Аудит інформаційної безпеки

Аудит інформаційної безпеки є важливим інструментом перевірки ефективності системи управління інформаційною безпекою та контролів, що застосовуються в організації. Курс «Аудит інформаційної безпеки (СУІБ)» присвячений організації та проведенню внутрішнього аудиту системи управління інформаційною безпекою відповідно до підходів ISO 27007 та ISO 19011.

Протягом навчання учасники розглянуть, як визначати цілі аудиту СУІБ, планувати аудиторську перевірку, аналізувати вимоги до системи менеджменту та оцінювати контролі інформаційної безпеки, зокрема контролі Додатка А.

Окрема увага приділяється практичним аспектам аудиту: підготовці вхідних даних, збору аудиторських доказів, перевірці організаційних, кадрових, фізичних і технологічних контролів, а також формулюванню висновків за результатами аудиту.

• Спеціальні умови для корпоративних груп
• Індивідуальний формат – за запитом

Ціль курсу

• Допомогти слухачам зрозуміти роль внутрішнього аудиту в системі управління інформаційною безпекою;
• Ознайомити з підходами до організації аудиту СУІБ відповідно до ISO 27007 та ISO 19011;
• Пояснити, як визначати цілі, обсяг, критерії та вхідні дані для аудиту інформаційної безпеки;
• Розглянути практичні підходи до аудиту вимог системи менеджменту та контролів Додатка А;
• Навчити учасників працювати з аудиторськими доказами та формулювати обґрунтовані висновки;
• Підготувати слухачів до практичної участі в плануванні, проведенні та супроводі внутрішніх аудитів СУІБ.

Аудиторія

Курс буде корисним для:

• внутрішніх аудиторів систем управління інформаційною безпекою;
• фахівців з інформаційної безпеки;
• керівників та спеціалістів, відповідальних за впровадження або підтримку СУІБ;
• фахівців з ризик-менеджменту, compliance та внутрішнього контролю;
• ІТ-керівників і менеджерів, які беруть участь в аудитах інформаційної безпеки;
• консультантів, які супроводжують впровадження або перевірку систем управління інформаційною безпекою.

Чому навчаться учасники

Після проходження курсу учасники зможуть:

• розуміти роль внутрішнього аудиту в системі управління інформаційною безпекою;
• планувати та організовувати аудит СУІБ відповідно до рекомендацій ISO 27007;
• враховувати зв’язок між ISO 27007 та загальними принципами проведення аудитів ISO 19011;
• визначати цілі, обсяг і критерії аудиту СУІБ;
• аналізувати вхідні дані, необхідні для проведення аудиту;
• перевіряти виконання вимог до системи менеджменту: контекст організації, лідерство, планування, підтримку, функціонування, оцінку ефективності та покращення;
• застосовувати практичні підходи до аудиту контролів інформаційної безпеки;
• оцінювати організаційні, кадрові, фізичні та технологічні контролі;
• збирати та аналізувати аудиторські докази;
• формулювати практичні висновки та рекомендації за результатами аудиту.

Дивіться розклад

Програма курсу з аудиту інформаційної безпеки

1. Організація внутрішнього аудиту СУІБ відповідно до ISO 27007

• Аудит інформаційної безпеки
• Організація внутрішнього аудиту
• Зв’язок ISO 27007 та ISO 19011
• Визначення цілей аудиту СУІБ

2. Практичні настанови з аудиту СУІБ

• Вхідні дані для аудиту
• Аудит вимог до системи менеджменту:
  • контекст організації;
  • лідерство;
  • планування;
  • підтримка;
  • функціонування;
  • оцінка ефективності;
  • покращення.

3. Питання аудиту контролів Додатка А

• Групи контролів
• Підходи до аудиту контролів інформаційної безпеки
• Настанови щодо аудиту контролів:
  • організаційні засоби контролю;
  • засоби контролю за персоналом;
  • фізичні контролі;
  • технологічні контролі.
• Заключні поради:
  • практичні поради;
  • аудиторські докази.

Попередні вимоги

Для успішного проходження курсу бажано мати базове розуміння принципів інформаційної безпеки та систем управління.

Буде перевагою досвід роботи в одному або кількох напрямах:

• інформаційна безпека;
• ІТ-адміністрування або ІТ-менеджмент;
• внутрішній аудит;
• ризик-менеджмент;
• compliance;
• впровадження або підтримка систем управління.

Попередній досвід проведення аудитів не є обов’язковим, але допоможе краще засвоїти практичні приклади та рекомендації курсу.