بخشی از پاورپوینت
اسلاید 1 :
ISMS
Information Security Management System
سيستم مديريت امنيت اطلاعات
اسلاید 2 :
مقدمه
اطلاعات ( مانند ساير دارائیهای سازمانی ) به عنوان يک دارائی مهم و باارزش برای هر سازمان به حساب میآيد و در نتيجه نيازمند ارائه راهکارهای حفاظتی لازم برای نگهداری آنها ، میباشند .
استاندارد ISO 27001 تامين کننده يک سري از ابزارهاي سازگار با يکديگر براي سنجش مديريت امنيت اطلاعات در هر سازمان با هر نوع کار يا حجم سازمان مي باشد. اين گواهينامه ميتواند براي يک سازمان يا بخشي از آن دريافت و سپس در سازمان گسترش و بخشهاي ديگر را دربرگيرد.
موسسات ISO و IEC از موسسات بينالمللی تدوين استاندارد در سطح جهانی میباشند که کميته مشترکی را به نام JTC1 برای تدوين استانداردها تشکيل دادهاند .
استاندارد بينالمللی ISO/IEC 17799 برای اولين بار توسط موسسه استاندارد انگلستان ارائه شد و سپس توسط JTC1 پذيرفته شد .
اسلاید 3 :
اصول مهم درامنيت اطلاعات
سه اصل مهم در امنيت اطلاعات عبارتند از :
محرمانگی : اطمينان از اينکه اطلاعات فقط در دسترس افراد مجاز قرار دارد
صحت : تامين صحت ، دقت و کامل بودن اطلاعات و روشهای پردازش آنها
دسترس پذيری : اطمينان از اينکه کاربران مجاز در صورت نياز به اطلاعات و دارائیهای مربوطه به آنها دسترسی دارند .
امنيت اطلاعات به وسيله اجرای يکسری از کنترلهای مناسب ، حاصل خواهد شد. اين کنترلها ميتوانند به صورت خطمشیها ، رويهها ، ساختارهای سازمانی و يا نرمافزارهای کاربردی باشند . اين کنترلها برای اطمينان از برآورده شدن اهداف امنيتی سازمان بايستی اجرا گردند .
اسلاید 4 :
ISMS (Information Security Management System)
بر اساس استاندارد ISO 27001 در كنار ديگر سيستمهاي مديريت به خصوص استاندارد 9001ISO و تحت نظارت و مديريت مستقيم مديريت ارشد سازمان مستقر ميگردد.
تامين كننده امنيت اطلاعات سازمان
مبتني بر رويکرد فرآيندي است
اين سيستم براي پياده سازي از استانداردها و متدولوژي هاي گوناگوني مانند
BS 7799 و ISO/IEC 17799 و ISO 15408(معيار های عمومی برای فنآوری اطلاعات ) بهره مي گيرد.
اسلاید 5 :
تعريف ISO از ISMS
قسمتی از سیستم مدیریت کلی، برپایه روش ریسک کاری ، جهت تاسیس، پیاده سازی، عملکرد، نظارت، مرور ، نگهداری ، و بهبود امنیت اطلاعات است.
استاندارد ISO/IES 27001:2005 مدلی برای برپائی ISMS موثر فراهم
مي کند.
* منظور از مديريت كلي ، رعايت ساير استانداردها مي باشد.
اسلاید 6 :
ISMS (Information Security Management System)
مشخصه اي براي مديريت امنيت اطلاعات
دستورالعمل مديريت امنيت اطلاعات
پايه اي براي ارتباط قراردادي
پايه گواهينامه شخص ثالث
قابليت كاربرد براي تمامي بخشهاي صنعت
تاكيد بر پيش گيري
اسلاید 7 :
سری استانداردهای ISO/IEC 2700k
ISO/IEC 27001:2005, Information security management systems — Requirements
سيستم هاي مديريت امنيت اطلاعات – نيازمندي ها
ISO/IEC 27002:2005, Code of practice for information security management
آئين نامه كاري مديريت امنيت اطلاعات
ISO/IEC 27003, Information security management system implementation guidance
راهنماي پياده سازي سيستم مديريت امنيت اطلاعات
ISO/IEC 27004, Information security management — Measurement
مديريت امنيت اطلاعات - سنجش
ISO/IEC 27005:2008, Information security risk management
مديريت مخاطرات امنيت اطلاعات
ISO/IEC 27006:2007, Requirements for bodies providing audit and certification of information security management systems
راهنماي مميزي سيستم هاي مديريت امنيت اطلاعات
اسلاید 8 :
مزاياي پياده سازي استاندارد ISO/IEC 27001
نزديک شدن به وضعيت سيستماتيك و روش مند
افزايش تضمين اعتبار قانوني سازمان
افزايش جنبه هاي تداوم کسب وکار
شناسائی دارايي هاي بحراني از طريق ارزيابي ريسك
ايجاد يك ساختار براي بهبود مستمر
افزايش شناخت و اهميت مسائل مربوط به امنيت درسطح مديريت
بومي سازي فرهنگ و دانش امنيت اطلاعات در سازمان
اسلاید 9 :
ارزيابي اوليه از ميزان امنيت شبكه و اطلاعات جاري سازمان ( Gap Analysie)
ارزيابي اوليه در حوزه هاي مختلف، با ارائه پرسشنامه
حوزه های مرتبط با مديريت
حوزه های مرتبط با آموزش و آگاه سازی
حوزه های مرتبط با وابستگی سازمان به کارمندان
حوزه های مرتبط با دسترسی و حقوق دسترسی
حوزه های مرتبط با رويه های سازمانی
حوزه های مرتبط با بازرسی
حوزه های مرتبط با خط مشی های امنيتی
حوزه های مرتبط با مستندات
حوزه های مرتبط با سخت افزار و نرم افزار
حوزه های مرتبط با شبکه
حوزه های مرتبط با کاربران
اسلاید 10 :
تعيين محدوده استقرار سيستم مديريت امنيت اطلاعات ( SCOPE )
دامنه ومرزهای سيستم مديريت امنيت اطلاعات بر مبنای ويژگي کسب وکار , سازمان، مکان ، دارائی ها وفن آوری آن تعريف مي شود و همچنين جزئيات و توجيه برای کنارگذاری هر چيزی از دامنه را شامل مي باشد
اسلاید 11 :
تعيين دارائي هاي (سرمايه هاي) سازماني
مستندات کاغذي
دارائي هاي اطلاعاتي
دارائي هاي فيزيکي
سخت افزار ها
نرم افزارها
اطلاعات و ارتباطات
منابع انساني
خدمات
اسلاید 12 :
تعيين سياست های امنيتی
سياستهاي امنيتي سرويسهاي فضاي تبادل اطلاعات سازمان
سياستهاي امنيتي سختافزارهاي فضاي تبادل اطلاعات سازمان
سياستهاي امنيتي نرمافزارهاي فضاي تبادل اطلاعات سازمان
سياستهاي امنيتي ارتباطات و اطلاعات فضاي تبادل اطلاعات سازمان
سياستهاي امنيتي کاربران فضاي تبادل اطلاعات سازمان
اسلاید 13 :
چگونگي تشخيص الزامات امنيتي
ريسك هاي امنيتي
الزامات قراردادي وقانوني
اصول واهداف والزامات داخلي
اسلاید 14 :
برآورد و مديريت ريسک
كا هش
پذيرش
اجتناب
انتقال
پيامد
احتمال
اسلاید 20 :
ارزيابی ريسک
