Обучение основам ISO 27001

Урок 1 • Бизнес-драйверы информационной безопасности

Рассматриваются регуляторное давление, репутационный риск и конкурентное преимущество как мотиваторы безопасности. Готовит учащихся к обоснованию внедрения ISO 27001 с бизнес-позиции.

Урок 2 • Угрозы, уязвимости и риск

Объясняется взаимосвязь между угрозами, уязвимостями и риском в практическом ключе. Предоставляет язык риска, необходимый для всех последующих обсуждений ISO 27001.

Урок 3 • Что такое информационная безопасность

Определяет информационную безопасность и отличает её от кибербезопасности и ИТ-безопасности. Закрепляет главу, устанавливая общий словарь, используемый в курсе.

Урок 1 • Что такое СУИБ

Определяет систему управления информационной безопасностью как набор политик, процессов и средств контроля. Устанавливает, что СУИБ является центральным артефактом, который учащиеся научатся создавать и проверять.

Урок 2 • История и цель ISO 27001

Прослеживается эволюция стандарта от более ранних сводов правил до текущей версии. Объясняется, почему существует стандарт и для кого он предназначен.

Урок 3 • Структура стандарта ISO 27001

Отображает постатейную структуру стандарта от области применения до улучшения. Дает учащимся навигационную рамку для всех последующих детальных изучений разделов.

Урок 1 • Раздел 4: Контекст организации

Охватывает анализ внутренних и внешних факторов и идентификацию заинтересованных сторон. Обучает учащихся определять область применения СУИБ на основе реалий организации.

Урок 2 • Цикл PDCA в контексте СУИБ

Сопоставляет этапы «Планируй», «Делай», «Проверяй» и «Действуй» с деятельностью СУИБ и разделами ISO 27001. Предоставляет модель итеративного улучшения, лежащую в основе всех последующих глав.

Урок 3 • Раздел 6: Планирование

Рассматривает идентификацию рисков и возможностей, методологию оценки риска и постановку целей. Связывает результаты планирования с деятельностью по обработке риска в следующей главе.

Урок 1 • Варианты обработки риска

Охватывает четыре стратегии обработки: модификация, избегание, передача и принятие. Связывает каждый вариант с выбором средств контроля из Приложения A и других источников.

Урок 2 • Разработка процесса оценки риска

Устанавливает критерии идентификации, анализа и оценки риска до начала любой оценки. Обеспечивает задокументированную, воспроизводимую и проверяемую методологию.

Урок 3 • Заявление о применимости

Объясняет цель, требуемое содержание и поддержание Заявления о применимости. Демонстрирует, как оно связывает решения по обработке риска с выбором средств контроля из Приложения A.

Урок 4 • Идентификация и анализ рисков

Проводит учащихся через инвентаризацию активов, сопоставление угроз и уязвимостей и оценку риска. Создает черновой реестр рисков, который питает решения по обработке.

Урок 1 • Осведомленность и коммуникация

Рассматривает, что персонал должен знать о СУИБ и как структурируются планы коммуникации. Обеспечивает понимание и поддержку СУИБ во всей организации.

Урок 2 • Раздел 8: Операционное планирование и управление

Охватывает планирование и управление процессами, реализующими решения по обработке риска. Связывает операционные средства контроля с планом обработки риска, разработанным в Главе 4.

Урок 3 • Управление документированной информацией

Объясняет требования к созданию, управлению и хранению документов и записей СУИБ. Готовит учащихся к созданию системы управления документами, удовлетворяющей аудиторов.

Урок 1 • Технологические средства контроля

Анализирует управление доступом, криптографию, регистрацию событий, управление уязвимостями и маскирование данных. Предоставляет словарь технических средств контроля, необходимый для принятия решений по обработке риска.

Урок 2 • Организационные средства контроля

Рассматривает политику, роли, разведку угроз и средства контроля безопасности поставщиков. Устанавливает уровень управления, обеспечивающий эффективное функционирование всех технических средств контроля.

Урок 3 • Физические средства контроля

Рассматривает контроль периметра, защиту оборудования, политику чистого стола и безопасное уничтожение. Связывает физические меры защиты с целями защиты информационных активов.

Урок 1 • Проведение внутреннего аудита

Проводит через вводные совещания, сбор свидетельств, классификацию несоответствий и заключительные совещания. Дает учащимся практические навыки для проведения аудита СУИБ, соответствующего требованиям.

Урок 2 • Раздел 9: Мониторинг и измерения

Определяет, что измерять, как измерять и когда анализировать результаты. Закладывает основу метрик, питающую анализ со стороны руководства и постоянное улучшение.

Урок 3 • Разработка программы внутреннего аудита

Охватывает планирование программы аудита, определение области, частоту и компетентность аудиторов. Готовит учащихся к созданию надежной, риск-ориентированной функции внутреннего аудита.

Урок 1 • Методы анализа корневых причин

Представляет метод «Пять почему», диаграмму Исикавы и анализ дерева отказов для несоответствий СУИБ. Обеспечивает устранение причин, а не симптомов, корректирующими действиями.

Урок 2 • Понимание несоответствий

Различает значительные и незначительные несоответствия и объясняет их влияние на сертификацию. Предоставляет знания о классификации, необходимые до начала корректирующих действий.

Урок 3 • Процесс корректирующих действий

Структурирует рабочий процесс корректирующих действий от выявления до проверки эффективности. Связывает корректирующие действия с реестром рисков и обновлениями средств контроля.