信息安全意識管理

課程背景：

ISO 27001標(biāo)準(zhǔn)的更新已在2013年正式發(fā)布。2016年11月7日中國發(fā)布了《中華人民共和國網(wǎng)絡(luò)安全法》。隨后2018年5月25日歐洲聯(lián)盟出臺《通用數(shù)據(jù)保護(hù)條例》GDPR。 2019年7月8日，英國信息監(jiān)管局發(fā)表聲明說，英國航空公司因為違反《一般數(shù)據(jù)保護(hù)條例》被罰1.8339億英鎊（約合15.8億元人民幣）。

隨著信息化和數(shù)字化的不斷深入，各國家和企業(yè)紛紛重視信息安全保障工作，從戰(zhàn)略、組織結(jié)構(gòu)、科技等各個方面加強信息安全保障工作力度。本課程從當(dāng)前隱私保護(hù)，數(shù)據(jù)泄露，網(wǎng)絡(luò)入侵等案例入手，引入信息安全管理的重要性，分析安全管理與安全技術(shù)的關(guān)系。剖析組織中信息安全管理的核心要點和關(guān)鍵環(huán)節(jié)，分享在由各行業(yè)實際安全管理工作中總結(jié)出來的信息安全的重要原則，使管理人員對信息安全的理念、規(guī)律有清晰的認(rèn)識，便于在組織信息安全管理過程中把握核心要點，有效地推動整個組織的信息安全管理工作。

課程收益：

● 領(lǐng)悟信息安全管理的重要性

● 了解行業(yè)相關(guān)信息安全法規(guī)

● 掌握信息安全管理的規(guī)律和特點

● 理解信息安全管理的作用和責(zé)任

● 掌握信息安全建設(shè)的重點和難點

課程時間：2天，6小時/天

課程對象：企業(yè)信息安全、信息部、IT開發(fā)、運維人員、信息安全審計人員

課程方式：理論講授+案例分析+現(xiàn)場演練

課程大綱

第一講：信息安全管理的認(rèn)知

一、信息和信息資產(chǎn)分類

信息：是一種資產(chǎn)，就像企業(yè)其它資產(chǎn)一樣重要，對企業(yè)具有重要的價值，因此需要受到適當(dāng)?shù)谋Ｗo(hù)

1. 數(shù)據(jù)資產(chǎn)（紙本文件、電子文件）

2. 軟件資產(chǎn)（業(yè)務(wù)系統(tǒng)、OA軟件、操作系統(tǒng)、數(shù)據(jù)庫軟件、辦公軟件、壓縮工具等）

3. 實物資產(chǎn)（服務(wù)器、筆記本電腦、打印機、手機、光盤等）

4. 人員資產(chǎn)（正式員工、臨時員工、外聘員工等）

5. 服務(wù)資產(chǎn)（保潔服務(wù)、安保服務(wù)、桌面幫助服務(wù)、通信服務(wù)等）

6. 環(huán)境（物理環(huán)境、業(yè)務(wù)環(huán)境、組織環(huán)境）

二、信息安全三大屬性CIA

1. 機密性（Confidentiality）：信息不可被未經(jīng)授權(quán)之個人、實體、流程所取得或揭露的特性

2. 完整性（Integrity）: 確保信息不被非授權(quán)修改的特性

3. 可用性（Availability）: 基于需要可由授權(quán)者存取及使用的特性。

三、信息安全管理模型

1. 信息安全管理定義

2. 信息安全目標(biāo)和方針

3. 信息安全問題發(fā)生原因及其解決之道

案例：數(shù)據(jù)泄露-思科訴華為知識產(chǎn)權(quán)侵權(quán)案以和解告終

案例：可用性-某離港系統(tǒng)主機發(fā)生故障

案例：電商行業(yè)安全案例分析

第二講：信息安全與業(yè)務(wù)發(fā)展的關(guān)系

1. 業(yè)務(wù)安全基礎(chǔ)

2. 業(yè)務(wù)安全問題和威脅

3. 業(yè)務(wù)安全風(fēng)險評估

4. 業(yè)務(wù)安全解決之道

案例：分組討論業(yè)界有關(guān)業(yè)務(wù)安全問題

第三講：國內(nèi)外互聯(lián)網(wǎng)行業(yè)信息安全法規(guī)與標(biāo)準(zhǔn)

1. ISO27001信息安全管理體系（ISMS）

1）策劃：建立ISMS范圍&風(fēng)險評估

2）實施：設(shè)計&實施ISMS

3）檢查：監(jiān)控&評審ISMS

4）改進(jìn)：改進(jìn)ISMS

2. 網(wǎng)絡(luò)安全法解析

3. 網(wǎng)絡(luò)安全等級保護(hù)制度介紹

4. GDPR歐盟個人隱私保護(hù)法案

案例：某證券公司信息安全管理體系建設(shè)實施計劃

第四講：信息安全組織工作范圍及其職責(zé)分工

1. 信息安全組織規(guī)劃和建設(shè)

2. 信息安全職責(zé)分工

1）信息安全委員會

2）信息安全負(fù)責(zé)人

3）業(yè)務(wù)負(fù)責(zé)人

4）用戶

5）審計師

小組模擬：究竟誰管誰？

3. 信息安全組織工作內(nèi)容

案例：業(yè)界著名公司信息安全組織結(jié)構(gòu)和職責(zé)介紹

第五講：信息安全風(fēng)險評估

一、風(fēng)險評估的認(rèn)知

1. 風(fēng)險風(fēng)險評估分析

1）風(fēng)險分析

2）風(fēng)險評價

3）剩余風(fēng)險

2. 風(fēng)險來源

3. 風(fēng)險管理原則

4. 風(fēng)險評估要素

二、風(fēng)險評估過程

1. ISO31000 風(fēng)險處理過程

2. 信息安全風(fēng)險評估過程

1）環(huán)境構(gòu)建

2）風(fēng)險識別

3）風(fēng)險分析

4）風(fēng)險評價

5)風(fēng)險處置

練習(xí)：識別資產(chǎn)，威脅，弱點，可能性，影響，現(xiàn)有控制措施

3. 選擇和實施安全控制

案例：分組討論信息安全的風(fēng)險評估