CISA: Sertifikalı Bilgi Sistemleri Denetçisi Olmanın Yolu

CISA nedir, kim verir?

CISA (Certified Information Systems Auditor), BT yönetişimi, güvenlik ve denetim alanında çalışan profesyonellerin meslek kuruluşu ISACA tarafından verilen bir sertifikadır. ISACA, CISA'yı bilgi ve iş sistemlerini denetleme, izleme ve değerlendirme alanında bir yetkinlik standardı olarak tanımlar ve sertifikanın denetim görevlerinde risk temelli yaklaşım uygulama becerisini gösterdiğini belirtir.

CISA'yı anlamanın kısa yolu şudur: finansal denetçi rakamların doğruluğuna bakarken, bilgi sistemleri denetçisi bu rakamları üreten sistemlerin kontrollerine bakar. Erişim yetkileri doğru mu, değişiklikler onaylı mı, yedekler geri yüklenebiliyor mu, kritik bir sistem durduğunda iş devam edebiliyor mu? CISA bu sorulara kanıtla yanıt verebilen kişiyi belgelemeyi amaçlar.

Sınav hangi alanları kapsar?

ISACA'nın sınav içerik özetine göre CISA sınavı 150 sorudan oluşur ve beş iş uygulama alanını kapsar:

• Bilgi Sistemleri Denetim Süreci: %18. Risk temelli denetim planlama, denetim testleri ve örnekleme, kanıt toplama, denetim veri analitiği, raporlama.
• BT Yönetişimi ve Yönetimi: %18. Mevzuat ve standartlar, BT stratejisi, kurumsal risk yönetimi, veri yönetişimi, tedarikçi yönetimi.
• Bilgi Sistemlerinin Edinimi, Geliştirilmesi ve Uygulanması: %12. Proje yönetişimi, iş gerekçesi, sistem geliştirme yöntemleri, uygulama sonrası gözden geçirme.
• Bilgi Sistemleri Operasyonları ve İş Dayanıklılığı: %26. Değişiklik ve yama yönetimi, olay ve problem yönetimi, iş etki analizi, iş sürekliliği ve felaket kurtarma planları.
• Bilgi Varlıklarının Korunması: %26. Kimlik ve erişim yönetimi, ağ güvenliği, şifreleme, bulut ortamları, güvenlik olayı müdahalesi.

Son iki alan birlikte sınavın yarısından fazlasını oluşturur; operasyon ve güvenlik kontrollerini denetçi gözüyle değerlendirebilmek hazırlığın merkezindedir.

Sınav kaydı ve planlama

ISACA'nın CISA sayfasına göre sınav bilgisayar tabanlıdır ve dünya genelindeki yetkili PSI sınav merkezlerinde ya da uzaktan gözetimli olarak yapılır. Kayıt süreklidir; aday istediği zaman kayıt olabilir.

• Kayıttan itibaren sınava girmek için altı aylık uygunluk süresi tanınır.
• Ücret ödendikten en erken 48 saat sonrası için randevu alınabilir.
• Randevular en fazla 90 gün önceden açılır.
• Uygunluk süresi içinde, randevudan en az 48 saat önce yapılırsa randevu cezasız değiştirilebilir.

ISACA, sınav kaydında kullanılan adın sınav günü gösterilecek resmî kimlikteki adla aynı olmasını ister. ISACA'nın sınav aday kılavuzuna göre sınav 240 dakika sürer; puanlar 200 ile 800 arasındaki bir ölçekte raporlanır ve geçmek için en az 450 gerekir. Yanlış yanıta ceza yoktur, puan doğru yanıt sayısına dayanır.

Sınavdan sertifikaya: deneyim ve başvuru

CISA'da sınavı geçmek ilk adımdır, sertifika değildir. ISACA'ya göre sertifika için şu koşulların tamamı gerekir:

• Sınavı geçmek.
• Başvuru işlem ücretini ödemek.
• Deneyim koşulunu belgeleyen başvuruyu yapmak: CISA iş uygulama alanlarında tanımlanan bilgi sistemleri denetimi, kontrol ya da güvenlik alanında en az beş yıllık mesleki deneyim. Bu deneyim, başvuru tarihinden önceki 10 yıllık dönem içinde kazanılmış olmalıdır.
• ISACA Mesleki Etik Kuralları'na, Sürekli Mesleki Eğitim Politikası'na ve Bilgi Sistemleri Denetim Standartları'na uymayı kabul etmek.

Sınav, deneyim koşulunu henüz karşılamayanlara da açıktır. ISACA'ya göre adaylar sınavı geçtikleri tarihten itibaren beş yıl içinde sertifika başvurusu yapmalıdır. Deneyim, amir ya da yönetici tarafından doğrulanır. ISACA'nın aday kılavuzuna göre deneyim koşulunun en fazla üç yılı için muafiyet (waiver) imkânı vardır; hangi eğitim ya da belgelerin sayıldığını başvuru öncesinde ISACA'nın güncel kurallarından kontrol edin.

Sertifikayı sürdürmek

ISACA'ya göre CISA sahipleri üç yıllık bir raporlama döneminde en az 120 saat Sürekli Mesleki Eğitim (CPE) kazanıp raporlamalı ve bu süre içinde her yıl en az 20 saat CPE tamamlamalıdır. CPE'ler diğer ISACA sertifikalarının koşullarını da karşılıyorsa onlar için de sayılabilir.

Bunun pratik anlamı, denetim ve güvenlik alanındaki eğitim, konferans, yayın ve mesleki katkı faaliyetlerini yıl boyunca düzenli kaydetmektir. Yıllık asgari saat de ayrıca izlenmelidir; üç yıllık toplamı tutturmak tek başına yetmez.

Kimler için uygun?

CISA özellikle şu profiller için anlamlıdır:

• BT denetimi yapan iç denetçiler ve bağımsız denetim firmalarındaki BT denetim ekipleri.
• BT risk, uyum ve iç kontrol uzmanları.
• Bilgi güvenliği ekiplerinde kontrol tasarımı ve değerlendirmesi yapanlar.
• Bankacılık gibi düzenlemeye tabi sektörlerde BT denetimi ve uyum süreçlerinde çalışanlar.

Güvenlik programını yöneten bir rol hedefliyorsanız ISACA'nın CISM sertifikası, kurumsal iç denetimin genelini hedefliyorsanız iç denetim sertifikaları da değerlendirilebilir. Seçim, işinizin denetim mi yoksa yönetim mi olduğuna göre yapılmalıdır.

Hazırlık için pratik yol

• ISACA'nın sınav içerik özetindeki görev listesini kontrol listesi olarak kullanın; her görev için kendi işinizden bir örnek bulun.
• Soruları denetçi gözüyle okuyun: "en iyi", "ilk" ya da "en önemli" adımı soran bir soruda, teknik olarak doğru olan ile denetçinin yapması gereken her zaman aynı değildir.
• Ağırlığı yüksek operasyon ve varlık koruma alanlarına daha fazla zaman ayırın.
• Soru bankasıyla düzenli çalışın ve yanlışlarınızın gerekçesini not edin.

BT denetimine geçen iç denetçiler ve sınava hazırlanan BT risk ve uyum uzmanları için Mindset'in CISA (Sertifikalı Bilgi Sistemleri Denetçisi) Hazırlık Eğitimi, sınavın beş alanını ayrı modüllerde işler; vaka analizleri ve soru çözümüyle denetçi bakışını pekiştirir. Alanları deneme sınavı ve çalışma stratejisiyle birlikte tekrar etmek isteyenler için CISA Hazırlık eğitimi de bulunur. Sınav kaydı ve sertifika ISACA sürecine tabidir.