آموزش مجری اصلی ISO 27001

سرفصل ها و درس ها

معرفی Introduction

• معرفی Introduction

مبانی Fundamentals

• دارایی های اطلاعاتی Information Assets

• امنیت اطلاعات چیست؟ What is Information Security?

• سیا سه گانه CIA Triad

• آزمون: مبانی امنیت اطلاعات Quiz: Information Security Fundamentals

• سیستم مدیریت چیست؟ What is a Management System?

• سیستم های مدیریت امنیت اطلاعات (ISMS) Information Security Management Systems (ISMS)

• استانداردهای بین المللی International Standards

• خانواده استانداردهای ISO 27000 ISO 27000 Family of Standards

• پیمایش استانداردها: ISO 27001 و خانواده ISO 27000 Navigating the Standards: ISO 27001 and the ISO 27000 Family

• نقشه های ذهنی خود را دانلود کنید Download your Mind Maps

• آزمون: استانداردهای سیستم مدیریت Quiz: Management System Standards

ISO/IEC 27001:2022 ISO/IEC 27001:2022

• هدف Purpose

• فهرست مطالب Table of Contents

• نحوه پیاده سازی ISO 27001 How to implement ISO 27001

• طرح پروژه را دانلود کنید Download the Project Plan

• 7.5 اطلاعات مستند 7.5 Documented Information

• امتحان: درک ISO 27001 Quiz: Understanding ISO 27001

مرحله 1: پشتیبانی مدیریت Step 1: Management Support

• بررسی اجمالی Overview

• 5.1 رهبری و تعهد 5.1 Leadership and Commitment

• 5.3 نقش ها، مسئولیت ها و اختیارات سازمانی 5.3 Organisational Roles, Responsibilities and Authorities

• 7.1 منابع 7.1 Resources

• 7.2 شایستگی 7.2 Competence

• 7.3 آگاهی 7.3 Awareness

• 7.4 ارتباطات 7.4 Communication

مرحله 2: محدوده را تعیین کنید Step 2: Determine Scope

• بررسی اجمالی Overview

• 4.1 شناخت سازمان و زمینه آن 4.1 Understanding the organization and its context

• 4.2 درک نیازها و انتظارات افراد ذینفع 4.2 Understanding the needs and expectations of interested parties

• 4.3 تعیین محدوده ISMS 4.3 Determining the scope of the ISMS

• الگوی Scope خود را دانلود کنید Download your Scope Template

• 4.4 سیستم مدیریت امنیت اطلاعات 4.4 Information Security Management System

مرحله 3: خط مشی امنیت اطلاعات را تعریف کنید Step 3: Define Information Security Policy

• بررسی اجمالی Overview

• 6.2 اهداف امنیت اطلاعات 6.2 Information Security objectives

• 5.2 خط مشی 5.2 Policy

• خط مشی امنیت اطلاعات خود را دانلود کنید Download your Information Security Policy

مرحله 4: موجودی دارایی ها Step 4: Inventory of Assets

• بررسی اجمالی Overview

• الف-5-9 موجودی اطلاعات و سایر دارایی های مرتبط A.5.9 Inventory of information and other associated assets

• الف.5.12 طبقه بندی اطلاعات A.5.12 Classification of information

• خط مشی طبقه بندی اطلاعات خود را دانلود کنید Download your information classification policy

• الف.5.13 برچسب گذاری اطلاعات A.5.13 Labelling of information

مرحله 5: روش مدیریت ریسک Step 5: Risk Management Methodology

• بررسی اجمالی Overview

• اصول ریسک Risk Fundamentals

• آزمون مبانی ریسک Risk Fundamentals Quiz

• 6.1 اقدامات برای رسیدگی به خطرات و فرصت ها 6.1 Actions to address risks and opportunities

• فرآیند مدیریت ریسک و ISO/IEC 27005 Risk Management Process and ISO/IEC 27005

• 6.1.2 ارزیابی ریسک امنیت اطلاعات 6.1.2 Information Security Risk Assessment

• 6.1.3 درمان خطر امنیت اطلاعات 6.1.3 Information Security Risk Treatment

ضمیمه A: کنترل های امنیت اطلاعات Annex A: Information Security Controls

• کنترل چیست؟ What is a Control?

• پیوست A Annex A

• الف.5.1 سیاست های امنیت اطلاعات A.5.1 Policies for information security

• الف.5.2 نقش ها و مسئولیت های امنیت اطلاعات A.5.2 Information security roles and responsibilities

• الف.5.3 تفکیک وظایف A.5.3 Segregation of duties

• الف.5.4 مسئولیت های مدیریتی A.5.4 Management responsibilities

• الف.5.5 تماس با مقامات A.5.5 Contact with authorities

• الف.5.6 تماس با گروه های ذینفع خاص A.5.6 Contact with special interest groups

• الف.5.7 هوش تهدید A.5.7 Threat intelligence

• الف.5.8 امنیت اطلاعات در مدیریت پروژه A.5.8 Information security in project management

• الف-5-9 موجودی اطلاعات و سایر دارایی های مرتبط A.5.9 Inventory of information and other associated assets

• الف.5.10 استفاده قابل قبول از اطلاعات و سایر دارایی های مرتبط A.5.10 Acceptable use of information and other associated assets

• الف.5.11 بازگشت دارایی A.5.11 Return of assets

• الف.5.12 طبقه بندی اطلاعات A.5.12 Classification of information

• الف.5.13 برچسب گذاری اطلاعات A.5.13 Labelling of information

• A.5.14 انتقال اطلاعات A.5.14 Information transfer

• A.5.15 کنترل دسترسی A.5.15 Access control

• A.5.16 مدیریت هویت A.5.16 Identity management

• A.5.17 اطلاعات احراز هویت A.5.17 Authentication information

• A.5.18 حقوق دسترسی A.5.18 Access rights

• الف.5.19 امنیت اطلاعات در روابط تامین کننده A.5.19 Information security in supplier relationships

• الف.5.20 پرداختن به امنیت اطلاعات در قراردادهای تامین کننده A.5.20 Addressing information security within supplier agreements

• الف.5.21 مدیریت امنیت اطلاعات در فناوری اطلاعات و ارتباطات A.5.21 Managing information security in the information and communication techno

• الف.5.22 نظارت، بررسی و مدیریت تغییر خدمات تامین کننده A.5.22 Monitoring, review and change management of supplier services

• الف.5.23 امنیت اطلاعات برای استفاده از خدمات ابری A.5.23 Information security for use of cloud services

• الف.5.24 برنامه ریزی و آماده سازی مدیریت حوادث امنیت اطلاعات A.5.24 Information security incident management planning and preparation

• الف.5.25 ارزیابی و تصمیم گیری در مورد رویدادهای امنیت اطلاعات A.5.25 Assessment and decision on information security events

• الف.5.26 پاسخ به حوادث امنیت اطلاعات A.5.26 Response to information security incidents

• الف.5.27 یادگیری از حوادث امنیت اطلاعات A.5.27 Learning from information security incidents

• الف.5.28 جمع آوری شواهد A.5.28 Collection of evidence

• الف.5.29 امنیت اطلاعات در هنگام اختلال A.5.29 Information security during disruption

• الف.5.30 آمادگی ICT برای تداوم کسب و کار A.5.30 ICT readiness for business continuity

• الف.5.31 الزامات قانونی، قانونی، مقرراتی و قراردادی A.5.31 Legal, statutory, regulatory and contractual requirements

• الف.5.32 حقوق مالکیت فکری A.5.32 Intellectual property rights

• الف.5.33 حفاظت از سوابق A.5.33 Protection of records

• A.5.34 حریم خصوصی و حفاظت از اطلاعات هویتی شخصی (PII) A.5.34 Privacy and protection of personal identifiable information (PII)

• الف.5.35 بررسی مستقل امنیت اطلاعات A.5.35 Independent review of information security

• الف.5.36 رعایت سیاست ها، قوانین و استانداردهای امنیت اطلاعات A.5.36 Compliance with policies, rules and standards for information security

• الف.5.37 رویه های عملیاتی مستند A.5.37 Documented operating procedures

• الف.6.1 غربالگری A.6.1 Screening

• الف.6.2 شرایط و ضوابط استخدام A.6.2 Terms and conditions of employment

• الف.6.3 آگاهی، آموزش و آموزش امنیت اطلاعات A.6.3 Information security awareness, education and training

• الف.6.4 فرآیند انضباطی A.6.4 Disciplinary process

• الف-6-5 مسئولیت های پس از خاتمه یا تغییر شغل A.6.5 Responsibilities after termination or change of employment

• الف.6.6 قراردادهای محرمانه یا عدم افشا A.6.6 Confidentiality or non-disclosure agreements

• A.6.7 کار از راه دور A.6.7 Remote working

• A.6.8 گزارش رویداد امنیت اطلاعات A.6.8 Information security event reporting

• الف.7.1 محیط های امنیتی فیزیکی A.7.1 Physical security perimeters

• الف.7.2 ورود فیزیکی A.7.2 Physical entry

• الف.7.3 ایمن سازی دفاتر، اتاق ها و تأسیسات A.7.3 Securing offices, rooms and facilities

• الف.7.4 نظارت بر امنیت فیزیکی A.7.4 Physical security monitoring

• الف.7.5 حفاظت در برابر تهدیدات فیزیکی و محیطی A.7.5 Protecting against physical and environmental threats

• الف.7.6 کار در مناطق امن A.7.6 Working in secure areas

• A.7.7 پاک کردن میز و صفحه نمایش شفاف A.7.7 Clear desk and clear screen

• الف.7.8 مکان یابی و حفاظت تجهیزات A.7.8 Equipment siting and protection

• الف.7.9 امنیت دارایی ها در خارج از محل A.7.9 Security of assets off-premises

• A.7.10 رسانه ذخیره سازی A.7.10 Storage media

• A.7.11 پشتیبانی از ابزار A.7.11 Supporting utilities

• A.7.12 امنیت کابل کشی A.7.12 Cabling security

• A.7.13 تعمیر و نگهداری تجهیزات A.7.13 Equipment maintenance

• الف.7.14 دفع ایمن یا استفاده مجدد از تجهیزات A.7.14 Secure disposal or re-use of equipment

• A.8.1 دستگاه های نقطه پایانی کاربر A.8.1 User end point devices

• A.8.2 حقوق دسترسی ممتاز A.8.2 Privileged access rights

• A.8.3 محدودیت دسترسی به اطلاعات A.8.3 Information access restriction

• الف.8.4 دسترسی به کد منبع A.8.4 Access to source code

• A.8.5 احراز هویت امن A.8.5 Secure authentication

• الف.8.6 مدیریت ظرفیت A.8.6 Capacity management

• A.8.7 حفاظت در برابر بدافزار A.8.7 Protection against malware

• الف.8.8 مدیریت آسیب پذیری های فنی A.8.8 Management of technical vulnerabilities

• A.8.9 مدیریت پیکربندی A.8.9 Configuration management

• A.8.10 حذف اطلاعات A.8.10 Information deletion

• A.8.11 پوشاندن داده ها A.8.11 Data masking

• A.8.12 جلوگیری از نشت داده ها A.8.12 Data leakage prevention

• A.8.13 پشتیبان گیری اطلاعات A.8.13 Information backup

• الف.8.14 افزونگی امکانات پردازش اطلاعات A.8.14 Redundancy of information processing facilities

• A.8.15 ورود به سیستم A.8.15 Logging

• A.8.16 فعالیت های نظارتی A.8.16 Monitoring activities

• A.8.17 همگام سازی ساعت A.8.17 Clock synchronization

• الف.8.18 استفاده از برنامه های کاربردی ممتاز A.8.18 Use of privileged utility programs

• الف.8.19 نصب نرم افزار بر روی سیستم های عملیاتی A.8.19 Installation of software on operational systems

• A.8.20 امنیت شبکه A.8.20 Networks security

• الف.8.21 امنیت خدمات شبکه A.8.21 Security of network services

• A.8.22 جداسازی شبکه ها A.8.22 Segregation of networks

• A.8.23 فیلتر کردن وب A.8.23 Web filtering

• الف.8.24 استفاده از رمزنگاری A.8.24 Use of cryptography

• A.8.25 چرخه عمر توسعه امن A.8.25 Secure development life cycle

• الف.8.26 الزامات امنیتی برنامه A.8.26 Application security requirements

• الف.8.27 اصول مهندسی و معماری سیستم امن A.8.27 Secure system architecture and engineering principles

• A.8.28 کدگذاری ایمن A.8.28 Secure coding

• A.8.29 تست امنیت در توسعه و پذیرش A.8.29 Security testing in development and acceptance

• A.8.30 توسعه برون سپاری A.8.30 Outsourced development

• الف.8.31 جداسازی محیط های توسعه، آزمایش و تولید A.8.31 Separation of development, test and production environments

• A.8.32 مدیریت تغییر A.8.32 Change management

• A.8.33 اطلاعات آزمون A.8.33 Test information

• الف.8.34 حفاظت از سیستم های اطلاعاتی در طول تست حسابرسی A.8.34 Protection of information systems during audit testing

مرحله 6: ارزیابی ریسک امنیت اطلاعات Step 6: Information Security Risk Assessment

• بررسی اجمالی Overview

• 8.2 ارزیابی ریسک امنیت اطلاعات 8.2 Information security risk assessment

مرحله 7: درمان ریسک امنیت اطلاعات Step 7: Information Security Risk Treatment

• بررسی اجمالی Overview

• 8.3 درمان خطر امنیت اطلاعات 8.3 Information security risk treatment

• بیانیه کاربرد (SoA) خود را دانلود کنید Download your Statement of Applicability (SoA)

مرحله 8: ارزیابی عملکرد Step 8: Performance Evaluation

• بررسی اجمالی Overview

• Compliance چیست؟ What is Compliance?

• 9.1 نظارت، اندازه گیری، تجزیه و تحلیل و ارزیابی 9.1 Monitoring, Measurement , Analysis and Evaluation

• 9.2 حسابرسی داخلی 9.2 Internal Audit

• 9.3 بررسی مدیریت 9.3 Management Review

مرحله 9: بهبود Step 9: Improvement

• بررسی اجمالی Overview

• 10.1 بهبود مستمر 10.1 Continual Improvement

• 10.2 عدم انطباق و اقدام اصلاحی 10.2 Nonconformity and corrective action

مرحله 10: ممیزی گواهینامه Step 10: Certification Audit

• بررسی اجمالی Overview

• فرآیند صدور گواهینامه Certification Process