آموزش ISO/IEC 27002:2022. کنترل های امنیت اطلاعات

سرفصل ها و درس ها

بخش مقدماتی Introductory section

• معرفی Introduction

• امنیت اطلاعات، امنیت سایبری و حریم خصوصی Information security, cybersecurity and privacy

• سری استانداردهای ISO/IEC 27000 The ISO/IEC 27000 series of standards

• یک ISMS بر اساس ISO/IEC 27001 An ISMS according to ISO/IEC 27001

• درباره ISO/IEC 27002 About ISO/IEC 27002

کنترل های سازمانی Organizational controls

• سیاست های امنیت اطلاعات Policies for information security

• نقش ها و مسئولیت های امنیت اطلاعات Information security roles and responsibilities

• تفکیک وظایف Segregation of duties

• مسئولیت های مدیریتی Management responsibilities

• تماس با مقامات Contact with authorities

• تماس با گروه های ذینفع خاص Contact with special interest groups

• هوش تهدید Threat intelligence

• امنیت اطلاعات در مدیریت پروژه Information security in project management

• موجودی اطلاعات و سایر دارایی های مرتبط Inventory of information and other associated assets

• استفاده قابل قبول از اطلاعات و سایر دارایی های مرتبط Acceptable use of information and other associated assets

• بازگشت دارایی Return of assets

• طبقه بندی اطلاعات Classification of information

• برچسب گذاری اطلاعات Labelling of information

• انتقال اطلاعات Information transfer

• کنترل دسترسی Access control

• مدیریت هویت Identity management

• اطلاعات احراز هویت Authentication information

• حقوق دسترسی Access rights

• امنیت اطلاعات در روابط تامین کننده Information security in supplier relationships

• پرداختن به امنیت اطلاعات در قراردادهای تامین کننده Addressing information security within supplier agreements

• مدیریت امنیت اطلاعات در زنجیره تامین ICT Managing information security in the ICT supply chain

• نظارت، بررسی و مدیریت تغییر خدمات تامین کننده Monitoring, review and change management of supplier services

• امنیت اطلاعات برای استفاده از خدمات ابری Information security for use of cloud services

• برنامه ریزی و آماده سازی مدیریت حوادث امنیت اطلاعات Information security incident management planning and preparation

• ارزیابی و تصمیم گیری در مورد رویدادهای امنیت اطلاعات Assessment and decision on information security events

• واکنش به حوادث امنیت اطلاعات Response to information security incidents

• یادگیری از حوادث امنیت اطلاعات Learning from information security incidents

• جمع آوری شواهد Collection of evidence

• امنیت اطلاعات در هنگام اختلال Information security during disruption

• آمادگی ICT برای تداوم کسب و کار ICT readiness for business continuity

• الزامات قانونی، قانونی، مقرراتی و قراردادی Legal, statutory, regulatory and contractual requirements

• حقوق مالکیت معنوی Intellectual property rights

• حفاظت از سوابق Protection of records

• حریم خصوصی و حفاظت از PII Privacy and protection of PII

• بررسی مستقل امنیت اطلاعات Independent review of information security

• انطباق با سیاست ها، قوانین و استانداردهای امنیت اطلاعات Conformance with policies, rules and standards for information security

• رویه های عملیاتی مستند Documented operating procedures

• جمع بندی کنترل های سازمانی Recapitulation organizational controls

• کنترل های سازمانی Organizational controls

مردم کنترل می کنند People controls

• غربالگری Screening

• شرایط و ضوابط استخدام Terms and conditions of employment

• آگاهی، آموزش و آموزش امنیت اطلاعات Information security awareness, education and training

• روند انضباطی Disciplinary process

• مسئولیت های پس از پایان یا تغییر شغل Responsibilities after termination or change of employment

• قراردادهای محرمانه یا عدم افشا Confidentiality or non-disclosure agreements

• کار از راه دور Remote working

• گزارش رویداد امنیت اطلاعات Information security event reporting

• جمع بندی افراد کنترل می کند Recapitulation people controls

• مردم کنترل می کنند People controls

کنترل های فیزیکی Physical controls

• محیط های امنیتی فیزیکی Physical security perimeters

• ورود فیزیکی Physical entry

• ایمن سازی دفاتر، اتاق ها و امکانات Securing offices, rooms and facilities

• نظارت بر امنیت فیزیکی Physical security monitoring

• محافظت در برابر تهدیدات فیزیکی و محیطی Protecting against physical and environmental threats

• کار در مناطق امن Working in secure areas

• میز تمیز و صفحه نمایش شفاف Clear desk and clear screen

• مکان یابی تجهیزات و حفاظت Equipment siting and protection

• امنیت دارایی در خارج از محل Security of assets off-premises

• رسانه ذخیره سازی Storage media

• پشتیبانی از آب و برق Supporting utilities

• امنیت کابل کشی Cabling security

• تعمیر و نگهداری تجهیزات Equipment maintenance

• دفع ایمن یا استفاده مجدد از تجهیزات Secure disposal or re-use of equipment

• خلاصه کنترل های فیزیکی Recapitulation physical controls

• کنترل های فیزیکی Physical controls

کنترل های تکنولوژیکی Technological controls

• دستگاه های نقطه پایانی کاربر User endpoint devices

• حقوق دسترسی ممتاز Privileged access rights

• محدودیت دسترسی به اطلاعات Information access restriction

• دسترسی به کد منبع Access to source code

• احراز هویت امن Secure authentication

• مدیریت ظرفیت Capacity management

• محافظت در برابر بدافزار Protection against malware

• مدیریت آسیب پذیری های فنی Management of technical vulnerabilities

• مدیریت پیکربندی Configuration management

• حذف اطلاعات Information deletion

• پوشش داده ها Data masking

• جلوگیری از نشت داده ها Data leakage prevention

• پشتیبان گیری اطلاعات Information backup

• افزونگی امکانات پردازش اطلاعات Redundancy of information processing facilities

• ورود به سیستم Logging

• فعالیت های نظارتی Monitoring activities

• همگام سازی ساعت Clock synchronization

• استفاده از برنامه های کاربردی ممتاز Use of privileged utility programs

• نصب نرم افزار بر روی سیستم های عملیاتی Installation of software on operational systems

• امنیت شبکه ها Networks security

• امنیت خدمات شبکه Security of network services

• جداسازی شبکه ها Segregation of networks

• فیلتر کردن وب Web filtering

• استفاده از رمزنگاری Use of cryptography

• چرخه عمر توسعه امن Secure development life cycle

• الزامات امنیتی برنامه Application security requirements

• معماری سیستم های امن و اصول مهندسی Secure system architecture and engineering principles

• کد نویسی ایمن Secure coding

• تست امنیت در توسعه و پذیرش Security testing in development and acceptance

• توسعه برون سپاری Outsourced development

• جداسازی محیط های توسعه، آزمایش و تولید Separation of development, test and production environments

• مدیریت تغییر Change management

• اطلاعات تست Test information

• حفاظت از سیستم های اطلاعاتی در طول تست حسابرسی Protection of information systems during audit testing

• جمع بندی کنترل های تکنولوژیکی Recapitulation technological controls

• کنترل های تکنولوژیکی Technological controls

یکی دو مورد دیگه... One or two more things ...

• گواهینامه ISO/IEC 27001 و ISO/IEC 27002 The certification to ISO/IEC 27001 and ISO/IEC 27002

• ممنون و خداحافظ! Thank you and good bye!