آموزش سیستم مدیریت امنیت اطلاعات

ISMS مخفف عبارت Information Security Management System به معنای سیستم مدیریت امنیت اطلاعات می باشد و استانداردهایی را برای ایمن سازی فضای تبادل اطلاعات در سازمان ها ارائه می دهد. این استانداردها شامل مجموعه ای از دستورالعمل هاست تا فضای تبادل اطلاعات یک سازمان را با اجرای یک طرح مخصوص به آن سازمان ایمن نماید.

این حرفه از جمله حرفه های مربوط به زیرشاخه فناوری اطلاعات محسوب می شود.

هک شدن اطلاعات و سرقت اطلاعات محرمانه، رمزگذاری اطلاعات توسط افراد سودجو، ورود بدافزار به شبکه و… نمونه‌ای از مواردی است که می‌توانند محرمانگی، یکپارچگی و در دسترس‌پذیری اطلاعات یا به نوعی معیارهای امنیت اطلاعات را تحت تاثیرات منفی قرار دهند. هدف از این آموزش، تشریح الزامات یک سیستم استاندارد مدیریت امنیت اطلاعات است. با توجه به اینکه یک سیستم امنیت اطلاعات استاندارد بر مبنای الزامات ایزو ۲۷۰۰۱ پایه‌گذاری می‌شود و در طی پیاده‌سازی الزامات، غالبا از ایزو 27002، ۲۷۰۰۳ و ۲۷۰۰۵ به عنوان راهنماهای پیاده‌سازی استفاده می‌شود، تشریح ارتباطات و مفاهیم هر کدام از این ایزوها و نحوه اجرای آن‌ها یکی از اهداف این آموزش است.

در این دوره شما با سیستم مدیریت امنیت اطلاعات، استانداردهای مرتبط، فرایند استقرار سیستم، فرایند اخذ گواهینامه سیستم آشنا خواهید شد.

همچنین مفهوم استاندارد، توضیح ISMS، فرایند و دیدگاه فرایند گرا، مفاهیم مدیریت و ارزیابی ریسک، تشریح الزامات استاندارد و تشریح اهداف کنترلی و کنترل ها به شما آموزش داده می شود که موجب کسب توانایی ها و مهارت های لازم در این دوره خواهد شد .

در عصر اطلاعات، بسیاری از فعالیت‌های انسانی و ضرورت‌ها، از طریق ‌ساز ‌و کارهای فضای مجازی انجام می‌شود. پرداخت قبوض از طریق سامانه‌های پرداخت و برگزاری ویدئوکنفرانس‌ها، نمونه‌ای از این فعالیت‌ها هستند. گسترش این فضا که از آن با نام فضای تولید و تبادل اطلاعات (فتا) یاد می‌شود، چالش‌هایی نیز به همراه داشته است.

هک شدن اطلاعات و سرقت اطلاعات محرمانه، رمزگذاری اطلاعات توسط افراد سودجو، ورود بدافزار به شبکه و… نمونه‌ای از مواردی است که می‌توانند محرمانگی، یکپارچگی و در دسترس‌پذیری اطلاعات یا به نوعی معیارهای امنیت اطلاعات را تحت تاثیرات منفی قرار دهند.

تجربه و شواهد نشان داده است که استفاده از تجهیزات امنیتی پیشرفته شبکه، باز هم نتوانسته اثربخشی امنیتی اطلاعات سازمان را به طرز قابل توجهی بالا ببرد و لذا لازم است سیستم استانداردی در کنار تجهیزات و راهکارهای فنی امنیتی به کار گرفته شود تا مخاطرات امنیت اطلاعات شبکه‌های اطلاعاتی به طور مستمر شناسایی و ارزش‌یابی شده و نسبت به رفع آن‌ها اقدام گردد. این سیستم استاندارد مطابق با الزامات سیستم مدیریت امنیت اطلاعات ISMS (Information Security Management System)‎ پیاده‌سازی می‌شود. الزامات پیاده‌سازی این سیستم در سندی تحت عنوان ISO/IEC‎ 27001 تدوین شده است.

هدف از این آموزش، تشریح الزامات یک سیستم استاندارد مدیریت امنیت اطلاعات است. با توجه به اینکه یک سیستم امنیت اطلاعات استاندارد بر مبنای الزامات ایزو ۲۷۰۰۱ پایه‌گذاری می‌شود و در طی پیاده‌سازی الزامات، غالبا از ایزو ۲۷۰۰۲‌، ۲۷۰۰۳ و ۲۷۰۰۵ به عنوان راهنماهای پیاده‌سازی استفاده می‌شود، تشریح ارتباطات و مفاهیم هر کدام از این ایزوها و نحوه اجرای آن‌ها یکی از اهداف این آموزش است تا طبق استاندارد های روز جهانی بهترین کیفیت و به روزترین مطالب آموزش داده شود .

اولین ورژن استاندارد ایزو ۲۷۰۰۱ (الزامات سیستم مدیریت امنیت اطلاعات) در سال ۲۰۰۵ و ورژن دوم آن در سال ۲۰۱۳ منتشر شد و در سال های ۲۰۱۴ و ۲۰۱۵ مورد اصلاح قرار گرفت. مطابق با قوانین سازمان ایزو، این استاندارد هر ۵ سال یکبار بازبینی می شود، لذا آخرین ورژن در دسترس این استاندارد، ورژن ۲۰۱۳ آن است که در آموزشگاه معماری معاصر بررسی می‌شود.

فهرست سرفصل‌ها و رئوس مطالب مطرح شده در این مجموعه آموزشی، در ادامه آمده است:

• درس یکم: معرفی مفاهیم سیستم مدیریت امنیت اطلاعات و ایزو ۲۷۰۰۱
  • بررسی اهمیت و مفهوم امنیت اطلاعات
  • معرفی استاندارد سیستم مدیریت امنیت اطلاعات
  • ورژن‌های استاندارد
• درس دوم: معرفی الزامات ایزو ۲۷۰۰۱ و بررسی بند شناخت سازمان و رهبری
  • معرفی بندها و الزامات ایزو 27001
  • معرفی استاندارد راهنمای پیاده‌سازی الزامات (ایزو 27003)
  • بررسی الزام شناخت سازمان و نحوه تدوین اسناد محدوده و دارایی‌های محدوده
  • بررسی الزام تعهد مدیریت در استاندارد سیستم مدیریت امنیت اطلاعات
  • بررسی نحوه تشکیل ساختار تشکیلات و تدوین خط مشی
• درس سوم: بررسی مدیریت ریسک در امنیت اطلاعات
  • مفهوم طرح‌ریزی استاندارد سیستم مدیریت امنیت اطلاعات
• درس چهارم: شناسایی دارایی‌های اطلاعاتی و ارزیابی ریسک‌های امنیتی
  • هدف استاندارد ایزو 27005
  • تشریح ارتباط ایزو ۲۷۰۰۵ با الزامات (ایزو 27001)
  • ارائه یک نمونه مستند ارزشیابی مخاطرات
• درس پنجم: شناسایی ریسک‌های امنیتی
  • معرفی پیوست الف ایزو 27001
  • بررسی مفهوم سند اهداف امنیت اطلاعات
• درس ششم: معرفی ایزو ۲۷۰۰۲
  • هدف استاندارد ایزو 27002
  • بررسی ارتباط ایزو ۲۷۰۰۲ با الزامات (ایزو 27001)
• درس هفتم: برطرف‌سازی ریسک‌های امنیتی شناخته‌شده
  • بررسی الزامات تعیین منابع و پیاده‌سازی عملیات (بند ۷ و 8)
  • بررسی ارتباط بندهای ۷ و ۸ با شناخت سازمان، تعهد مدیریت و طرح‌ریزی
• درس هشتم: ارزیابی اثربخشی و بهبود مستمر سیستم مدیریت امنیت اطلاعات
  • بررسی مفهوم ارزشیابی عملکرد
  • بررسی نحوه ممیزی و اخذ گواهینامه سیستم مدیریت امنیت اطلاعات
  • بررسی مفهوم بهبود مستمر سیستم مدیریت امنیت اطلاعات
  • بررسی تفکر سیستمی و حلقه PDCA در استاندارد سیستم مدیریت امنیت اطلاعات