آموزش ممیز ارشد ISO/IEC 27001 امنیت اطلاعات - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• مقدمه Introduction

• سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟ What is an ISMS (Information Security Management System)?

• مجموعه استانداردهای ISO/IEC 27000 The ISO/IEC 27000 series of standards

• درباره ISO/IEC 27001:2022 About ISO/IEC 27001:2022

• صدور گواهینامه ISO/IEC 27001 Certification to ISO/IEC 27001

جنبه‌های عمومی حسابرسی سیستم مدیریت Generic aspects about management system auditing

• حسابرسی سیستم مدیریت چیست؟ What is a management system audit?

• اصول حسابرسی سیستم مدیریت Principles of management system auditing

• برنامه حسابرسی چیست؟ What is an audit programme?

• آماده شدن برای حسابرسی Preparing for an audit

• تیم حسابرسی The audit team

• حسابرس ارشد در مقابل حسابرس Lead auditor vs. Auditor

• طرح حسابرسی The audit plan

• انجام حسابرسی Conducting an audit

• جمع‌آوری و ثبت شواهد Collecting and recording evidence

• حسابرسی از راه دور Remote auditing

• یافته‌ها و نتایج حسابرسی Audit findings and conclusions

• گزارش حسابرسی و فعالیت‌های پس از حسابرسی The audit report and post-audit activities

حسابرسی الزامات سیستم مدیریت در ISO/IEC 27001:2022 Auditing the management system requirements in ISO/IEC 27001:2022

• استراتژی حسابرسی یک ISMS Strategy for auditing an ISMS

• حسابرسی و اطلاعات مستند Audit and documented information

• حسابرسی مدیریت ارشد Auditing top management

• بستر سازمان Context of the organization

• دامنه ISMS The scope of the ISMS

• رهبری و تعهد Leadership and commitment

• سیاست امنیت اطلاعات The information security policy

• نقش‌ها، مسئولیت‌ها و اختیارات سازمانی Organizational roles, responsibilities and authorities

• پرداختن به ریسک‌ها و فرصت‌ها Addressing risks and opportunities

• ارزیابی ریسک امنیت اطلاعات The information security risk assessment

• مدیریت ریسک امنیت اطلاعات Information security risk treatment

• بیانیه کاربردپذیری (SoA) The Statement of Applicability (SoA)

• اهداف امنیت اطلاعات و برنامه‌ریزی برای دستیابی به آن‌ها Information security objectives and planning to achieve them

• برنامه‌ریزی تغییرات Planning of changes

• منابع Resources

• صلاحیت و آگاهی Competence and awareness

• ارتباطات Communication

• اطلاعات مستند ISMS The ISMS documented information

• برنامه‌ریزی و کنترل عملیاتی Operational planning and control

• نظارت، اندازه‌گیری، تجزیه و تحلیل و ارزیابی Monitoring, measurement, analysis and evaluation

• حسابرسی داخلی Internal audit

• بازنگری مدیریت Management review

• بهبود مستمر Continual improvement

• مدیریت عدم انطباق‌ها Management of nonconformities

• خلاصه – الزامات سیستم مدیریت ISO/IEC 27001:2022 Recapitulation - Management system requirements of ISO/IEC 27001:2022

• حسابرسی الزامات سیستم مدیریت ISO/IEC 27001:2022 Auditing the management system requirements of ISO/IEC 27001:2022

کنترل‌های سازمانی Organizational controls

• ملاحظات مربوط به کنترل‌های سازمانی Considerations about the organizational controls

• سیاست‌ها و رویه‌های امنیت اطلاعات Policies and procedures for information security

• نقش‌ها و مسئولیت‌های امنیت اطلاعات Information security roles and responsibilities

• جداسازی وظایف Segregation of duties

• ارتباط با مقامات و گروه‌های ذینفع خاص Contact with authorities and with special interest groups

• هوش تهدید Threat intelligence

• امنیت اطلاعات در مدیریت پروژه Information security in project management

• فهرست اطلاعات و دارایی‌های مرتبط Inventory of information and associated assets

• استفاده قابل قبول از اطلاعات و دارایی‌ها. بازگرداندن دارایی‌ها Acceptable use of information and assets. Return of assets

• طبقه‌بندی و برچسب‌گذاری اطلاعات Classification and labelling of information

• انتقال اطلاعات Information transfer

• کنترل دسترسی و حقوق دسترسی Access control and access rights

• مدیریت هویت Identity management

• اطلاعات احراز هویت Authentication information

• امنیت اطلاعات در روابط و توافق‌نامه‌های تامین‌کنندگان Information security in supplier relationships and agreeements

• امنیت اطلاعات در زنجیره تامین ICT Information security in the ICT supply chain

• امنیت اطلاعات برای استفاده از خدمات ابری Information security for use of cloud services

• مدیریت حوادث امنیت اطلاعات Information security incident management

• جنبه‌های امنیت اطلاعات تداوم کسب‌وکار Information security aspects of business continuity

• انطباق با الزامات قانونی، اداری و نظارتی Compliance with legal, statutory and regulatory requirements

• حریم خصوصی و حفاظت از اطلاعات شخصی قابل شناسایی (PII) Privacy and protection of PII

• بازنگری مستقل امنیت اطلاعات. انطباق با سیاست‌ها و قوانین Independent review of information security. Compliance with policies and rules

• خلاصه – کنترل‌های سازمانی Recapitulation - Organizational controls

• آزمون کنترل‌های سازمانی Quiz Organizational controls

کنترل‌های افراد People controls

• ملاحظات مربوط به کنترل‌های افراد Considerations about the people controls

• غربالگری Screening

• شرایط استخدام. توافق‌نامه‌های محرمانگی و عدم افشا Terms & conditions of employment. Confidentiality and non-disclosure agreements

• آگاهی، آموزش و پرورش امنیت اطلاعات Information security awareness, education and training

• فرآیند انضباطی Disciplinary process

• مسئولیت‌ها پس از خاتمه یا تغییر شغل Responsibilities after termination or change of employment

• کار از راه دور Remote working

• گزارش‌دهی رویداد امنیت اطلاعات Information security event reporting

• خلاصه – کنترل‌های افراد Recapitulation - People controls

• آزمون کنترل‌های افراد Quiz People controls

کنترل‌های فیزیکی Physical controls

• ملاحظات مربوط به کنترل‌های فیزیکی Considerations about the physical controls

• محیط‌های امنیتی. ورود فیزیکی. ایمن‌سازی اتاق‌ها و تأسیسات Security perimeters. Phyiscal entry. Securing rooms and facilities

• نظارت بر امنیت فیزیکی Physical security monitoring

• حفاظت در برابر تهدیدات فیزیکی و محیطی Protection against physical and environmental threats

• کار در مناطق امن Work in secure areas

• پاکسازی میز و صفحه نمایش Clear desk and clear screen

• جانمایی، حفاظت و نگهداری تجهیزات Equipment siting, protection and maintenance

• امنیت دارایی‌ها در خارج از محل کار Security of assets off-premises

• رسانه‌های ذخیره‌سازی Storage media

• تجهیزات کمکی Supporting utilities

• امنیت کابل‌کشی Cabling security

• دفع ایمن و استفاده مجدد از تجهیزات Secure disposal and re-use of equipment

• خلاصه کنترل‌های فیزیکی Recapitulation Physical controls

• آزمون کنترل‌های فیزیکی Quiz Physical controls

کنترل‌های فن‌آوری Technological controls

• ملاحظات مربوط به کنترل‌های فن‌آوری Considerations about the technological controls

• دستگاه‌های نقطه پایانی کاربر User end-point devices

• حقوق دسترسی ممتاز Privileged access rights

• محدودیت دسترسی به اطلاعات. دسترسی به کد منبع Information access restriction. Access to source code

• احراز هویت امن Secure authentication

• مدیریت ظرفیت Capacity management

• حفاظت در برابر بدافزار Protection against malware

• مدیریت آسیب‌پذیری‌های فنی Management of technical vulnerabilities

• مدیریت پیکربندی Configuration management

• حذف اطلاعات Information deletion

• پوشش داده‌ها (Data masking) Data masking

• جلوگیری از نشت اطلاعات (Data leakage prevention) Data leakage prevention

• پشتیبان‌گیری اطلاعات (Information backup) Information backup

• افزونگی تأسیسات پردازش اطلاعات Redundancy of information processing facilities

• لاگ‌برداری، نظارت و همگام‌سازی ساعت Logging, monitoring and clock synchronization

• استفاده از برنامه‌های کاربردی ممتاز Use of privileged utility programs

• نصب نرم‌افزار بر روی سیستم‌های عملیاتی Installation of software on operational systems

• امنیت شبکه‌ها و خدمات شبکه Security of networks and network services

• فیلترینگ وب Web filtering

• استفاده از رمزنگاری (Cryptography) Use of cryptography

• چرخه عمر توسعه امن Secure development lifecycle

• الزامات امنیت برنامه (Application security requirements) Application security requirements

• اصول معماری و مهندسی سیستم امن Secure system architecture and engineering principles

• کدنویسی امن Secure coding

• تست امنیت. اطلاعات تست Security testing. Test information

• جداسازی محیط‌های توسعه، تست و تولید Separation of development, test and production environments

• توسعه برون‌سپاری شده Outsourced development

• مدیریت تغییرات Change management

• حفاظت از سیستم‌های اطلاعاتی در طول تست حسابرسی Protection of information systems during audit testing

• خلاصه کنترل‌های فن‌آوری Recapitulation Technological controls

• آزمون کنترل‌های فن‌آوری Quiz Technological controls

بستن حسابرسی ISMS Closing the ISMS audit

• بستن حسابرسی ISMS Closing the ISMS audit

• برخی ملاحظات نهایی Some final considerations

• تشکر و خداحافظی Thank you and good bye