آموزش ISO/IEC 27001:2022. سیستم مدیریت امنیت اطلاعات - آخرین آپدیت

سرفصل ها و درس ها

بخش مقدماتی Introductive part

• معرفی Introduction

• امنیت اطلاعات چیست؟ What is information security?

• سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟ What is an information security management system (ISMS)?

• سری استانداردهای ISO/IEC 27000 The ISO/IEC 27000 series of standards

• درباره ISO/IEC 27001 About ISO/IEC 27001

بخش مقدماتی Introductive part

• معرفی Introduction

• امنیت اطلاعات چیست؟ What is information security?

• سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟ What is an information security management system (ISMS)?

• سری استانداردهای ISO/IEC 27000 The ISO/IEC 27000 series of standards

• درباره ISO/IEC 27001 About ISO/IEC 27001

الزامات سیستم مدیریت ISO/IEC 27001:2022 Management system requirements of ISO/IEC 27001:2022

• شناخت سازمان و زمینه آن Understanding the organization and its context

• درک نیازها و انتظارات افراد علاقه مند Understanding the needs and expectations of interested parties

• تعیین محدوده ISMS Determining the scope of the ISMS

• سیستم مدیریت امنیت اطلاعات Information security management system

• رهبری و تعهد Leadership and commitment

• خط مشی Policy

• نقش ها، مسئولیت ها و اختیارات سازمانی Organizational roles, responsibilities and authorities

• اقداماتی برای رسیدگی به ریسک ها و فرصت ها Actions to address risks and opportunities

• ارزیابی ریسک امنیت اطلاعات (قسمت 1) Information security risk assessment (part 1)

• ارزیابی ریسک امنیت اطلاعات (بخش 2) Information security risk assessment (part 2)

• درمان ریسک امنیت اطلاعات (قسمت 1) Information security risk treatment (part 1)

• درمان ریسک امنیت اطلاعات (قسمت 2) Information security risk treatment (part 2)

• اهداف امنیت اطلاعات و برنامه ریزی برای دستیابی به آنها Information security objectives and planning to achieve them

• برنامه ریزی تغییرات Planning of changes

• منابع Resources

• صلاحیت Competence

• اطلاع Awareness

• ارتباط Communication

• اطلاعات مستند Documented information

• کنترل اطلاعات مستند Control of documented information

• برنامه ریزی و کنترل عملیاتی Operational planning and control

• ارزیابی و درمان ریسک امنیت اطلاعات Information security risk assessment and treatment

• نظارت، اندازه گیری، تجزیه و تحلیل و ارزیابی Monitoring, measurement, analysis and evaluation

• حسابرسی داخلی Internal audit

• بررسی مدیریت Management review

• پیشرفت متداوم Continual improvement

• عدم انطباق و اقدام اصلاحی Nonconformity and corrective action

الزامات سیستم مدیریت ISO/IEC 27001:2022 Management system requirements of ISO/IEC 27001:2022

• شناخت سازمان و زمینه آن Understanding the organization and its context

• درک نیازها و انتظارات افراد علاقه مند Understanding the needs and expectations of interested parties

• تعیین محدوده ISMS Determining the scope of the ISMS

• سیستم مدیریت امنیت اطلاعات Information security management system

• رهبری و تعهد Leadership and commitment

• خط مشی Policy

• نقش ها، مسئولیت ها و اختیارات سازمانی Organizational roles, responsibilities and authorities

• اقداماتی برای رسیدگی به ریسک ها و فرصت ها Actions to address risks and opportunities

• ارزیابی ریسک امنیت اطلاعات (قسمت 1) Information security risk assessment (part 1)

• ارزیابی ریسک امنیت اطلاعات (بخش 2) Information security risk assessment (part 2)

• درمان ریسک امنیت اطلاعات (قسمت 1) Information security risk treatment (part 1)

• درمان ریسک امنیت اطلاعات (قسمت 2) Information security risk treatment (part 2)

• اهداف امنیت اطلاعات و برنامه ریزی برای دستیابی به آنها Information security objectives and planning to achieve them

• برنامه ریزی تغییرات Planning of changes

• منابع Resources

• صلاحیت Competence

• اطلاع Awareness

• ارتباط Communication

• اطلاعات مستند Documented information

• کنترل اطلاعات مستند Control of documented information

• برنامه ریزی و کنترل عملیاتی Operational planning and control

• ارزیابی و درمان ریسک امنیت اطلاعات Information security risk assessment and treatment

• نظارت، اندازه گیری، تجزیه و تحلیل و ارزیابی Monitoring, measurement, analysis and evaluation

• حسابرسی داخلی Internal audit

• بررسی مدیریت Management review

• پیشرفت متداوم Continual improvement

• عدم انطباق و اقدام اصلاحی Nonconformity and corrective action

کنترل های سازمانی Organizational controls

• کنترل های امنیت اطلاعات Information security controls

• سیاست های. نقش ها و مسئولیت ها. تفکیک وظایف Policies. Roles and responsibilities. Segregation of duties

• تماس با مقامات و گروه های ذینفع خاص Contact with authorities and special interest groups

• هوش تهدید امنیت اطلاعات در مدیریت پروژه Threat intelligence. Information security in project management

• موجودی و استفاده قابل قبول از اطلاعات و دارایی ها. بازگشت دارایی. Inventory and acceptable use of information and assets. Return of assets.

• طبقه بندی و برچسب گذاری اطلاعات Information classification and labelling

• انتقال اطلاعات Information transfer

• کنترل دسترسی Access control

• مدیریت هویت مدیریت احراز هویت حقوق دسترسی. Identity management. Authentication management. Access rights.

• امنیت اطلاعات در روابط و قراردادهای تامین کننده Information security in supplier relationships and agreements

• امنیت اطلاعات در زنجیره تامین فناوری اطلاعات و ارتباطات Information security in the ICT supply chain

• نظارت، بررسی و مدیریت تغییر خدمات تامین کننده Monitoring, review and change management of supplier services

• امنیت اطلاعات برای استفاده از خدمات ابری Information security for the use of cloud services

• مدیریت حوادث امنیت اطلاعات Information security incident management

• درس گرفتن از حوادث و جمع آوری شواهد Learning from incidents and collecting evidence

• امنیت اطلاعات در هنگام اختلال و آمادگی ICT برای تداوم کسب و کار Information security during disruption and ICT readiness for business continuity

• الزامات قانونی، قانونی، مقرراتی و قراردادی Legal, statutory, regulatory and contractual requirements

• مالکیت معنوی. حفاظت از سوابق حریم خصوصی و حفاظت از PII Intellectual property. Protection of records. Privacy and protection of PII

• بررسی مستقل رعایت سیاست ها، قوانین و استانداردها Independent review. Compliance with policies, rules and standards

• رویه های عملیاتی مستند Documented operating procedures

کنترل های سازمانی Organizational controls

• کنترل های امنیت اطلاعات Information security controls

• سیاست های. نقش ها و مسئولیت ها. تفکیک وظایف Policies. Roles and responsibilities. Segregation of duties

• تماس با مقامات و گروه های ذینفع خاص Contact with authorities and special interest groups

• هوش تهدید امنیت اطلاعات در مدیریت پروژه Threat intelligence. Information security in project management

• موجودی و استفاده قابل قبول از اطلاعات و دارایی ها. بازگشت دارایی. Inventory and acceptable use of information and assets. Return of assets.

• طبقه بندی و برچسب گذاری اطلاعات Information classification and labelling

• انتقال اطلاعات Information transfer

• کنترل دسترسی Access control

• مدیریت هویت مدیریت احراز هویت حقوق دسترسی. Identity management. Authentication management. Access rights.

• امنیت اطلاعات در روابط و قراردادهای تامین کننده Information security in supplier relationships and agreements

• امنیت اطلاعات در زنجیره تامین فناوری اطلاعات و ارتباطات Information security in the ICT supply chain

• نظارت، بررسی و مدیریت تغییر خدمات تامین کننده Monitoring, review and change management of supplier services

• امنیت اطلاعات برای استفاده از خدمات ابری Information security for the use of cloud services

• مدیریت حوادث امنیت اطلاعات Information security incident management

• درس گرفتن از حوادث و جمع آوری شواهد Learning from incidents and collecting evidence

• امنیت اطلاعات در هنگام اختلال و آمادگی ICT برای تداوم کسب و کار Information security during disruption and ICT readiness for business continuity

• الزامات قانونی، قانونی، مقرراتی و قراردادی Legal, statutory, regulatory and contractual requirements

• مالکیت معنوی. حفاظت از سوابق حریم خصوصی و حفاظت از PII Intellectual property. Protection of records. Privacy and protection of PII

• بررسی مستقل رعایت سیاست ها، قوانین و استانداردها Independent review. Compliance with policies, rules and standards

• رویه های عملیاتی مستند Documented operating procedures

مردم کنترل می کنند People controls

• غربالگری. شرایط و ضوابط استخدام. Screening. Terms and conditions of employment.

• آگاهی، آموزش و آموزش. روند انضباطی Awareness, training and education. Disciplinary process

• خاتمه یا تغییر شغل Termination or change of employment

• کار از راه دور Remote working

• گزارش رویداد امنیت اطلاعات Information security event reporting

مردم کنترل می کنند People controls

• غربالگری. شرایط و ضوابط استخدام. Screening. Terms and conditions of employment.

• آگاهی، آموزش و آموزش. روند انضباطی Awareness, training and education. Disciplinary process

• خاتمه یا تغییر شغل Termination or change of employment

• کار از راه دور Remote working

• گزارش رویداد امنیت اطلاعات Information security event reporting

کنترل های فیزیکی Physical controls

• محیط های امنیتی ورود فیزیکی ایمن سازی دفاتر، اتاق ها و امکانات Security perimeters. Physical entry. Securing offices, rooms and facilities

• نظارت بر امنیت فیزیکی تهدیدات فیزیکی و محیطی Physical security monitoring. Physical and environmental threats

• در مناطق امن کار کنید. میز تمیز و صفحه نمایش شفاف Work in secure areas. Clear desk and clear screen

• مکان یابی تجهیزات و حفاظت. دارایی های خارج از محل Equipment siting and protection. Assets off-premises

• رسانه ذخیره سازی Storage media

• پشتیبانی از آب و برق امنیت کابل کشی Supporting utilities. Cabling security

• نگهداری، دفع یا استفاده مجدد از تجهیزات Equipment maintenance, disposal or re-use

کنترل های فیزیکی Physical controls

• محیط های امنیتی ورود فیزیکی ایمن سازی دفاتر، اتاق ها و امکانات Security perimeters. Physical entry. Securing offices, rooms and facilities

• نظارت بر امنیت فیزیکی تهدیدات فیزیکی و محیطی Physical security monitoring. Physical and environmental threats

• در مناطق امن کار کنید. میز تمیز و صفحه نمایش شفاف Work in secure areas. Clear desk and clear screen

• مکان یابی تجهیزات و حفاظت. دارایی های خارج از محل Equipment siting and protection. Assets off-premises

• رسانه ذخیره سازی Storage media

• پشتیبانی از آب و برق امنیت کابل کشی Supporting utilities. Cabling security

• نگهداری، دفع یا استفاده مجدد از تجهیزات Equipment maintenance, disposal or re-use

کنترل های تکنولوژیکی Technological controls

• دستگاه های نقطه پایانی کاربر User end point devices

• حقوق دسترسی ممتاز محدودیت دسترسی به اطلاعات دسترسی به کد منبع Privileged access rights. Information access restriction. Access to source code

• احراز هویت امن Secure authentication

• مدیریت ظرفیت Capacity management

• محافظت در برابر بدافزار. مدیریت آسیب‌پذیری فنی Protection against malware. Technical vulnerability management

• مدیریت پیکربندی. حذف اطلاعات Configuration management. Information deletion

• پوشش داده ها و جلوگیری از نشت داده ها Data masking and data leakage prevention

• پشتیبان گیری و افزونگی امکانات پردازش اطلاعات Backup and redundancy of information processing facilities

• ورود به سیستم Logging

• نظارت بر فعالیت ها و هماهنگ سازی ساعت Monitoring activities and clock synchronization

• برنامه های کاربردی ممتاز نصب نرم افزار بر روی سیستم های عملیاتی Privileged utility programs. Software installation on operational systems

• امنیت شبکه ها Networks security

• امنیت خدمات شبکه و جداسازی شبکه ها Security of network services and segregation of networks

• فیلتر کردن وب Web filtering

• استفاده از رمزنگاری Use of cryptography

• چرخه عمر توسعه امن الزامات امنیتی برنامه Secure development life cycle. Application security requirements

• معماری سیستم های امن و اصول مهندسی Secure system architecture and engineering principles

• کد نویسی ایمن تست امنیت در توسعه و پذیرش Secure coding. Security testing in development and acceptance

• توسعه برون سپاری Outsourced development

• جداسازی محیط های توسعه، آزمایش و تولید Separation of development, test and production environments

• مدیریت تغییر Change management

• اطلاعات تست و حفاظت از سیستم ها در طول تست ممیزی Test information and the protection of systems during audit testing

• گواهینامه ISO/IEC 27001 The certification to ISO/IEC 27001

• ممنون و خداحافظ! Thank you and good bye!

• آزمون ISO/IEC 27001:2022 ISO/IEC 27001:2022 Quiz

کنترل های تکنولوژیکی Technological controls

• دستگاه های نقطه پایانی کاربر User end point devices

• حقوق دسترسی ممتاز محدودیت دسترسی به اطلاعات دسترسی به کد منبع Privileged access rights. Information access restriction. Access to source code

• احراز هویت امن Secure authentication

• مدیریت ظرفیت Capacity management

• محافظت در برابر بدافزار. مدیریت آسیب‌پذیری فنی Protection against malware. Technical vulnerability management

• مدیریت پیکربندی. حذف اطلاعات Configuration management. Information deletion

• پوشش داده ها و جلوگیری از نشت داده ها Data masking and data leakage prevention

• پشتیبان گیری و افزونگی امکانات پردازش اطلاعات Backup and redundancy of information processing facilities

• ورود به سیستم Logging

• نظارت بر فعالیت ها و هماهنگ سازی ساعت Monitoring activities and clock synchronization

• برنامه های کاربردی ممتاز نصب نرم افزار بر روی سیستم های عملیاتی Privileged utility programs. Software installation on operational systems

• امنیت شبکه ها Networks security

• امنیت خدمات شبکه و جداسازی شبکه ها Security of network services and segregation of networks

• فیلتر کردن وب Web filtering

• استفاده از رمزنگاری Use of cryptography

• چرخه عمر توسعه امن الزامات امنیتی برنامه Secure development life cycle. Application security requirements

• معماری سیستم های امن و اصول مهندسی Secure system architecture and engineering principles

• کد نویسی ایمن تست امنیت در توسعه و پذیرش Secure coding. Security testing in development and acceptance

• توسعه برون سپاری Outsourced development

• جداسازی محیط های توسعه، آزمایش و تولید Separation of development, test and production environments

• مدیریت تغییر Change management

• اطلاعات تست و حفاظت از سیستم ها در طول تست ممیزی Test information and the protection of systems during audit testing

• گواهینامه ISO/IEC 27001 The certification to ISO/IEC 27001

• ممنون و خداحافظ! Thank you and good bye!

• آزمون ISO/IEC 27001:2022 ISO/IEC 27001:2022 Quiz