آموزش جامع ISO/IEC 27005 - مدیریت ریسک امنیت اطلاعات برای مبتدیان - آخرین آپدیت

سرفصل ها و درس ها

مبانی و بررسی کلی چرخه حیات Fundamentals & Lifecycle Overview

• چرا ISO/IEC 27005 اهمیت دارد (هدف و مزایا) Why ISO/IEC 27005 Matters (Purpose & Benefits)

• مفاهیم کلیدی و تعاریف (ریسک، تهدید، نقطه ضعف، دارایی) Key Concepts & Definitions (Risk, Threat, Vulnerability, Asset)

• نگاهی سریع به چرخه حیات 27005 27005 Lifecycle at a Glance

• نحوه تعامل 27005 با استانداردهای 27001/27002/27035/22301 How 27005 Interfaces with 27001/27002/27035/22301

• تفاوت زمینه ریسک، معیارهای ریسک و پذیرش ریسک Risk Context vs. Risk Criteria vs. Risk Acceptance

• از فیشینگ تا خط‌مشی - یک سفر کوتاه در دنیای ریسک “From Phish to Policy”—Mini Risk Journey

حاکمیت، نقش‌ها و چارچوب Governance, Roles & Framework

• مدل حاکمیت ریسک (مالکان، متولیان و کمیته‌ها) Risk Governance Model (Owners, Custodians, Committees)

• تعریف اشتهای ریسک و تحمل ریسک Defining Risk Appetite & Tolerance

• خط‌مشی‌ها، رویه‌ها و منشور ریسک Policies, Procedures & Risk Charter

• مسیرهای تصاعدی (Escalation) و مراجع تصمیم‌گیرنده Escalation Paths & Decision Authorities

• مستندسازی و ارتباط با بیانیه کاربردپذیری (SoA) Documentation & SoA Linkage (Treatment Commitments)

• ماتریس RACI برای سازمانی با ۵۰۰ کارمند RACI for a 500-Employee Organization

دارایی‌ها، زمینه کسب‌وکار و وابستگی‌ها Assets, Business Context & Dependencies

• انواع دارایی‌ها و فهرست‌ها (اطلاعات، تکنولوژی، افراد، فرآیند) Asset Types & Inventories (Information, Tech, People, Process)

• فرآیندهای کسب‌وکار و جریان‌های اطلاعاتی Business Processes & Information Flows

• اهمیت دارایی و ورودی‌های طبقه‌بندی داده‌ها Criticality & Data Classification Inputs

• وابستگی‌های داخلی/خارجی و طرف‌های ثالث Internal/External Dependencies & Third Parties

• زمینه محیطی و قانونی (GDPR/HIPAA و غیره) Environmental & Regulatory Context (GDPR/HIPAA/etc.)

• نمونه ثبت دارایی‌ها و تحلیل جریان داده‌ها Sample Asset Register & Data Flow Slice

تهدیدات، نقاط ضعف و روش‌های شناسایی Threats, Vulnerabilities & Identification Methods

• چشم‌انداز تهدیدات و مدل‌های مهاجم (شامل نگاشت ATT&CK) Threat Landscape & Adversary Models (incl. ATT&CK mapping)

• منابع نقاط ضعف (تکنولوژی، فرآیند، انسانی، تامین‌کننده) Vulnerability Sources (Tech, Process, Human, Supplier)

• شناسایی ریسک بر اساس رویداد/سناریو Event/Scenario-Based Risk Identification

• استفاده از لاگ‌ها، حوادث، ممیزی‌ها و کارگاه‌ها Using Logs, Incidents, Audits & Workshops

• ملاحظات مربوط به ابری/SaaS و تکنولوژی‌های نوظهور Cloud/SaaS & Emerging Tech Considerations

• ساخت یک سناریوی ریسک در ۱۰ دقیقه Building a Risk Scenario in 10 Minutes

تحلیل و ارزیابی ریسک Risk Analysis & Evaluation

• مدل‌سازی احتمال (از کیفی تا نیمه‌کمی) Likelihood Modeling (Qualitative to Semi-Quant)

• ابعاد اثرگذاری (CIA، ایمنی، حریم خصوصی، قانونی، مالی) Impact Dimensions (CIA, Safety, Privacy, Legal, Financial)

• مقیاس‌ها، ماتریس‌ها و اشتباهات رایج Scales, Matrices & Common Pitfalls

• تکنیک‌های نیمه‌کمی (FAIR lite و Scorecards) Semi-Quant Techniques (FAIR-lite, Scorecards)

• ارزیابی ریسک در مقابل معیارها (اولویت‌بندی و نقاط برش) Risk Evaluation vs. Criteria (Prioritization & Cutoffs)

• بررسی نقشه حرارتی (Heat Map) با ۳ سناریو Heat Map Walkthrough with 3 Scenarios

درمان ریسک و انتخاب کنترل‌ها Risk Treatment & Control Selection

• گزینه‌های درمان: اجتناب، کاهش، اشتراک، پذیرش Treatment Options: Avoid, Reduce, Share, Retain

• نگاشت ریسک‌ها به مضامین کنترل‌های ISO/IEC 27002 Mapping Risks to ISO/IEC 27002 Control Themes

• محاسبه ریسک باقی‌مانده و قوانین پذیرش Residual Risk Calculation & Acceptance Rules

• قراردادهای تامین‌کننده/ابری و تضمین (SLA و حق ممیزی) Supplier/Cloud Contracts & Assurance (SLAs, Right-to-Audit)

• برنامه درمان ریسک (مالکان، ضرب‌الاجل‌ها، بودجه) Risk Treatment Plan (Owners, Deadlines, Funding)

• تبدیل سناریو به مجموعه کنترل‌ها (قبل و بعد) From Scenario to Control Set (Before/After)

ارتباطات، گزارش‌دهی و یکپارچه‌سازی Communication, Reporting & Integration

• طراحی دفتر ثبت ریسک و حداقل فیلدهای مورد نیاز Risk Register Design & Minimum Fields

• گزارش‌دهی مدیریتی و داشبوردها Executive Reporting & Dashboards

• ادغام ریسک در پروژه‌ها و تغییرات (DevSecOps و Agile) Integrating Risk into Projects & Change (DevSecOps, Agile)

• همسویی با مدیریت ریسک طرف ثالث Third-Party Risk Management Alignment

• آگاهی‌رسانی و آموزش برای ایجاد فرهنگ ریسک‌محور Awareness & Training for Risk-Informed Culture

• گزارش تک‌صفحه‌ای ریسک برای مدیران ارشد One-Page Risk Brief for Executives

پایش، بازبینی و بهبود مستمر Monitoring, Review & Continual Improvement

• شاخص‌های کلیدی ریسک (KRI) و عملکرد (KPI) و سیگنال‌های هشدار زودهنگام KRIs/KPIs & Early-Warning Signals

• تست و تضمین (مدیریت نقاط ضعف، تست نفوذ، ممیزی) Testing & Assurance (Vuln Mgmt, Pentest, Audits)

• حلقه بازخورد حوادث و درس‌های آموخته شده Incident Feedback Loop & Lessons Learned

• بازبینی مدیریت و نقشه راه بلوغ برنامه Management Review & Program Maturity Roadmap

• نکات اتوماسیون و ابزارها (یکپارچه‌سازی GRC/IR) Automation & Tooling Tips (GRC/IR Integrations)

• اسپرینت ۹۰ روزه کاهش ریسک 90-Day Risk Reduction Sprint

مثال‌ها و موارد خاص هر صنعت Industry-Specific Examples & Cases

• بهداشت و علوم زیستی (PHI، ایمنی بالینی، IoMT) Healthcare & Life Sciences (PHI, Clinical Safety, IoMT)

• خدمات مالی و فین‌تک (پرداخت‌ها، کلاهبرداری، مقررات) Financial Services & Fintech (Payments, Fraud, Regulatory)

• SaaS و تکنولوژی (داده‌های چند مستاجری، اسرار، CI/CD) SaaS & Tech (Multi-Tenant Data, Secrets, CI/CD)

• تولید و OT/ICS (ایمنی، سیستم‌های قدیمی، بخش‌بندی) Manufacturing & OT/ICS (Safety, Legacy, Segmentation)

• خرده‌فروشی و تجارت الکترونیک (داده‌های کارت، بات‌ها، فصل‌های پیک) Retail & eCommerce (Card Data, Bots, Peak Season)

• بخش دولتی و آموزش (سوابق، FOI، اشتراک‌گذاری داده‌ها) Public Sector & Education (Records, FOI, Data Sharing)

• انرژی و زیرساخت‌های حیاتی (شبکه برق/SCADA، ایمنی) Energy & Utilities/Critical Infrastructure (Grid/SCADA, Safety)