Пропустить команды ленты
Пропустить до основного контента
English Version
Вход
Перейти вверх

NT-Security IT Построение СУИБ (система управления информационной безопасностью)

SUIB.png

В курсе обобщен и систематизирован многолетний опыт специалистов Учебного центра по разработке систем обеспечения информационной безопасности, аналитических обследований крупнейших компьютерных сетей Украины и России. Особое внимание уделяется технологии обеспечения информационной безопасности, рациональному распределению функций и организации эффективного взаимодействия по вопросам защиты информации всех подразделений и сотрудников, использующих и обеспечивающих функционирование автоматизированных систем. Подробно рассматриваются вопросы разработки нормативно-методических и организационно-распорядительных документов с учетом требований украинского законодательства и международных стандартов, необходимых для реализации рассмотренной технологии. До слушателей будут доведены требования по безопасности с учетом международных стандартов:

  • ISO/IEC 27000:2009 Определения и основные принципы. Первая унификация со стандартами COBIT и ITIL.
  • ISO/IEC 27001:2005 Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью. Требования. (ранее BS 7799-2:2005)
  • ISO/IEC 27002:2005 Информационные технологии. Методы обеспечения безопасности. Практические правила управления информационной безопасностью (ранее ISO/IEC 17799:2005).
  • ISO/IEC 27003:2007 Информационные технологии. Методы обеспечения безопасности. Руководство по внедрению системы управления информационной безопасностью.
  • ISO/IEC 27004:2007 Информационные технологии. Методы обеспечения безопасности. Измерение эффективности системы управления информационной безопасностью.
  • ISO/IEC 27005:2007 Информационные технологии. Методы обеспечения безопасности. Управление рисками информационной безопасности (на основе BS 7799-3:2006).
  • ISO/IEC 27006:2007 Информационные технологии. Методы обеспечения безопасности. Требования к органам аудита и сертификации систем управления информационной безопасностью.
  • ISO/IEC 27007 Руководство для аудитора СУИБ (Draft).
  • ISO/IEC 27011:2008 Руководство по управлению информационной безопасностью для телекоммуникаций.
Стандарт безопасности данных индустрии платежных карт (PCI DSS) v.2.0 (при необходимости)
  • ISO/IEC 38500:2008 Корпоративный менеджмент информационными технологиями;
  • ГСТУ ISO/IEC TR 13335-1:2003 Технологии информационные. Рекомендации по управлению безопасностью информационных технологий. Часть 1. Концепции и модели безопасности в ИТ;
  • ГСТУ ISO/IEC TR 13335-2:2003 Технологии информационные. Рекомендации по управлению безопасностью информационных технологий. Часть 2. Управление и планирование безопасности ИТ;
  • ГСТУ ISO/IEC TR 13335-5:2005 Технологии информационные. Рекомендации по управлению безопасностью информационных технологий. Часть 5. Рекомендации по управлению сетевой безопасностью
Слушатели:
  • Руководители подразделений технической защиты информации, ответственные за состояние информационной безопасности и организацию работ по созданию комплексных систем защиты информации
  • Аналитики по вопросам компьютерной безопасности, ответственные за анализ состояния информационной безопасности, определение требований к защищенности ресурсов автоматизированных систем и путей обеспечения их защиты
  • Специалисты, ответственные за разработку необходимых нормативно-методических и организационно-распорядительных документов по вопросам защиты информации
  • Администраторы средств защиты, контроля и управления безопасностью, ответственные за сопровождение и администрирование средств защиты информации и средств анализа защищенности подсистем автоматизированных систем
Предварительная подготовка:
Общие представления об информационных системах, правовых, организационных и технических аспектах обеспечения информационной безопасности компьютерных систем.

По окончании обучения Вы сможете:
  • Разрабатывать основные положения концепции построения и эффективного применения комплексных систем защиты информации в автоматизированных системах
  • Разрабатывать внутренние нормативные документы по информационной безопасности в организациях согласно требованиям Законов Украины, НБУ, ГСССЗИ Украины
  • Планировать защиту и рационально распределять соответствующие функции между подразделениями и сотрудниками предприятия, организовывать их взаимодействие на различных этапах жизненного цикла информационных подсистем
  • Организовывать деятельность служб технической защиты информации в действующих и проектируемых системах
  • Проводить аудит и анализ рисков систем информационной безопасности
  • Разрабатывать организационно-распорядительные документы по вопросам защиты информации
  • Ориентироваться в проблемах безопасности в информационных системах
  • Взвешенно подходить и организовывать процедуры оценки рисков
  • Обоснованно выбирать необходимые программно-аппаратные средства защиты информации в компьютерных сетях
  • Организовывать поиск и использование оперативной информации о новых уязвимостях в системном и прикладном программном обеспечении, а также других актуальных для обеспечения компьютерной безопасности данных
Программа курса:

Модуль 1. Безопасность информационных систем

  • Основные понятия безопасности информационных технологий. Субъекты информационных отношений, их интересы и безопасность, пути нанесения им ущерба. Основные термины и определения. Конфиденциальность, целостность, доступность. Требования к информационной безопасности (ИБ). Система управления информационной безопасностью (СУИБ). Концептуальная модель ИБ. Общая структура средства обеспечения ИБ. Виды обрабатываемой информации. Объектно-ориентированный подход к ИБ. Объекты, цели и задачи защиты информационных систем.
  • Угрозы информационной безопасности. Классификация. Основные источники и пути реализации угроз. Модели нарушителей. Подходы к анализу и управлению рисками, к категорированию ресурсов и определению требований к уровню обеспечения информационной безопасности. Украинские и международные стандарты и критерии защищенности систем.
  • Меры обеспечения информационной безопасности. Типология. Основные принципы построения систем защиты. Принципы парирования угроз.
  • Основные защитные механизмы. Меры по обеспечению ИБ.
  • Основные ошибки при построении защищённых информационных систем
Модуль 2. Правовые основы обеспечения информационной безопасности
  • Законы Украины и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. Защита информации ограниченного доступа, права и обязанности субъектов. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. Требования руководящих документов НБУ, ГССиЗИ и ДСТСЗИ СБУ. Вопросы законности применения средств криптографической защиты информации.
Модуль 3. Организация мер и методов защиты
  • Оценка и обработка риска, Процесс оценки рисков. Процесс обработки рисков.
  • Компоненты процесса. Установление состояния. Процесс оценки риска информационный безопасности. Анализ риска информационной безопасности. Оценка риска информационной безопасности. Обработка риска информационной безопасности. Принятие риска информационной безопасности. Риск информационной безопасности системы связи. Риск информационной безопасности мониторинга и пересмотра. Подходы в оценке рисков информационной безопасности.
  • Политика безопасности.
  • Организация информационной безопасности. Внутренняя организация. Обеспечение безопасности при наличии доступа к информационным системам сторонних организаций
  • Управление активами. Ответственность за активы. Классификация информации.
  • Вопросы безопасности, связанные с кадровыми ресурсами. Перед трудоустройством. Во время работы по трудовому соглашению. Прекращение действия трудового соглашения или его изменение.
  • Физическая защита и защита от воздействий окружающей среды. Охраняемые зоны. Безопасность оборудования.
  • Управление средствами связи и операциями. Процедуры эксплуатации и обязанности... Управление поставкой услуг третьей стороной. Планирование нагрузки и приемка систем. Защита от вредоносного и мобильного кода. Дублирование. Управление безопасностью сетей. Манипулирование носителями информации. Обмен информацией. Сервисы электронной торговли. Мониторинг.
  • Контроль доступа. Требование бизнеса по обеспечению контроля доступа. Управление доступом пользователя. Обязанности пользователя. Контроль сетевого доступа. Контроль доступа к операционной системе. Контроль доступа к приложениям и информации. Мониторинг доступа и использования системы...
  • Приобретение, усовершенствование и обслуживание информационных систем. Требования безопасности информационных систем. Правильная обработка приложений. Криптографические средства. Безопасность системных файлов. Безопасность в процессах разработки и поддержки. Управление техническими уязвимостями.
  • Управление инцидентами нарушения информационной безопасности. Сообщение о нарушениях и слабых местах информационной безопасности. Управление инцидентами нарушения информационной безопасности и их усовершенствование.
  • Управление непрерывностью бизнеса Аспекты информационной безопасности управления непрерывностью бизнеса.
  • Соответствие требованиям Соответствие правовым требованиям. Соответствие политикам и стандартам безопасности. Техническое соответствие. Вопросы для рассмотрения при аудите информационных систем.
Модуль 4. Система управления ИБ. Требования к СУИБ
  • Общие требования Создание и управление СУИБ. Требования к документации. Обязательства руководства Управление ресурсами.
  • Внутренние аудиты СУИБ
  • Анализ СУИБ руководством Общие положения. Входные данные анализа. Выходные данные анализа.
  • Совершенствование СУИБ. Непрерывное совершенствование. Корректирующие действия. Превентивные действия.
Модуль 5. Обеспечение безопасности автоматизированных систем
  • Проблемы обеспечения безопасности в сетях. Типовая IP-сеть организации. Сетевые угрозы, уязвимости и атаки. Средства обнаружения уязвимостей узлов IP-сетей и атак на узлы, протоколы и сетевые службы. Получение оперативной информации о новых уязвимостях и атаках. Способы устранения уязвимостей и противодействия вторжениям нарушителей.
  • Межсетевые экраны. Назначение и виды. Основные возможности и варианты размещения. Достоинства и недостатки. Основные защитные механизмы: фильтрация пакетов, трансляция сетевых адресов, промежуточная аутентификация, проверка почты, виртуальные частные сети, противодействие атакам, нацеленным на нарушение работоспособности сетевых служб, дополнительные функции. Общие рекомендации по применению. Политика безопасности при доступе к сети общего пользования. Демилитаризованная зона.
  • Контроль информационного наполнения (контента) электронной почты и Web-трафика. Компоненты и функционирование систем контроля контента. Политики безопасности, сценарии и варианты применения и реагирования.
  • Виртуальные частные сети (VPN). Назначение, основные возможности, принципы функционирования и варианты реализации. Структура защищенной корпоративной сети. Варианты, достоинства и недостатки VPN-решений. Общие рекомендации по их применению.
  • Средства выявления уязвимостей узлов сетей и средства обнаружения атак на узлы, протоколы и сетевые службы. Назначение, возможности, принципы работы. Место и роль в общей системе обеспечения безопасности. Сравнение возможностей с межсетевыми экранами. Средства обеспечения адаптивной сетевой безопасности. Варианты решений по обеспечению безопасности сети организации.
Продолжительность тренинга:
4 дня (32 часа)
 

 Регистрация на курс

 
Доступные даты для регистрации:
04 декабря 2017

Для быстрой регистрации на курс вам необходимо вести следующие данные:

Ф.И.О.

Компания

Контактный телефон

E-mail

Комментарий



 

 Новости

 
 

 Облако тегов

 
Здесь будут отображаться тэги.(Upd)