Üretilmiş denetim kayıtlarını düzenli incelemek
C. Güncel tehdit hipotezleriyle telemetride proaktif ve tekrarlanabilir tehdit avcılığı yapmak
D. Doğrulanmış olayları sınırlamak ve temizlemek

Answer: C

Explanation: Senaryo reaktif alarm incelemesinden farklı olarak, henüz alarma dönüşmemiş tehdit belirtilerinin hipotezle aranmasını sorar. Bu RA-10'dur.


Kurum yeni bir bordro yazılımı satın alıyor. İhale ve sözleşmede güvenlik işlevleri, güvence gereksinimleri, dokümantasyon, test kanıtı, zafiyet bildirimi ve teslim ölçütleri yer almıyor.

Question: Bu satın alma boşluğunu en doğrudan hangi kontrol ele alır?

Choices:
A. Tedarik zinciri riskini azaltan satın alma stratejileri kullanmak
B. Sistem ve hizmet edinim sözleşmelerine güvenlik, gizlilik, dokümantasyon ve kabul gereksinimleri koymak
C. Üretimde kullanılan harici hizmetin kontrollerini izlemek
D. Ürünün geliştiricisine güvenlik testi yaptırmak

Answer: B

Explanation: Senaryo satın alma belgesinde ve sözleşmede bulunması gereken sistem güvenlik gereksinimlerini sorar. SA-4 bunları edinim sürecine yerleştirir.


Müşteri verisi bir dış SaaS hizmetinde işleniyor. Kurum sağlayıcının hangi kontrolleri uyguladığını, sorumluluk paylaşımını, değişiklikleri, olay bildirimini ve hizmet sona erdiğinde veri dönüşünü izlemiyor.

Question: Harici hizmetin yaşam döngüsünü birincil olarak hangi kontrol yönetir?

Choices:
A. İki kurum arasındaki bilgi alışverişi arayüzünü ve anlaşmasını tanımlamak
B. Tedarikçinin tedarik zinciri risklerini periyodik olarak değerlendirmek
C. Harici sistem hizmetlerini tanımlı güvenlik gereksinimleri, sorumluluklar ve izlemeyle yönetmek
D. SaaS bağlantısındaki veriyi aktarım sırasında korumak

Answer: C

Explanation: Senaryo hizmet sağlayıcının kontrol ve sorumluluklarının edinimden sona ermeye yönetilmesini sorar. SA-9 en doğrudan kontroldür.


Yazılım tedarikçisi güvenlik testlerinin her sürümde yapıldığını söylüyor. Denetçi pazarlama beyanı yerine geliştirici testlerinin kapsam ve sonuçlarını doğrulamak istiyor.

Question: SA-11 için en güçlü kanıt paketi hangisidir?

Choices:
A. Müşterinin iki yıl önce yaptırdığı tek bir dış sızma testi
B. Ürünün kullanıcı kılavuzu ve kurulum dokümanı
C. Sürümle izlenebilen test planı, kapsam, yöntem, otomatik/manuel sonuçlar, kusur kayıtları, düzeltmeler ve yeniden testler
D. Üretimde yayımlanan son güvenlik yamasının kurulum kaydı

Answer: C

Explanation: SA-11 kanıtı geliştiricinin belirli sürüm için planlı test yaptığını, bulguları giderdiğini ve yeniden sınadığını izlenebilir biçimde göstermelidir.


Kritik özel yazılım teslim edilmiş, ancak geliştirici güven sınırlarını, veri akışlarını, ayrıcalıklı bileşenleri, güvenlik işlevlerini, varsayımları ve tasarım kararlarını açıklayamıyor. Kurum kod değişikliklerinin güvenlik etkisini değerlendiremiyor.

Question: Geliştiriciden istenmesi gereken birincil kontrol çıktısı hangisidir?

Choices:
A. Kurumun kendi işletim ortamı için üst düzey sistem mimarisini hazırlaması
B. Son kullanıcı ve yönetici dokümantasyonu sağlaması
C. Kaynak kodu ve geliştirme yapılandırmasını değişiklik kontrolünde tutması
D. Geliştiricinin güvenlik/gizlilik mimarisini ve tasarımını yeterli ayrıntıyla açıklaması

Answer: D

Explanation: PL-8 kurumun sistem mimarisidir; soru geliştiricinin ürün içi güvenlik mimarisi ve tasarım açıklamasını sorar. Bu SA-17'nin ayırt edici amacıdır.


Kritik bir uygulama, üreticisi artık güvenlik güncellemesi yayımlamayan bir işletim sistemi üzerinde çalışıyor. Kurum riski, geçiş planını veya geçici korumaları belgelememiş.

Question: Bu durum en doğrudan hangi kontrol boşluğudur?

Choices:
A. Mevcut güvenlik yamalarını daha hızlı kurmak
B. Desteklenmeyen sistem bileşenlerini değiştirmek veya risk temelli onaylı alternatif korumalar uygulamak
C. Bileşeni envanterde işletim sistemi olarak kaydetmek
D. Desteklenmeyen bileşeni haftalık taramak

Answer: B

Explanation: Yama bulunmadığında yalnız tarama veya yama süreci sorunu çözmez. SA-22 desteklenmeyen bileşenin değiştirilmesini veya kontrollü alternatif yaklaşımı gerektirir.


İnternet, kullanıcı ağı, üretim ağı ve yönetim ağı arasında yalnız tek bir geniş güvenlik duvarı kural kümesi var. Trafik güven sınırlarında daraltılmıyor ve yönetim arayüzlerine her ağdan erişilebiliyor.

Question: Bu ağ mimarisi riskini en doğrudan hangi kontrol ele alır?

Choices:
A. Uygulama içindeki belirli veri alanlarının akışını zorlamak
B. Dış ve önemli iç sınırları belirleyip iletişimi izlemek, filtrelemek ve segmentlere ayırmak
C. Ağ trafiğini aktarım sırasında şifrelemek
D. Sunuculardaki gereksiz servisleri kapatmak

Answer: B

Explanation: Senaryo ağ güven sınırları, segmentasyon ve sınır trafiği kontrolünü sorar. SC-7 doğrudan eşleşir.


Müşteri verileri şubeler ile merkez arasında açık metin protokolle taşınıyor. Ağ erişimi olan biri içeriği okuyabilir veya aktarım sırasında değiştirebilir.

Question: Bu riski birincil olarak hangi kontrol azaltır?

Choices:
A. Veriyi disk veya veritabanında depolanırken korumak
B. Şubeler arasındaki ağ sınırlarını filtrelemek
C. İletilen bilginin gizliliğini ve bütünlüğünü uygun mekanizmalarla korumak
D. Hangi veri türünün hangi sisteme aktarılabileceğini belirlemek

Answer: C

Explanation: Sorun aktarım halindeki verinin okunması ve değiştirilmesidir. SC-8 doğrudan iletim gizliliği ve bütünlüğünü kapsar.


Kurum, veri şifreleme anahtarlarının yaşam döngüsünü güvenli yönettiğini beyan ediyor. Denetçi yalnız 'AES kullanıyoruz' ifadesini yeterli bulmuyor.

Question: SC-12 için en güçlü kanıt paketi hangisidir?

Choices:
A. Onaylı kriptografik algoritmaların isimlerini içeren kısa standart
B. Kullanıcı parolalarının yenileme ve sıfırlama prosedürü
C. Bir veritabanında şifrelemenin açık olduğunu gösteren ekran görüntüsü
D. Anahtar envanteri, üretim/dağıtım/saklama/rotasyon/iptal kayıtları, yetki ayrımı ve kurtarma testleri

Answer: D

Explanation: Algoritma seçimi tek başına anahtar yaşam döngüsünü kanıtlamaz. SC-12 için anahtarın kuruluşundan imhasına kadar süreç, yetki ve işletim kayıtları gerekir.


Bulut disk anlık görüntüleri ve veritabanı dışa aktarımları erişim kontrolüne tabi, ancak depolama ortamı veya kopya ele geçirilirse veri açıkça okunabiliyor.

Question: Depolanan verinin bu riskini en doğrudan hangi kontrol azaltır?

Choices:
A. Yetkili kullanıcıların depolama kaynağına erişimini zorlamak
B. Veriyi ağ üzerinden aktarılırken korumak
C. Fiziksel medyayı güvenli alanda saklamak
D. Bilgiyi depolama sırasında yetkisiz ifşa veya değişikliğe karşı korumak

Answer: D

Explanation: Senaryo erişim denetiminden bağımsız olarak depolama kopyasının ele geçirilmesini sorar. SC-28 depolanan bilginin korunmasına yöneliktir.


Merkezi yetkilendirme servisi erişilemez olduğunda uygulama tüm isteklere izin veriyor. Hizmet sürekliliği sağlanıyor, fakat yüksek riskli işlemler de kontrolsüz biçimde devam ediyor.

Question: Hata davranışındaki birincil kontrol boşluğu hangisidir?

Choices:
A. Yetkilendirme servisini yedekten daha hızlı kurtarmak
B. Hata halinde risk ve görev ihtiyaçlarına göre tanımlanmış bilinen güvenli duruma geçmek
C. Operatörler için güvenli arıza prosedürü yazmak
D. Yetkilendirme servisini hizmet reddi saldırılarına karşı korumak

Answer: B

Explanation: Kurtarma ve dayanıklılık yardımcıdır; uygulamanın bağımlılık hatasında tüm erişime izin vermesi güvenli durum tasarımı problemidir. SC-24 en doğrudan kontroldür.


Kritik bir uzaktan kod çalıştırma açığı için üretici yaması yayımlandı. Kurum yamanın uygulanabilirliğini değerlendirmiyor, risk esaslı süre belirlemiyor ve kurulum sonrası doğrulama yapmıyor.

Question: Bu kusur giderme boşluğunu hangi kontrol birincil olarak ele alır?

Choices:
A. Kusurları belirlemek, güncellemeleri zamanında kurmak, yapılandırma yönetimine almak ve sonucu doğrulamak
B. Açığın sistemlerde bulunup bulunmadığını taramak
C. Yama değişikliğini onaylı değişiklik sürecinden geçirmek
D. Üreticinin güvenlik duyurusunu ilgili ekiplere iletmek

Answer: A

Explanation: Tarama, bildirim ve değişiklik yönetimi girdidir; kusurun risk esaslı zamanda giderilmesi ve doğrulanması SI-2'nin birincil amacıdır.


Kullanıcı uç noktalarında zararlı dosya ve davranışları tespit edecek, güncel imzalar/davranış kuralları kullanacak ve bulguda uygun aksiyon alacak bir koruma mekanizması yok.

Question: Bu eksikliği en doğrudan hangi kontrol giderir?

Choices:
A. Ağ ve sistem telemetrisini genel saldırı göstergeleri için izlemek
B. Dosya ve yazılım bütünlüğündeki yetkisiz değişiklikleri doğrulamak
C. Uç noktadaki gereksiz uygulama ve servisleri kaldırmak
D. Kötücül kodu uygun noktalarda tespit etmek, engellemek, güncellemek ve olaya yanıt vermek

Answer: D

Explanation: Senaryo doğrudan kötü amaçlı kod koruma mekanizmasını ve güncelliğini sorar. SI-3 birincil kontroldür.


Kurum kritik ağ ve sistemleri güvenlik olayları için sürekli izlediğini beyan ediyor. Denetçi yalnız SIEM lisans faturasını kontrol etmek istemiyor.

Question: SI-4'ün etkin işletimine ilişkin en güçlü kanıt hangisidir?

Choices:
A. Kapsam eşlemesi, telemetri sağlığı, güncel tespit kuralları, örnek alarmlar, analist işlemleri, kör nokta ve iyileştirme kayıtları
B. Tek bir sunucunun log gönderdiğini gösteren ekran görüntüsü
C. Geçen yıl yaşanan bir olayın kapanış raporu
D. Tehdit avcılığı ekibinin yıllık proje planı

Answer: A

Explanation: SI-4 kanıtı kapsama ve telemetri sağlığını gerçek tespit/yanıt örnekleriyle birleştirmeli; yalnız ürünün varlığı veya tek log kaynağı yeterli değildir.


Üretim uygulamasının çalıştırılabilir dosyaları ve kritik yapılandırmaları yetkisiz biçimde değiştirilebiliyor. Sistem beklenen imza veya sağlamayı doğrulamıyor ve değişiklikte alarm üretmiyor.

Question: Birincil kontrol boşluğu hangisidir?

Choices:
A. Yetkili yapılandırma değişikliklerini onay sürecine almak
B. Bilinen kötü amaçlı yazılımları taramak
C. Yazılım, firmware ve kritik bilginin bütünlüğünü doğrulamak ve ihlali tespit etmek
D. Uygun kriptografik mekanizmaları genel olarak kullanmak

Answer: C

Explanation: CM-3 yetkili değişiklik sürecini yönetir; senaryoda asıl açık mevcut dosyaların yetkisiz değişiklik açısından doğrulanmamasıdır. SI-7 doğrudan eşleşir.


Bir API, istemciden gelen tarih, para birimi, dosya türü ve işlem tutarı alanlarını beklenen biçim, aralık ve iş kuralına göre doğrulamadan arka uç işlemlerine aktarıyor.

Question: Bu riski en doğrudan hangi kontrol azaltır?

Choices:
A. Hata mesajlarında hassas sistem ayrıntılarını gizlemek
B. API trafiğini aktarım sırasında şifrelemek
C. API çağrısı yapan kullanıcının yetkisini zorlamak
D. Girdilerin sözdizimi, anlamı, uzunluğu, aralığı ve iş kuralı uygunluğunu doğrulamak

Answer: D

Explanation: Kimlik, şifreleme ve hata yönetimi farklı riskleri ele alır. Güvenilmeyen girdinin kabulden önce doğrulanması SI-10 kapsamındadır.


Kurumun genel tedarik zinciri risk stratejisi var. Ancak kritik ödeme sistemi için kullanılan donanım, yazılım ve bulut tedarikçilerini kapsayan; tehditleri, rolleri, uygulanacak kontrolleri, izlemeyi ve güncelleme sürecini tanımlayan sistem düzeyi plan yok.

Question: Öncelikle hangi kontrol uygulanmalıdır?

Choices:
A. Kuruluş düzeyinde tedarik zinciri risk yönetimi stratejisi oluşturmak
B. Belirli sistem ve tedarik ilişkileri için uygulanabilir tedarik zinciri risk yönetimi planı hazırlamak
C. Seçilmiş tedarikçileri değerlendirmek ve gözden geçirmek
D. Harici hizmetlerin işletim kontrollerini yönetmek

Answer: B

Explanation: PM-30 kurumsal stratejiyi destekler; senaryoda operasyonel kapsam, tedarikçiler, kontroller ve bakım içeren uygulanabilir plan eksiktir. SR-2 daha doğrudandır.


Kritik cihazların ve yazılım paketlerinin yetkili üretici ve dağıtım kanallarından geldiği, yol boyunca değiştirilmediği ve teslim edilen sürümün siparişle aynı olduğu beyan ediliyor.

Question: SR-4 için en güçlü kanıt paketi hangisidir?

Choices:
A. Teslim edilen tek bir cihazın seri numarasının üretici sitesinde bulunması
B. Üretim/kaynak kökeni, yetkili dağıtım zinciri, imza/hash, teslim kayıtları ve sürüm-bileşen eşleşmesini izleyen kayıtlar
C. Kurulumdan sonra bileşenin yerel envantere eklenmesi
D. Bazı cihazların fiziksel hasar için gözle incelenmesi

Answer: B

Explanation: SR-4 köken ve gözetim zincirinin izlenebilirliğini hedefler. Tek seri numarası veya yerel envanter, kaynaktan teslimata provenance kanıtı sağlamaz.


Kritik yazılım tedarikçisi ilk sözleşmede değerlendirilmiş, fakat üç yıldır sahiplik değişiklikleri, güvenlik performansı, alt yükleniciler, olay geçmişi ve kontrol bozulmaları yeniden incelenmemiş.

Question: Bu sürekli güvence boşluğunu hangi kontrol birincil olarak ele alır?

Choices:
A. İlk satın alma sözleşmesine güvenlik gereksinimleri eklemek
B. Tedarikçileri risk ve kritikliğe göre belirli aralıklarla değerlendirmek ve yeniden gözden geçirmek
C. Tedarikçinin sunduğu aktif hizmetin teknik kontrollerini izlemek
D. Kurum içi sistem kontrollerini sürekli izlemek

Answer: B

Explanation: İlk edinim değerlendirmesi yeterli değildir. SR-6 tedarikçi riskinin ve performansının yaşam döngüsü boyunca yeniden değerlendirilmesini kapsar.


Bakım için alınan ağ cihazlarının ambalajı ve model numarası doğru görünüyor, ancak kurum sahte veya değiştirilmiş bileşeni ayırt etmek için üretici doğrulaması, güvenilir işaret, seri numarası kontrolü ya da teknik özgünlük testi yapmıyor.

Question: Birincil kontrol boşluğu hangisidir?

Choices:
A. Sahte veya değiştirilmiş bileşenleri tespit etmek ve bileşen özgünlüğünü doğrulamak
B. Bileşenin tedarik zinciri boyunca köken kayıtlarını tutmak
C. Bileşeni fiziksel kurcalamaya dirençli hale getirmek ve kurcalamayı tespit etmek
D. Teslim edilen sistem veya bileşenleri genel kabul incelemesine tabi tutmak

Answer: A

Explanation: Provenance ve kurcalama kontrolleri yardımcıdır; soru özellikle sahte bileşeni ayırt edip özgünlüğü doğrulamayı sorar. SR-11 en doğrudan kontroldür.


Kritik cihazlar hizmet sonunda geri dönüşüm şirketine gönderiliyor. Üzerindeki verinin temizlenmesi dışında, hassas mimariyi açığa çıkaran bileşenler, lisanslar, izleme etiketleri ve tedarik zinciri bilgileri için kontrollü elden çıkarma süreci yok.

Question: Tedarik zinciri yaşam döngüsünün bu son aşamasını hangi kontrol birincil olarak ele alır?

Choices:
A. Depolama medyasındaki veriyi uygun yöntemle temizlemek veya imha etmek
B. Bilgi kayıtlarının saklama süresini uygulamak
C. Sistem ve bileşenleri tedarik zinciri risklerini dikkate alarak güvenli biçimde elden çıkarmak
D. Varlıkların tesisten çıkarılmasını fiziksel olarak yetkilendirmek

Answer: C

Explanation: MP-6 veri temizleme bölümünü ele alır; senaryo daha geniş biçimde bileşenin yaşam döngüsü sonundaki tedarik zinciri ve mimari risklerini sorar. SR-12 birincil kontroldür.