Курс NT-Security IT Побудова системи управління інформаційною безпекою (СУІБ)

Курсі узагальнює та систематизує багаторічний досвід фахівців Навчального центру «Мережні технології» з розробки систем забезпечення інформаційної безпеки, аналітичних обстежень найбільших комп'ютерних мереж України та Росії. Особлива увага приділяється технологіям забезпечення інформаційної безпеки, раціональному розподілу функцій та організації ефективної взаємодії з питань захисту інформації всіх підрозділів та співробітників, які використовують та забезпечують функціонування автоматизованих систем. Детально розглядаються питання розробки нормативно-методичних та організаційно-розпорядчих документів з урахуванням вимог українського законодавства та міжнародних стандартів, необхідних для реалізації розглянутої технології.

Слухачі дізнаються про вимоги з безпеки на основі наступних міжнародних стандартів.

  • ISO/IEC 27000:2009 Визначення та основні принципи. Перша уніфікація зі стандартами COBIT та ITIL
  • ISO/IEC 27001:2005 Інформаційні технології. Методи забезпечення безпеки. Системи управління інформаційною безпекою. Вимоги. (Раніше BS 7799-2:2005)
  • ISO/IEC 27002:2005 Інформаційні технології. Методи забезпечення безпеки. Практичні правила управління інформаційною безпекою (раніше ISO/IEC 17799:2005)
  • ISO/IEC 27003:2007 Інформаційні технології. Методи забезпечення безпеки. Інструкція з впровадження системи управління інформаційною безпекою
  • ISO/IEC 27004:2007 Інформаційні технології. Методи забезпечення безпеки. Вимірювання ефективності системи управління інформаційною безпекою
  • ISO/IEC 27005:2007 Інформаційні технології. Методи забезпечення безпеки. Управління ризиками інформаційної безпеки (на основі BS 7799-3:2006)
  • ISO/IEC 27006:2007 Інформаційні технології. Методи забезпечення безпеки. Вимоги до органів аудиту та сертифікації систем управління інформаційною безпекою
  • ISO/IEC 27007 Інструкція для аудитора СУІБ (Draft)
  • ISO/IEC 27011:2008 Інструкція з управління інформаційною безпекою для телекомунікацій

Також, при необхідності, на курсі надаються знання про такі стандарти безпеки даних індустрії платіжних карт (PCI DSS) v.2.0.

  • ISO/IEC 38500:2008 Корпоративний менеджмент інформаційними технологіями
  • ДСТУ ISO/IEC TR 13335-1:2003 Технології інформаційні. Рекомендації з управління безпекою інформаційних технологій. Частина 1. Концепції та моделі безпеки в ІТ
  • ДСТУ ISO/IEC TR 13335-2:2003 Технології інформаційні. Рекомендації з управління безпекою інформаційних технологій. Частина 2. Управління та планування безпеки ІТ
  • ДСТУ ISO/IEC TR 13335-5:2005 Технології інформаційні. Рекомендації з управління безпекою інформаційних технологій. Частина 5. Рекомендації з управління мережною безпекою

Після закінчення курсу слухачі зможуть:
  • розробляти основні положення концепції побудови та ефективного застосування комплексних систем захисту інформації в автоматизованих системах;
  • розробляти внутрішні нормативні документи з інформаційної безпеки в організаціях відповідно до вимог законів України, НБУ, ДССЗЗІ України;
  • планувати захист та раціонально розподіляти відповідні функції між підрозділами та співробітниками підприємства, організовувати їх взаємодію на різних етапах життєвого циклу інформаційних підсистем;
  • організовувати діяльність служб технічного захисту інформації в системах, що працюють та проектуються;
  • здійснювати аудит та аналіз ризиків систем інформаційної безпеки;
  • розробляти організаційно-розпорядчі документи з питань захисту інформації;
  • орієнтуватися в проблемах безпеки в інформаційних системах;
  • виважено організовувати процедури оцінки ризиків;
  • обґрунтовано обирати необхідні програмно-апаратні засоби захисту інформації в комп'ютерних мережах;
  • організовувати пошук та використання оперативної інформації про нові вразливості в системному та прикладному програмному забезпеченні, а також інших актуальних для забезпечення комп'ютерної безпеки даних.
Аудиторія

Керівники підрозділів технічного захисту інформації, відповідальні за стан інформаційної безпеки і організацію робіт зі створення комплексних систем захисту інформації

Аналітики з питань комп'ютерної безпеки, відповідальні за аналіз стану інформаційної безпеки, визначення вимог до захищеності ресурсів автом атізірованних систем і шляхів забезпечення їх захисту

Фахівці, відповідальні за розробку необхідних нормативно-методичних і організаційно-розпорядчих документів з питань захисту інформації

Адміністратори засобів захисту, контролю та управління безпекою, відповідальні за супровід і адміністрування засобів захисту інформації і засобів аналізу захищеності підсистем автоматизованих систем


Для ефективного навчання на курсі, слухачі повинні володіти такими знаннями і навичками:
  • загальне розуміння про інформаційні системи, правові, організаційні та технічні аспекти забезпечення інформаційної безпеки комп'ютерних систем.
  1. Безпека інформаційних систем
    • Основні поняття безпеки інформаційних технологій
      • Суб'єкти інформаційних відносин, їх інтереси та безпека, шляхи нанесення їм шкоди
      • Основні терміни та визначення
      • Приватна власність, цілісність, доступність
      • Вимоги до інформаційної безпеки (ІБ)
      • Система управління інформаційною безпекою (СУІБ)
      • Концептуальна модель ІБ
      • Загальна структура засобів забезпечення ІБ
      • Види оброблюваної інформації
      • Об'єктно-орієнтований підхід до ІБ
      • Об'єкти, цілі та завдання захисту інформаційних систем.
    • Загрози інформаційній безпеці
      • Класифікація
      • Основні джерела та шляхи реалізації загроз
      • Моделі порушників
      • Підходи до аналізу та управління ризиками, категоріювання ресурсів та визначення вимог до рівня забезпечення інформаційної безпеки
      • Українські та міжнародні стандарти і критерії захищеності систем
    • Заходи забезпечення інформаційної безпеки
      • Типологія
      • Основні принципи побудови систем захисту
      • Принципи відбивання загроз
    • Основні захисні механізми
      • Заходи щодо забезпечення ІБ.
    • Основні помилки при побудові захищених інформаційних систем
  2. Правові основи забезпечення інформаційної безпеки
    • Закони України та інші нормативно-правові документи, які регламентують відносини суб'єктів в інформаційній сфері та діяльність організацій по захисту інформації
    • Захист інформації обмеженого доступу, права та обов'язки суб'єктів
    • Ліцензування діяльності, сертифікація засобів захисту та атестація інформаційних систем
    • Вимоги керівних документів НБУ, ДССЗЗІ та ДСТСЗІ СБУ
    • Питання законності застосування засобів криптографічного захисту інформації.
  3. Організація заходів та методів захисту
    • Оцінка та обробка ризику, процес оцінки ризиків, процес обробки ризиків
      • Компоненти процесу
      • Встановлення стану
      • Процес оцінки ризику інформаційний безпеки
      • Аналіз ризику інформаційної безпеки
      • Оцінка ризику інформаційної безпеки
      • Обробка ризику інформаційної безпеки
      • Прийняття ризику інформаційної безпеки
      • Ризик інформаційної безпеки системи зв'язку
      • Ризик інформаційної безпеки моніторингу та перегляду
      • Підходи щодо оцінки ризиків інформаційної безпеки
    • Політика безпеки
      • Організація інформаційної безпеки
      • Внутрішня організація
      • Забезпечення безпеки при наявності доступу до інформаційних систем сторонніх організацій
    • Управління активами
      • Відповідальність за активи
      • Класифікація інформації
    • Питання безпеки, пов'язані з кадровими ресурсами
      • Перед працевлаштуванням
      • Під час роботи за трудовою угодою
      • Припинення дії трудової угоди або її зміна
    • Фізичний захист та захист від впливу навколишнього середовища
      • Зони під охороною
      • Безпека обладнання
    • Управління засобами зв'язку та операціями
      • Процедури експлуатації та обов'язки
      • Управління постачанням послуг третьою стороною
      • Планування навантаження та приймання систем
      • Захист від шкідливого та мобільного коду
      • Дублювання
      • Управління безпекою мереж
      • Маніпулювання носіями інформації
      • Обмін інформацією
      • Сервіси електронної торгівлі
      • Моніторинг
    • Контроль доступу
      • Вимога бізнесу щодо забезпечення контролю доступу
      • Управління доступом користувача
      • Обов'язки користувача
      • Контроль мережного доступу
      • Контроль доступу до операційної системи
      • Контроль доступу до прикладних програм та інформації
      • Моніторинг доступу та використання системи
    • Придбання, удосконалення та обслуговування інформаційних систем
      • Вимоги безпеки інформаційних систем
      • Правильна обробка додатків
      • Криптографічні засоби
      • Безпека системних файлів
      • Безпека в процесах розробки та підтримки
      • Управління технічними вразливостями
    • Управління інцидентами порушення інформаційної безпеки
      • Повідомлення про порушення та слабкі місця інформаційної безпеки
      • Управління інцидентами порушення інформаційної безпеки та їх удосконалення
    • Управління безперервністю бізнесу
      • Аспекти інформаційної безпеки управління безперервністю бізнесу
    • Відповідність вимогам
      • Відповідність правовим вимогам
      • Відповідність політикам та стандартам безпеки
      • Технічна відповідність
      • Питання для розгляду при здійснення аудиту інформаційних систем
  4. Система управління ІБ. Вимоги до СУІБ
    • Загальні вимоги. Створення та управління СУІБ
    • Вимоги до документації
    • Зобов'язання керівництва. Управління ресурсами
    • Внутрішні аудити СУІБ
      • Аналіз СУІБ керівництвом. Загальні положення. Вхідні дані аналізу. Вихідні дані аналізу
      • Удосконалення СУІБ. Безперервне вдосконалення. Дії для коригування. Превентивні дії
  5. Забезпечення безпеки автоматизованих систем
    • Проблеми забезпечення безпеки в мережах
      • Типова IP-мережа організації
      • Мережні загрози, вразливості та атаки
      • Засоби виявлення вразливостей вузлів IP-мереж та атак на вузли, протоколи та мережні служби
      • Отримання оперативної інформації про нові вразливості та атаки
      • Способи усунення вразливостей та протидія вторгненням порушників
    • Міжмережні екрани
      • Призначення та види
      • Основні можливості та варіанти розміщення
      • Переваги та недоліки
      • Основні захисні механізми: фільтрація пакетів, трансляція мережних адрес, проміжна автентифікація, перевірка пошти, віртуальні приватні мережі, протидія атакам, націленим на порушення працездатності мережних служб, додаткові функції
      • Загальні рекомендації щодо застосування
      • Політика безпеки при доступі до мережі загального користування
      • Демілітаризована зона
    • Контроль інформаційного наповнення (контенту) електронної пошти та web-трафіку
      • Компоненти та функціонування систем контролю контенту
      • Політики безпеки, сценарії та варіанти застосування та реагування
    • Віртуальні приватні мережі VPN
      • Призначення, основні можливості, принципи функціонування та варіанти реалізації
      • Структура захищеної корпоративної мережі
      • Варіанти, достоїнства та недоліки VPN-рішень
      • Загальні рекомендації щодо їх застосування
    • Засоби виявлення вразливостей вузлів мереж та засоби виявлення атак на вузли, протоколи та мережні служби
      • Призначення, можливості, принципи роботи
      • Місце та роль в загальній системі забезпечення безпеки
      • Порівняння можливостей з міжмережними екранами
      • Засоби забезпечення адаптивної мережної безпеки
      • Варіанти рішень із забезпечення безпеки мережі організації

Реєстрація на найближчий курс

Код курсу

NT-Security IT

Тривалість, днів (годин)

4 (32)

Найближчі дати

Ціна, грн

Графік занять

Дата

Час

16.12.19
09:00 - 17:00
17.12.19
09:00 - 17:00
18.12.19
09:00 - 17:00
19.12.19
09:00 - 17:00