课程简介

信息作为企业的重要资产，需要妥善保护。目前企业普遍采用现代通信、计算机、网络技术来构建企业的信息系统，但大多数企业的管理者对信息资产所面临的威胁的严重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数职的现象。这些都是造成信息安全事件甚至事故的重要原因。

另外，缺乏系统的管理思维也是信息安全频遭威胁的重要的问题之一。因此，企业非常有必要按照GB/T 22080-2016/ISO/IEC 27001:2013标准的要求建立系统规范的信息安全管理体系，从事先预防的角度出发，保障企业的信息系统与业务的安全与正常运作。

培训目标

1.理解信息安全管理的关键原则和理念；

2.熟悉ISO/IEC 27001信息安全管理体系标准；

3.系统掌握信息安全管理体系审核的基本要求、方法和技巧；

4.掌握从整体角度把握信息安全管理体系构建过程。

课程对象

1.信息安全管理部门人员、IT运维人员，IT项目实施人员

2.致力于改变公司信息安全运维绩效，提升运维团队能力的团队

3.负责公司信息安全管理体系建设和实施人员

课程大纲

第一部分：

1.信息安全管理体系基础

2.信息安全基础

3.信息安全相关概念

4.信息安全管理体系综述

5.ISO 27001标准家族

6.管理体系通用要求

7.过程方法与体系思维

8.PDCA循环

9.管理体系高层次结构

第二部分：

1.ISO 27001标准解析

2.正文标准条款解析

3.组织情境分析与领导力

4.体系策划、实施与支持

5.绩效评价与持续改进

6.附录A标准条款解析

7.信息安全策略、信息安全组织

8.人力资源安全、资产管理与物理安全

9.访问控制、密码学

10.操作安全、通信安全与系统安全

11.供应商管理、信息安全事件管理、信息安全连续性、合规性

第三部分：

1.审核 （Audit）

2.审核基本概念（Overview）

3.审核的概念与术语

4.信息安全管理体系审核综述

5.策划 （Plan）

6.审核方案

7.审核计划

8.审核检查表

9.执行 （Execution）

10.首次会议

11.审核过程

12.寻找证据

13.末次会议

14.报告 （Reporting）

15.不符合项报告（NCR）

16.审核总结报告

17.典型审核报告内容及展示

18.跟踪关闭 （Closing）

19.纠正措施计划（CAP）

20.根本原因分析（RCA）

21.效果验证

考试内审员资格考试