Курс «Система управления информационной безопасностью» (СУИБ) имеет целью ознакомление слушателей с современным подходом к обеспечению информационной безопасности (ИБ), раскрытие значения ИБ для успешного осуществления деятельности предприятия, пояснение основных этапов разработки и внедрения системы управления ИБ, ознакомление с основными положениями ведущих мировых стандартов по ИБ.
Аудитория
Курс предназначен для руководителей структурных подразделений организаций, руководителей и специалистов ИТ-подразделений, отвечающих за обеспечение безопасности и/или техническую поддержку в области ИТ, сотрудников подразделений информационной безопасности и служб охраны, представителей аналитических служб, риск-менеджеров и сотрудников служб внутреннего аудита.
Предварительная подготовка
Опыт работы в подразделениях информационных технологий или информационной безопасности.
Результаты курса
По окончании настоящего курса слушатели смогут:
Сформировать план разработки и внедрения СУИБ у себя на предприятии
Определить механизмы и подходы к управлению актуальных рисков ИБ
Обоснованно подходить к выбору механизмов контроля требуемого уровня безопасности
Оценить качество выполнения работ внутренними и внешними аудиторами ИБ.
Программа курса
Модуль 1. Введение в стандарт СТ РК ИСО/МЭК 27001-2008
Основные понятия стандартов ИСО/МЭК 27001 и ИСО/МЭК 27002 (17799) Механизм взаимодействия и применения стандартов.Их структура. Термины и определения.
Обзор и анализ средств управления информационной безопасностью Приложение «А» стандарта ИСО/МЭК 27001. Понятие мер и средств безопасности.
Общие требования стандарта ИСО/МЭК 27001 Основы построения СУИБ. Область деятельности. Понятие и значение рисков ИБ.
Анализ активов предприятия Инвентаризация активов, их оценка и ранжирование.
Управление рисками ИБ Методы и подходы к управлению рисками ИБ. Выявление и оценка угроз, уязвимостей, возможного ущерба. Выбор стратегий управления рисками.
Документация СУИБ Выбор стратегии управления рисками ИБ. Обоснование необходимых мер безопасности.
Модуль 2. Внедрение Системы Управления Информационной Безопасностью
Определение области СУИБ
Идентификация активов Информационной Системы предприятия Виды активов. Их инвентаризация.
Определение ценности активов Факторы, влияющие на ценность активов, их ранжирование.
Определение уровня рисков ИБ Выявление и оценка рисков. Критерии оценки.
Политика ИБ и требуемый уровень безопасности Концепция и политика ИБ, методы их формирования. Остаточные риски.
Механизмы и цели контроля Построение системы контроля рисков, процедур, средств управления ИБ.
Определение процедур внедрения средств управления ИБ Ознакомление и оповещение. Обучение. Обеспечение непрерывности бизнеса предприятия.
Завершение внедрения СУИБ Документация СУИБ. Матрица применимости. Записи СУИБ. Механизмы анализа и пересмотра СУИБ.
Понятие аудита СУИБ Необходимость аудита, его виды, цели, задачи. Обязанности аудитора.
Подготовка к аудиту и его проведение Планирование аудита. Подготовка аудитора. Документы. Сбор свидетельств. Техника аудита. Ведение записей. Формулирование несоответствий.
Завершение аудита Общий отчет. Заключительное совещание.
