信息安全意識(shí)管理

課程背景：

ISO 27001標(biāo)準(zhǔn)的更新已在2013年正式發(fā)布。2016年11月7日中國(guó)發(fā)布了《中華人民共和國(guó)網(wǎng)絡(luò)安全法》。隨后2018年5月25日歐洲聯(lián)盟出臺(tái)《通用數(shù)據(jù)保護(hù)條例》GDPR。 2019年7月8日，英國(guó)信息監(jiān)管局發(fā)表聲明說(shuō)，英國(guó)航空公司因?yàn)檫`反《一般數(shù)據(jù)保護(hù)條例》被罰1.8339億英鎊（約合15.8億元人民幣）。

隨著信息化和數(shù)字化的不斷深入，各國(guó)家和企業(yè)紛紛重視信息安全保障工作，從戰(zhàn)略、組織結(jié)構(gòu)、科技等各個(gè)方面加強(qiáng)信息安全保障工作力度。本課程從當(dāng)前隱私保護(hù)，數(shù)據(jù)泄露，網(wǎng)絡(luò)入侵等案例入手，引入信息安全管理的重要性，分析安全管理與安全技術(shù)的關(guān)系。剖析組織中信息安全管理的核心要點(diǎn)和關(guān)鍵環(huán)節(jié)，分享在由各行業(yè)實(shí)際安全管理工作中總結(jié)出來(lái)的信息安全的重要原則，使管理人員對(duì)信息安全的理念、規(guī)律有清晰的認(rèn)識(shí)，便于在組織信息安全管理過(guò)程中把握核心要點(diǎn)，有效地推動(dòng)整個(gè)組織的信息安全管理工作。

課程收益：

● 領(lǐng)悟信息安全管理的重要性

● 了解行業(yè)相關(guān)信息安全法規(guī)

● 掌握信息安全管理的規(guī)律和特點(diǎn)

● 理解信息安全管理的作用和責(zé)任

● 掌握信息安全建設(shè)的重點(diǎn)和難點(diǎn)

課程時(shí)間：2天，6小時(shí)/天

課程對(duì)象：企業(yè)信息安全、信息部、IT開(kāi)發(fā)、運(yùn)維人員、信息安全審計(jì)人員

課程方式：理論講授+案例分析+現(xiàn)場(chǎng)演練

課程大綱

第一講：信息安全管理的認(rèn)知

一、信息和信息資產(chǎn)分類(lèi)

信息：是一種資產(chǎn)，就像企業(yè)其它資產(chǎn)一樣重要，對(duì)企業(yè)具有重要的價(jià)值，因此需要受到適當(dāng)?shù)谋Ｗo(hù)

1. 數(shù)據(jù)資產(chǎn)（紙本文件、電子文件）

2. 軟件資產(chǎn)（業(yè)務(wù)系統(tǒng)、OA軟件、操作系統(tǒng)、數(shù)據(jù)庫(kù)軟件、辦公軟件、壓縮工具等）

3. 實(shí)物資產(chǎn)（服務(wù)器、筆記本電腦、打印機(jī)、手機(jī)、光盤(pán)等）

4. 人員資產(chǎn)（正式員工、臨時(shí)員工、外聘員工等）

5. 服務(wù)資產(chǎn)（保潔服務(wù)、安保服務(wù)、桌面幫助服務(wù)、通信服務(wù)等）

6. 環(huán)境（物理環(huán)境、業(yè)務(wù)環(huán)境、組織環(huán)境）

二、信息安全三大屬性CIA

1. 機(jī)密性（Confidentiality）：信息不可被未經(jīng)授權(quán)之個(gè)人、實(shí)體、流程所取得或揭露的特性

2. 完整性（Integrity）: 確保信息不被非授權(quán)修改的特性

3. 可用性（Availability）: 基于需要可由授權(quán)者存取及使用的特性。

三、信息安全管理模型

1. 信息安全管理定義

2. 信息安全目標(biāo)和方針

3. 信息安全問(wèn)題發(fā)生原因及其解決之道

案例：數(shù)據(jù)泄露-思科訴華為知識(shí)產(chǎn)權(quán)侵權(quán)案以和解告終

案例：可用性-某離港系統(tǒng)主機(jī)發(fā)生故障

案例：電商行業(yè)安全案例分析

第二講：信息安全與業(yè)務(wù)發(fā)展的關(guān)系

1. 業(yè)務(wù)安全基礎(chǔ)

2. 業(yè)務(wù)安全問(wèn)題和威脅

3. 業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)估

4. 業(yè)務(wù)安全解決之道

案例：分組討論業(yè)界有關(guān)業(yè)務(wù)安全問(wèn)題

第三講：國(guó)內(nèi)外互聯(lián)網(wǎng)行業(yè)信息安全法規(guī)與標(biāo)準(zhǔn)

1. ISO27001信息安全管理體系（ISMS）

1）策劃：建立ISMS范圍&風(fēng)險(xiǎn)評(píng)估

2）實(shí)施：設(shè)計(jì)&實(shí)施ISMS

3）檢查：監(jiān)控&評(píng)審ISMS

4）改進(jìn)：改進(jìn)ISMS

2. 網(wǎng)絡(luò)安全法解析

3. 網(wǎng)絡(luò)安全等級(jí)保護(hù)制度介紹

4. GDPR歐盟個(gè)人隱私保護(hù)法案

案例：某證券公司信息安全管理體系建設(shè)實(shí)施計(jì)劃

第四講：信息安全組織工作范圍及其職責(zé)分工

1. 信息安全組織規(guī)劃和建設(shè)

2. 信息安全職責(zé)分工

1）信息安全委員會(huì)

2）信息安全負(fù)責(zé)人

3）業(yè)務(wù)負(fù)責(zé)人

4）用戶

5）審計(jì)師

小組模擬：究竟誰(shuí)管誰(shuí)？

3. 信息安全組織工作內(nèi)容

案例：業(yè)界著名公司信息安全組織結(jié)構(gòu)和職責(zé)介紹

第五講：信息安全風(fēng)險(xiǎn)評(píng)估

一、風(fēng)險(xiǎn)評(píng)估的認(rèn)知

1. 風(fēng)險(xiǎn)風(fēng)險(xiǎn)評(píng)估分析

1）風(fēng)險(xiǎn)分析

2）風(fēng)險(xiǎn)評(píng)價(jià)

3）剩余風(fēng)險(xiǎn)

2. 風(fēng)險(xiǎn)來(lái)源

3. 風(fēng)險(xiǎn)管理原則

4. 風(fēng)險(xiǎn)評(píng)估要素

二、風(fēng)險(xiǎn)評(píng)估過(guò)程

1. ISO31000 風(fēng)險(xiǎn)處理過(guò)程

2. 信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程

1）環(huán)境構(gòu)建

2）風(fēng)險(xiǎn)識(shí)別

3）風(fēng)險(xiǎn)分析

4）風(fēng)險(xiǎn)評(píng)價(jià)

5)風(fēng)險(xiǎn)處置

練習(xí)：識(shí)別資產(chǎn)，威脅，弱點(diǎn)，可能性，影響，現(xiàn)有控制措施

3. 選擇和實(shí)施安全控制

案例：分組討論信息安全的風(fēng)險(xiǎn)評(píng)估