Разработка, внедрение и аудит системы менеджмента информационной безопасности в соответствии с требованиями ISO/IEC 27001:2022 (СТБ ISO/IEC 27001-2016)

Тренер курса

Вячеслав Аксёнов, IT Security Architect.

Опыт работы в сфере информационной безопасности более 15 лет, в качестве специалиста, инженера, аудитора, менеджера, руководителя проекта, архитектора и консультанта. Преподаватель авторских курсов по информационной безопасности.

Образование: радиоинженер-педагог + магистратура и аспирантура по направлению информационная безопасность, профессиональная переподготовка в РФ по направлению информационная безопасность, Certificate of Cloud Security Knowledge, Lead Implementer ISO/IEC 27001:2013.

Опыт успешно реализованных проектов в сферах:

• проектирование, создание и аттестация систем защиты информации в соответствии с требованиями законодательства;
• разработка, внедрение и оценка соответствия систем (управления) информационной безопасности в соответствии с требованиями отечественных и международных стандартов в области ИБ;
• обследование и оценка защищенности информационных систем;
• оценка рисков информационной безопасности;
• разработка стратегии создания/совершенствования информационной безопасности организации;
• аудит информационной безопасности.

ПРОГРАММА КУРСА

1. Структуры и стандарты построения систем информационной безопасности на основании процессного подхода.

• Терминология в области информационной безопасности
• Основы процессного подхода в области информационной безопасности.
• Обзор стандартов и структур построения систем информационной безопасности (ISO/IEC 2700x, COBIT for Information Security, CIS Critical Security Controls for Effective Cyber Defense, NIST Special Publication 800-53. Revision 4 и др.)
• Документирование систем менеджмента информационной безопасности (структура и меж-документные зависимости).

2. Проведение GAP –анализа на соответствие требованиям ISO/IEC 27001:2022

• Сбор первичных сведений об объекте и разработка плана обследования
• Проведение обследования на площадке
• Анализ собранной информации, разработка и отчетной документации по проекту
• Разработка Плана-графика внедрения СМИБ
• Определение состава документации СМИБ, необходимой для разработки или модификации

3. Выполнение обязательных требований стандарта.

• Понимание организации и ее контекста
• Понимание потребностей и ожиданий заинтересованных сторон
• Определение области применения системы менеджмента информационной
• безопасности
• Лидерство и обязательства
• Политика
• Организационные функции, ответственность и полномочия
• Действия в отношении рисков и потенциальных возможностей
• Целевые показатели в сфере информационной безопасности и планирование их
• достижения
• Ресурсы
• Компетентность
• Осведомленность
• Коммуникация
• Документированная информация
• Планирование и управление функционированием
• Оценка рисков информационной безопасности
• Обработка рисков информационной безопасности
• Мониторинг, измерение, анализ и оценка
• Внутренний аудит
• Анализ системы руководством
• Несоответствия и корректирующие действия
• Непрерывное улучшение

4. Управление риском в СМИБ.

• Цели и задачи управления рисками
• Методика оценки рисков информационной безопасности
• Идентификация активов и оценка ценности активов
• Идентификация угроз и уязвимостей
• Определение уровня риска
• Разработка плана обработки рисков и положения о применимости средств управления ИБ (SoA)

5. Разработка и внедрение процессов обеспечения информационной безопасности.

• Политики информационной безопасности
• Организация информационной безопасности
• Безопасность, связанная с персоналом
• Управление активами
• Управление доступом
• Криптография
• Физическая безопасность и защита от окружающей среды
• Операционная деятельность по обеспечению безопасности
• Безопасность сети
• Приобретение, разработка и сопровождение систем
• Взаимоотношения с поставщиками
• Управление инцидентами в области информационной безопасности
• Управление непрерывностью бизнеса
• Соответствие

6. Сертификация СМИБ.

• Проведение предварительного аудита перед выходом на сертификацию
• Международные и национальные органы по сертификации
• Прохождение сертификационного аудита
• Разработка Плана устранений несоответствий по результатам сертификации.

7. Соответствие законодательным и договорным требованиям.

• Защита коммерческой тайны
• Защита персональных данных
• Особенности внедрения СМИБ в банках
• Особенности СМИБ в составе системы безопасности критически важных объектов информатизации
• Учет требований GDPR

ГРУППА

• от 6 до 12 человек

ДОКУМЕНТЫ ОБ ОКОНЧАНИИ КУРСА

• Сертификат Учебного центра Noventiq
• Cертификат об обучении установленного образца