IS003 Ликбез для членов управляющего комитета по информационной безопасности

Продолжительность курса - 1 день

Стоимость одного семинара - 1800 у.е.

Необходимая подготовка - не требуется

Общее описание. Основные функции управляющего комитета по информационной безопасности

Обеспечение информационной безопасности организации невозможно без надлежащей поддержки со стороны руководства. Международный стандарт ISO 27002:2005 определяет, что руководство должно активно поддерживать безопасность в организации путем четкого управления, демонстрируемой приверженности, явного назначения и подтверждения ответственности за информационную безопасность (ISO/IEC 27002:2005 п. 6.1.1 Приверженность руководства информационной безопасности). Для этого руководству организации следует:

• убедиться в том, что цели информационной безопасности определены, отвечают требованиям организации и интегрированы в значимые процессы;
• определить, пересматривать и утверждать политику информационной безопасности;
• предоставить четкие указания и видимую поддержку инициатив в области информационной безопасности;
• выделить ресурсы, необходимые для обеспечения информационной безопасности;
• утвердить назначение индивидуальных ролей и ответственности за обеспечение информационной безопасности;
• инициировать выполнение планов и программ по поддержанию осведомленности в вопросах информационной безопасности;
• убедиться в том, что внедрение механизмов контроля информационной безопасности, координируется по всей организации.

Руководство также должно определить потребности во внешних и внутренних консультациях по вопросам информационной безопасности, а также анализировать и координировать результаты таких консультаций по всей организации. Координация информационной безопасности включает в себя взаимодействие между руководителями подразделений, пользователями и администраторами информационных систем, разработчиками и проектировщиками приложений, аудиторами и персоналом службы безопасности, а также специалистов в области страхования, законодательства, управления персоналом и управления рисками (ISO 27002:2005 п. 6.1.2 Координация информационной безопасности).

Обеспечение приверженности руководства, стратегического управления и координации информационной безопасности - задачи, решаемые Управляющим комитетом по информационной безопасности. Программу повышения осведомленности в области информационной безопасности следует строить от Управляющего комитета, постепенно распространяя ее на всех сотрудников компании.

Программа курса

Семинар № 1. Основы информационной безопасности, информационные угрозы и методы защиты (продолжительность - 4 часа)

1. Информационные активы и информационная безопасность организации
1. Виды информационных активов и их важность для бизнеса
2. Реестр информационных активов
3. Понятие информационной безопасности
4. Классическая триада информационной безопасности и ее расширения
2. Классификация угроз информационной безопасности
1. Внешние угрозы информационной безопасности, киберпреступность и кибертерроризм
2. Внутренние угрозы информационной безопасности
3. Правовые угрозы
3. Средства и методы обеспечения информационной безопасности
1. Предотвращение утечки конфиденциальной информации
2. Защита информационных систем от НСД и внешних угроз
3. Защита от инсайдеров
4. Обеспечение доступности информационных активов и непрерывности бизнеса
4. Ошибки, совершаемые руководителями, пользователями и ИТ специалистами
1. 7 ошибок высшего руководства
2. 5 ошибок и 10 отговорок рядовых пользователей
3. 11 ошибок ИТ специалистов

Семинар № 2. Система управления информационной безопасностью организации (продолжительность - 4 часа)

1. Международные стандарты в области управления информационной безопасностью
1. ISO 27001 - спецификация СУИБ
2. ISO 27002 - свод практических правил
3. ISO 27005 - управление рисками
2. Система управления ИБ как часть системы управления организацией
1. Понятие СУИБ
2. Процессная модель СУИБ
3. Организационная структура СУИБ
4. Структура документации СУИБ
3. Управление информационными рисками
1. Понятие информационного риска
2. Количественное и качественное определение величины (уровня) риска
3. Цели управления рисками
4. Три необходимые составляющие системы управления информационными рисками
4. Организационная структура управления информационной безопасностью
1. Организация управления ИБ
2. Задачи Высшего руководства
3. Роль и функции Управляющего комитета по ИБ
4. Роль и функции Службы ИБ
5. Ответственность руководителей структурных подразделений
5. Внедрение и сертификация СУИБ
1. Этапы внедрения и сертификации СУИБ
2. Декларация о применимости механизмов контроля
3. Необходимые условия для внедрения СУИБ
4. Преимущества сертификации по ISO 27001
5. Процедура сертификации СУИБ