ISO/IEC 27001:2022 w praktyce: wymagania i wdrażanie SZBI
Cyber Security & Resilience
ISO/IEC 27001:2022 w praktyce: wymagania i wdrażanie SZBI
Opis szkolenia
Szkolenie pokazuje, jak interpretować wymagania ISO/IEC 27001:2022 i poprawki Amd 1:2024 oraz przekładać je na działania w organizacji: od określenia zakresu SZBI i oceny ryzyka po dobór zabezpieczeń i ocenę skuteczności systemu.
Uczestnicy poznają zależności między wymaganiami normy, odpowiedzialnością właścicieli procesów, dokumentacją i dowodami działania zabezpieczeń. Na przykładach przećwiczą podejmowanie decyzji potrzebnych do wdrożenia lub doskonalenia SZBI.
Zakres szkolenia: kontekst organizacji, przywództwo, planowanie i postępowanie z ryzykiem, wsparcie, działania operacyjne, dobór zabezpieczeń z Załącznika A, Deklaracja Stosowania (SoA), monitorowanie, audyt wewnętrzny, przegląd zarządzania i doskonalenie. Szczegóły znajdują się w programie poniżej.
Szczególna uwaga poświęcona jest powiązaniu bezpieczeństwa informacji z działalnością operacyjną organizacji, wymaganiami klientów, dostawcami oraz ciągłością działania.
Uczestnik
- rozumie strukturę, logikę i podstawowe założenia ISO/IEC 27001:2022,
- potrafi interpretować wymagania normy w kontekście procesów organizacji,
- rozumie znaczenie kontekstu organizacji i stron zainteresowanych,
- zna zasady zarządzania ryzykiem bezpieczeństwa informacji i postępowania z ryzykiem,
- rozumie rolę najwyższego kierownictwa oraz osób odpowiedzialnych za procesy i ryzyka,
- zna wymagania dotyczące zasobów, kompetencji, świadomości, komunikacji i udokumentowanych informacji,
- rozumie zasady doboru zabezpieczeń oraz rolę Annex A ISO/IEC 27001:2022 i wytycznych ISO/IEC 27002:2022,
- rozumie znaczenie Deklaracji Stosowania (Statement of Applicability),
- zna zasady monitorowania, audytów i przeglądu zarządzania,
- potrafi wskazać obszary wymagające doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji.
Efekt praktyczny szkolenia
Po szkoleniu uczestnik potrafi:
- opisać przykładowy zakres SZBI,
- wskazać podstawowe kryteria akceptacji ryzyka,
- odróżnić plan postępowania z ryzykiem od Deklaracji Stosowania
- wskazać potrzebne dowody funkcjonowania systemu.
Dla kogo?
Szkolenie kierujemy do:
- osób odpowiedzialnych za bezpieczeństwo informacji,
- pełnomocników i koordynatorów SZBI,
- kierowników i specjalistów IT oraz bezpieczeństwa,
- osób wdrażających lub doskonalących ISO/IEC 27001,
- właścicieli procesów,
- osób odpowiedzialnych za zarządzanie ryzykiem,
- osób przygotowujących się do roli audytora wewnętrznego,
- osób współpracujących z Systemem Zarządzania Bezpieczeństwem Informacji.
Program szkolenia
1. System Zarządzania Bezpieczeństwem Informacji - cel, zakres i powiązanie z procesami organizacji
- cel i znaczenie SZBI,
- podstawowe zasady bezpieczeństwa informacji,
- podejście procesowe,
- cykl PDCA,
- podejście oparte na ryzyku,
- znaczenie informacji i obiektywnych dowodów.
2. Kontekst organizacji i strony zainteresowane
- czynniki wewnętrzne i zewnętrzne,
- strony zainteresowane i ich wymagania,
- zakres SZBI,
- procesy i ich wzajemne zależności,
- zmiany zachodzące w otoczeniu organizacji,
- ustalanie, czy zmiana klimatu jest istotnym zagadnieniem w kontekście organizacji, oraz analiza związanych z nią wymagań stron zainteresowanych (ISO/IEC 27001:2022/Amd 1:2024, pkt 4.1 i 4.2).
3. Przywództwo i odpowiedzialność
- rola najwyższego kierownictwa,
- polityka bezpieczeństwa informacji,
- odpowiedzialność i uprawnienia,
- komunikowanie znaczenia bezpieczeństwa informacji,
- powiązanie SZBI z kierunkiem organizacji.
4. Planowanie i zarządzanie ryzykiem
- ryzyka i szanse dotyczące SZBI,
- kryteria oceny ryzyka i kryteria akceptacji ryzyka,
- identyfikacja i analiza ryzyk bezpieczeństwa informacji,
- aktywa, zagrożenia, podatności, scenariusze i skutki - zależnie od przyjętej metody,
- właściciele ryzyka,
- ocena ryzyka,
- postępowanie z ryzykiem i plan postępowania,
- akceptacja ryzyka rezydualnego,
- cele bezpieczeństwa informacji,
- planowanie zmian.
5. Zasoby, kompetencje, świadomość i komunikacja
- zasoby niezbędne do ustanowienia, wdrożenia, utrzymania i doskonalenia SZBI,
- kompetencje,
- świadomość pracowników i innych osób wykonujących pracę pod nadzorem organizacji,
- komunikacja wewnętrzna i zewnętrzna.
6. Udokumentowane informacje
- dokumentowanie i utrzymywanie informacji,
- nadzorowanie informacji udokumentowanej,
- aktualizacja i dostępność informacji,
- ochrona informacji,
- znaczenie dokumentacji jako wsparcia procesów.
7. Zabezpieczenia bezpieczeństwa informacji i działania operacyjne
- planowanie i nadzorowanie działań operacyjnych SZBI,
- 93 zabezpieczenia z Załącznika A do ISO/IEC 27001:2022, pogrupowane na organizacyjne, dotyczące ludzi, fizyczne i technologiczne; dobór zabezpieczeń wynika z postępowania z ryzykiem i innych wymagań mających zastosowanie”.
- dobór zabezpieczeń na podstawie wyników postępowania z ryzykiem,
- uzasadnianie zastosowania i niezastosowania zabezpieczeń,
- Deklaracja Stosowania (Statement of Applicability - SoA),
- wykorzystanie ISO/IEC 27002:2022 jako źródła wytycznych wdrożeniowych,
- bezpieczeństwo dostawców, reagowanie na incydenty i ciągłość działania jako elementy systemu zabezpieczeń.
8. Monitorowanie, pomiary i analiza
- monitorowanie procesów,
- pomiary i analiza danych,
- wskaźniki bezpieczeństwa,
- ocena skuteczności zabezpieczeń,
- analiza wyników.
9. Audyty wewnętrzne i przegląd zarządzania
- miejsce audytu w SZBI,
- zapewnienie dostępności informacji i obiektywnych dowodów funkcjonowania SZBI,
- dane wejściowe i wyniki przeglądu zarządzania,
- wykorzystanie wyników audytów i przeglądu do podejmowania decyzji.
10. Niezgodności, działania korygujące i doskonalenie
- reakcja na niezgodność,
- analiza przyczyn,
- działania korygujące,
- ocena skuteczności,
- doskonalenie SZBI.
Dokument po szkoleniu
Certyfikat uczestnictwa w szkoleniu „Wymagania Systemu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001:2022”, wystawiony przez 4QUALITY Doradztwo i Szkolenia.
Materiały po szkoleniu – wymierny rezultat szkolenia
- przykładowy schemat wdrożenia SZBI,
- arkusz analizy ryzyka
- wzór struktury Deklaracji Stosowania
Informacje dla uczestnika
Czas trwania: 2 dni