Уповноважений з управління ризиками інформаційної безпеки, кіберризиками та захисту персональних даних (ISO 27005)
Курс допоможе опанувати знання та практичні навички для організації, координації й підтримки процесів управління ризиками інформаційної безпеки, кіберризиками та ризиками, пов’язаними з обробленням персональних даних.
Програма поєднує вимоги ISO/IEC 27001, настанови ISO/IEC 27005 та практичні підходи до управління кіберризиками й приватністю. Навчання охоплює побудову та підтримку системи менеджменту інформаційної безпеки (СМІБ), а також упровадження процесів ідентифікації, аналізу, оцінювання, оброблення й моніторингу ризиків.
Окрему увагу приділено підготовці реєстрів ризиків, заяви про застосовність (Statement of Applicability, SoA) та планів оброблення ризиків. Отримані знання допоможуть обґрунтовувати вибір заходів захисту, визначати пріоритети та враховувати застосовні вимоги до інформаційної безпеки й захисту персональних даних.
Мета курсу
Підготувати фахівців, здатних координувати управління ризиками інформаційної безпеки та приватності, підтримувати функціонування СМІБ і використовувати результати оцінювання ризиків для ухвалення обґрунтованих рішень.
Після навчання ви зможете:
- організовувати процеси управління ризиками з урахуванням вимог ISO/IEC 27001 і настанов ISO/IEC 27005;
- ідентифікувати, аналізувати й оцінювати ризики інформаційної безпеки, кіберризики та ризики оброблення персональних даних;
- формувати й актуалізувати реєстри ризиків;
- визначати варіанти оброблення ризиків і планувати відповідні заходи;
- готувати заяву про застосовність та обґрунтовувати вибір засобів управління;
- координувати виконання планів оброблення ризиків;
- здійснювати моніторинг і перегляд ризиків та оцінювати результативність запроваджених заходів;
- враховувати застосовні вимоги у сфері інформаційної безпеки, кібербезпеки й захисту персональних даних.
Цільова аудиторія
Курс призначений для:
- уповноважених з інформаційної безпеки та захисту персональних даних;
- менеджерів СМІБ, керівників і працівників підрозділів інформаційної безпеки;
- фахівців із кібербезпеки та управління ризиками;
- комплаєнс-офіцерів і фахівців із захисту даних (DPO);
- керівників ІТ-підрозділів, адміністраторів інформаційних систем і мереж;
- внутрішніх аудиторів систем менеджменту;
- консультантів з інформаційної безпеки та кібербезпеки;
- працівників державних органів, об’єктів критичної інфраструктури, фінансових установ, ІТ-компаній та інших організацій, які обробляють інформацію й персональні дані.
Програма буде корисною фахівцям організацій, які впроваджують або підтримують СМІБ за ISO/IEC 27001 та прагнуть системно управляти ризиками й удосконалювати захист інформації.
Документ після закінчення
Сертифікат уповноваженого з управління ризиками інформаційної безпеки, кіберризиками та захисту персональних даних, занесений у Міжнародний реєстр SIC
Тематичний план
Тривалість курсу становить 59 годин. Програма складається з 3 навчальних модулів
Модуль 1. Система менеджменту інформаційної безпеки (ISO/IEC 27001)
| 1 | Введення в СМІБ | 3 |
| 2 | Контекст організації як фундаментальна основа СМІБ | 2 |
| 3 | Лідерство та розробка Політики у сфері ІБ | 2 |
| 4 | Планування СМІБ з урахуванням ризиків | 2 |
| 5 | Ресурси та документація СМІБ | 2 |
| 6 | Операційна діяльність СМІБ | 1 |
| 7 | Оцінювання та аналіз дієвості СМІБ | 1 |
| 8 | Коригувальні дії та вдосконалення СМІБ | 1 |
| 9 | Засоби управління ІБ | 3 |
| Тестування | 1 | |
| Вього годин | 18 |
Модуль 2. Система управління ризиками
| 1 | Вступ до управління ризиками. Поняття невизначеності та ризику | 1.5 |
| 2 | Ризик-менеджмент як елемент системи управління організації | 1.5 |
| 3 | Принципи управління ризиками згідно з ISO 31000 | 2 |
| 4 | Структура системи управління ризиками: лідерство, інтеграція, контекст | 2 |
| 5 | Процес управління ризиками: комунікації, визначення сфери дії та контексту | 2 |
| 6 | Оцінка ризиків: ідентифікація, аналіз, оцінювання | 2.5 |
| 7 | Обробка ризиків: вибір заходів, планування та впровадження | 2 |
| 8 | Моніторинг, аналіз та постійне вдосконалення системи | 1,5 |
| Тестування | 2 | |
| Всього годин | 17 |
Модуль 3. Управління ризиками інформаційної безпеки, кібербезпеки та захисту конфіденційності
| 1 | Вступ до ISO/IEC 27005 та управління ризиками інформаційної безпеки | 1 |
| 2 | Основні поняття та термінологія ISO/IEC 27005 | 1 |
| 3 | Процес управління ризиками інформаційної безпеки | 2 |
| 4 | Встановлення контексту організації | 2 |
| 5 | Зацікавлені сторони та критерії ризику | 2 |
| 6 | Методи оцінювання ризиків | 2 |
| 7 | Ідентифікація активів, загроз та вразливостей | 2 |
| 8 | Формування ризик-сценаріїв | 2 |
| 9 | Аналіз ризиків | 2 |
| 10 | Оцінювання та пріоритезація ризиків | 1 |
| 11 | Обробка ризиків | 2 |
| 12 | Заходи контролю та Annex A ISO/IEC 27001 | 1 |
| 13 | Statement of Applicability (SoA) | 1 |
| 14 | План обробки ризиків | 1 |
| 15 | Моніторинг та перегляд ризиків | 1 |
| 16 | Використання процесів СМІБ для управління ризиками | 1 |
| 17 | Техніки підтримки оцінювання ризиків згідно з Annex A ISO/IEC 27005 | 1 |
| 18 | Аналіз кейсів та типових помилок під час оцінювання ризиків | 1 |
| 19 | Підсумкове тестування | 1 |
| Всього годин | 24 |