آموزش دوره جامع ISO 27002:2022 - کنترل‌های امنیت اطلاعات برای مبتدیان - آخرین آپدیت

سرفصل ها و درس ها

مبانی ISO 27002 ISO 27002 Foundations

• استاندارد 27002 چه مواردی را پوشش می‌دهد و چرا اهمیت دارد What 27002 Covers and Why It Matters

• تم‌ها و ویژگی‌های کنترل‌ها (5 تم و 93 کنترل) Control Themes & Attributes (5 Themes, 93 Controls)

• ارتباط با پیوست A استاندارد ISO/IEC 27001 و بیانیه کاربرد (SoA) Link to ISO/IEC 27001 Annex A & the SoA

• تطبیق کنترل‌ها با محیط سازمان و میزان ریسک‌پذیری Tailoring Controls to Context & Risk Appetite

• نگاشت با قوانین (GDPR, HIPAA, PCI و غیره) Mapping to Regulations (GDPR, HIPAA, PCI, etc.)

• نمونه SoA برای شرکتی با 200 کارمند Mini SoA for a 200-Employee Company

حاکمیت، سیاست‌ها و سازمان Governance, Policy & Organization

• مدل حاکمیتی ISMS و مجموعه سیاست‌ها ISMS Governance Model & Policy Set

• نقش‌ها، مسئولیت‌ها و تفکیک وظایف Roles, Responsibilities & Segregation of Duties

• سیاست استفاده پذیرفتنی، BYOD و چارچوب‌های Shadow IT Acceptable Use, BYOD & Shadow IT Guardrails

• طبقه‌بندی اطلاعات و قوانین جابجایی Information Classification & Handling Rules

• اطلاعات مستند و کنترل سوابق Documented Information & Records Control

• نقشه تک‌صفحه‌ای مجموعه سیاست‌ها One-Page Policy Suite Map

دارایی‌ها، چرخه عمر داده‌ها و مبانی ریسک Assets, Data Lifecycle & Risk Basics

• سیاهه دارایی‌ها: اطلاعات، IT، OT و SaaS Asset Inventory: Information, IT, OT & SaaS

• چرخه عمر داده‌ها: ایجاد، ذخیره، استفاده، اشتراک، نگهداری و امحاء Data Lifecycle: Create, Store, Use, Share, Retain, Dispose

• شناسایی و رؤیت Cloud/SaaS (سرویس‌های سایه) Cloud/SaaS Discovery & Visibility (Shadow SaaS)

• مدیریت رسانه‌ها و امحاء امن داده‌ها Media Handling & Secure Data Disposal

• مروری بر ارزیابی و درمان ریسک (مرتبط با 27005) Risk Assessment & Treatment Overview (to 27005)

• نمونه‌ای از ثبت دارایی‌ها Sample Asset Register Slice

کنترل‌های امنیتی انسانی Human Security Controls

• غربالگری پیش از استخدام و بندهای قراردادی Pre-Employment Screening & Contractual Clauses

• آگاهی امنیتی، آموزش و شایستگی‌های مبتنی بر نقش Security Awareness, Training & Role-Based Competence

• کار دورکاری/ترکیبی: ابزارها و رفتارهای امن Remote/Hybrid Work: Secure Behaviors & Tools

• فرآیندهای انضباطی و مدیریت عدم انطباق Disciplinary Process & Non-Compliance Handling

• کنترل‌های مربوط به پایان همکاری یا تغییر شغل Termination/Change of Employment Controls

• راهنمای گفتگو برای مدیران (شناسایی زودهنگام ریسک) Manager’s Conversation Guide (Early Risk)

امنیت فیزیکی و محیطی Physical & Environmental Security

• مناطق امن و منطقه‌بندی (دفتر، آزمایشگاه، دیتاسنتر) Secure Areas & Zoning (Office, Lab, DC)

• برق، تهویه (HVAC) و حفاظت‌های محیطی Power, HVAC & Environmental Protections

• سیاست میز پاک/صفحه نمایش پاک و کار در محیط‌های عمومی Clear Desk/Clear Screen & Working in Public Spaces

• بررسی نقشه منطقه‌بندی دفتر و دیتاسنتر Office & DC Zoning Map Walkthrough

هویت، دسترسی و رمزنگاری Identity, Access & Cryptography

• مبانی IAM: فرآیندهای ورود، تغییر و خروج کاربر IAM Fundamentals: Joiner-Mover-Leaver

• الگوهای احراز هویت و MFA (برای انسان و سیستم‌ها) Authentication & MFA Patterns (Humans/Non-Humans)

• مجوزدهی: حداقل دسترسی، RBAC/ABAC و تفکیک وظایف Authorization: Least Privilege, RBAC/ABAC, SoD

• مدیریت دسترسی‌های ویژه (PAM) و دسترسی اضطراری (Break Glass) Privileged Access Management & Break-Glass

• کنترل‌های رمزنگاری و مدیریت کلیدها Cryptographic Controls & Key Management

• نمونه‌ای از بررسی دوره‌ای دسترسی‌ها (فصلی) Quarterly Access Review Snapshot

عملیات، مانیتورینگ و تاب‌آوری Operations, Monitoring & Resilience

• مدیریت تغییرات، انتشار و پیکربندی Change, Release & Configuration Management

• لاگ‌گیری، مانیتورینگ و استفاده از SIEM/EDR/NDR Logging, Monitoring & Use of SIEM/EDR/NDR

• حفاظت در برابر بدافزارها و سخت‌سازی نقاط انتهایی (Hardening) Malware Protection & Endpoint Hardening

• مدیریت آسیب‌پذیری‌ها و بازه‌های به‌روزرسانی (Patch) Vulnerability Management & Patch Cadences

• بک‌آپ/بازیابی، تاب‌آوری و ارتباط با BC/DR Backup/Restore, Resilience & BC/DR Linkages

• تور داشبورد «یک روز در مرکز عملیات امنیت (SOC)» “Day-in-the-SOC” Dashboard Tour

مهندسی امن، شبکه‌ها و تامین‌کنندگان Secure Engineering, Networks & Suppliers

• تدارکات و توسعه امن (SSDLC) Secure Acquisition & Development (SSDLC)

• کنترل‌های امنیت اپلیکیشن (Secrets, SAST/DAST, OWASP) Application Security Controls (Secrets, SAST/DAST, OWASP)

• امنیت شبکه و پلتفرم (بخش‌بندی، سخت‌سازی، Zero Trust) Network & Platform Security (Segmentation, Hardening, Zero Trust)

• امنیت تامین‌کنندگان و ابری (بررسی دلیل، قراردادها و تضمین) Supplier & Cloud Security (DD, Contracts, Assurance)

• انتقال اطلاعات و ارتباطات امن Information Transfer & Secure Communications

• چک‌لیست کنترل تامین‌کنندگان (پیش از بهره‌برداری) Supplier Control Checklist (Pre-Go-Live)

مثال‌ها و کیس‌های تخصصی صنایع Industry-Specific Examples & Cases

• بهداشت و علوم زیستی: PHI، گردش‌کار بالینی و EHR Healthcare & Life Sciences: PHI, Clinician Workflows, EHR

• خدمات مالی و فین‌تک: پرداخت‌ها، SWIFT/PCI و کلاهبرداری Financial Services & Fintech: Payments, SWIFT/PCI, Fraud

• سرویس‌های SaaS و تکنولوژی: داده‌های چندمستاجری، DevOps و مدیریت Secrets SaaS & Tech: Multi-Tenant Data, DevOps, Secrets Mgmt

• تولید و OT/ICS: بخش‌بندی، ایمنی و تجهیزات قدیمی (Legacy) Manufacturing & OT/ICS: Segmentation, Safety, Legacy Gear

• خرده‌فروشی و تجارت الکترونیک: داده‌های کارت، سوءاستفاده از بات‌ها و پیک‌های ترافیکی Retail & eCommerce: Card Data, Bot Abuse, Peak Season

• بخش دولتی و آموزش: سوابق، آزادی اطلاعات (FOI) و اشتراک داده‌ها Public Sector & Education: Records, FOI, Data Sharing

• مراکز BPO/کال‌سنتر: مهندسی اجتماعی، احراز هویت و کنترل کیفیت تماس‌ها BPO/Call Centers: Social Engineering, Identity Proofing, Call QA