خدمات شبکه فراز نتورک | پیشرو در ارائه خدمات دیتاسنتری و کلود
بخش ۱: مقدمه و آشنایی با ISO 27001
فصل ۱.۱: معرفی استاندارد ISO 27001
-
هدف و فلسفه اصلی استاندارد
-
تاریخچه استانداردهای امنیت اطلاعات
-
جایگاه ISO 27001 در خانواده ISO 27000
-
دیدگاه عمومی نسبت به امنیت اطلاعات
فصل ۱.۲: چرا سازمانها به ISO 27001 نیاز دارند؟
-
تهدیدهای امنیتی نوین و خطرات سایبری
-
اهمیت جلوگیری از نشت اطلاعات
-
ضرورت انطباق با قوانین و مقررات امنیتی
-
نقش ISO 27001 در افزایش اعتماد مشتریان و شرکا
-
ارتباط استاندارد با مدیریت ریسک سازمانی
فصل ۱.۳: دامنه کاربرد ISO 27001
-
انواع سازمانهای هدف
-
بخشها و صنایع مناسب برای پیادهسازی استاندارد
-
مشخصکردن Scope دقیق و اهمیت آن
-
سناریوهای رایج در تعیین دامنه
فصل ۱.۴: ساختار اصلی استاندارد ISO 27001
-
معرفی Annex SL و ساختار ۱۰ بخشی
-
بررسی الزامات مدیریتی
-
بررسی الزامات فنی
-
تفاوت بین الزامات (Requirements) و کنترلها (Controls)
-
نقش رهبری، برنامهریزی و پشتیبانی
فصل ۱.۵: اصول کلیدی امنیت اطلاعات در ISO 27001
-
محرمانگی (Confidentiality)
-
یکپارچگی (Integrity)
-
دسترسپذیری (Availability)
-
اهمیت این سه اصل در ISMS
-
مثالهای عملی از نقض هر اصل
فصل ۱.۶: مفاهیم پایه ISMS (سیستم مدیریت امنیت اطلاعات)
-
تعریف ISMS و هدف آن
-
ارتباط بین ISMS و ISO 27001
-
چرخه PDCA و نقش آن در امنیت اطلاعات
-
مفهوم بهبود مستمر در سیستم امنیت اطلاعات
فصل ۱.۷: مفاهیم کلیدی در امنیت اطلاعات
-
دارایی اطلاعاتی (Information Asset)
-
مالک دارایی (Asset Owner)
-
سیاست امنیتی
-
کنترل امنیتی
-
مخاطره و تهدید
-
ریسک و روشهای مدیریت آن
فصل ۱.۸: مروری بر Annex A و کنترلهای امنیتی
-
معرفی Annex A و نقش آن
-
آشنایی با ۹۳ کنترل امنیتی جدید (ویرایش 2022)
-
دستهبندیهای کنترلها
-
تفاوت بین کنترلهای اجباری و انتخابی
فصل ۱.۹: نقش افراد و واحدها در ISO 27001
-
نقش مدیریت ارشد
-
نقش تیم امنیت اطلاعات
-
نقش کارکنان
-
نقش پیمانکاران و شرکای تجاری
فصل ۱.۱۰: رابطه ISO 27001 با سایر استانداردها
-
ارتباط با ISO 27002
-
همبستگی با ISO 22301 (مدیریت تداوم کسبوکار)
-
ارتباط با GDPR، NIST، Cobit
-
استفاده از استانداردهای مکمل
فصل ۱.۱۱: چالشهای اولیه در مسیر پیادهسازی
-
مقاومت کارکنان
-
هزینهها
-
کمبود متخصص
-
مشکلات تعیین Scope
-
نبود فرهنگ امنیت اطلاعات
فصل ۱.۱۲: مزایای عملی دریافت گواهینامه ISO 27001
-
مزایای فنی
-
مزایای مدیریتی
-
مزایای تجاری
-
تأثیر بر برند، مشتری و بازار
-
بهبود امنیت داخلی سازمان
فصل ۱.۱۳: مسیر کلی اجرای ISO 27001
-
مراحل کلان پیادهسازی
-
نیازمندیهای مستندسازی
-
نقش ممیزی داخلی
-
روند دریافت گواهینامه
بخش ۲: مفاهیم پایه امنیت اطلاعات
فصل ۲.۱: تعریف امنیت اطلاعات و اهمیت آن
-
مفهوم امنیت اطلاعات در سطح سازمانی و فردی
-
تفاوت امنیت اطلاعات، امنیت سایبری و امنیت شبکه
-
ارزش داراییهای اطلاعاتی و چرایی محافظت از آنها
-
تهدیدات رایج دنیای دیجیتال
فصل ۲.۲: اصول سهگانه امنیت اطلاعات (CIA Triad)
-
محرمانگی (Confidentiality) و روشهای حفظ آن
-
یکپارچگی (Integrity) و نقش آن در صحت دادهها
-
دسترسپذیری (Availability) و جلوگیری از وقفههای سرویس
-
تعادل میان سه اصل در سناریوهای واقعی
فصل ۲.۳: مفاهیم تکمیلی امنیت اطلاعات
-
احراز هویت (Authentication)
-
مجوزدهی و کنترل دسترسی (Authorization & Access Control)
-
مسئولیتپذیری و ثبت وقایع (Accountability & Auditing)
-
عدمانکارپذیری (Non-Repudiation)
فصل ۲.۴: انواع تهدیدها و حملات امنیتی
-
بدافزارها (Malware) و انواع اصلی: ویروس، روتکیت، تروجان، باجافزار
-
حملات شبکهای: اسنیفینگ، اسپوفینگ، حملات مرد میانی
-
حملات مهندسی اجتماعی و فیشینگ
-
حملات برنامههای کاربردی مثل SQL Injection و XSS
-
تهدیدات داخلی (Insider Threat)
فصل ۲.۵: مدلها و استانداردهای مرجع امنیت اطلاعات
-
معرفی استاندارد ISO/IEC 27001
-
چارچوب NIST Cybersecurity Framework
-
مدل دفاعی Depth-in-Defense
-
مدل 5D امنیت: شناسایی، محافظت، شناسایی تهدید، پاسخ، بازیابی
فصل ۲.۶: مدیریت ریسک امنیت اطلاعات
-
تعریف ریسک در امنیت اطلاعات
-
روشهای شناسایی و ارزیابی ریسک
-
انواع کنترلها: پیشگیرانه، تشخیصی، اصلاحی
-
ماتریس ریسک و اولویتبندی تهدیدات
-
چرخه مدیریت ریسک
فصل ۲.۷: سیاستها، استانداردها و رویههای امنیتی
-
تفاوت سیاست امنیتی، استاندارد، دستورالعمل و رویهها
-
ضرورت مستندسازی فرآیندهای امنیتی
-
ساختار یک سیاست امنیتی قوی
-
نقش مدیریت ارشد در تأیید و اجرای سیاستها
فصل ۲.۸: مفاهیم رمزنگاری و نقش آن در امنیت
-
رمزنگاری متقارن و نامتقارن
-
امضای دیجیتال
-
مدیریت کلیدها و چرخه عمر آنها
-
کاربردهای رمزنگاری در شبکهها و دادهها
فصل ۲.۹: کنترل دسترسی و مدلهای آن
-
مدل DAC (اختیاری)
-
مدل MAC (اجباری)
-
مدل RBAC (نقشمحور)
-
مدلهای پیشرفته ABAC و Zero-Trust
-
طراحی ساختارهای دسترسی امن
فصل ۲.۱۰: امنیت در چرخه عمر سیستمها (SDLC)
-
نقش امنیت از مرحله طراحی تا پیادهسازی
-
DevSecOps و ادغام امنیت در توسعه
-
تست امنیتی و ارزیابی آسیبپذیریها
-
مدیریت تغییرات و جلوگیری از خطاهای انسانی
فصل ۲.۱۱: امنیت دادهها و حریم خصوصی
-
طبقهبندی دادهها
-
قوانین حریم خصوصی مثل GDPR
-
جمعآوری، نگهداری و حذف امن دادهها
-
اصول مینیمسازی دادهها (Data Minimization)
فصل ۲.۱۲: امنیت فیزیکی
-
کنترل دسترسی فیزیکی
-
محافظت از تجهیزات و سرورها
-
تهدیدات محیطی مانند آتشسوزی، قطعی برق، سرقت
-
طراحی مراکز داده ایمن
فصل ۲.۱۳: امنیت انسانمحور
-
نقش کاربران در امنیت
-
آموزش امنیتی کارکنان
-
رفتارهای پرخطر و خطاهای انسانی
-
فرهنگ امنیتی در سازمانها
فصل ۲.۱۴: روندهای نوین در مفاهیم امنیت اطلاعات
-
امنیت مبتنی بر هوش مصنوعی
-
Zero-Trust Architecture
-
امنیت در اینترنت اشیا (IoT Security)
-
Cloud Security Foundation
بخش ۳: دامنه ISMS و تعیین Scope
فصل ۳.۱: مفهوم دامنه در ISMS
-
تعریف دامنه (Scope) در استاندارد ISO/IEC 27001
-
اهمیت تعیین دقیق دامنه
-
تأثیر دقت در Scope بر کل چرخه ISMS
-
اشتباهات رایج در تعیین دامنه
فصل ۳.۲: اصول و معیارهای تعیین دامنه
-
معیارهای فنی، سازمانی، جغرافیایی و فرایندی
-
نقش داراییها، فناوریها و اتصالات در Scope
-
ارتباط دامنه با الزامات قانونی، قراردادی و نظارتی
-
تعیین مرزهای منطقی و فیزیکی
فصل ۳.۳: تعیین مرزهای فیزیکی دامنه
-
ساختمانها، دفاتر، دیتاسنترها و محیطهای عملیاتی
-
تعیین محدودههای دسترسی فیزیکی
-
نقش کنترلهای محیطی در Scope
-
تأثیر مکانهای جغرافیایی متعدد بر دامنه
فصل ۳.۴: تعیین مرزهای منطقی دامنه
-
شبکهها، سیستمها، سرویسها و اپلیکیشنها
-
مرزبندی سامانههای داخلی و بیرونی
-
سرویسهای ابری و تعیین دامنه در Cloud
-
سیستمهای مستقل و وابسته
فصل ۳.۵: تعیین دامنه بر اساس داراییهای اطلاعاتی
-
شناسایی داراییهای اصلی و حیاتی
-
دستهبندی داراییها براساس محرمانگی، تمامیت و دسترسپذیری
-
نقش Data Flow در تعیین دامنه
-
ارتباط داراییها با ریسکپذیری سازمان
فصل ۳.۶: نقش فرایندهای سازمانی در تعریف دامنه
-
تعیین فرایندهای حیاتی و بحرانی
-
شناسایی مالکان فرایندها
-
ارتباط فرایندهای سازمانی با سیستمهای اطلاعاتی
-
حذف و اضافه فرایندها در Scope
فصل ۳.۷: تعیین دامنه براساس نقشها و مسئولیتها
-
تشخیص واحدهای سازمانی مرتبط با ISMS
-
نقش مدیریت ارشد، تیم امنیت اطلاعات و مالکان داراییها
-
مدل RACI در تعیین دامنه
-
مسئولیتهای داخلی و برونسپاریشده
فصل ۳.۸: خدمات برونسپاریشده و تأثیر آنها بر Scope
-
پیمانکاران، سرویسدهندهها و Third Parties
-
خدمات مدیریتشده (Managed Services)
-
تعیین دامنه در مدلهای SaaS، PaaS و IaaS
-
کنترل زنجیره تأمین اطلاعات
فصل ۳.۹: محدودیتها، استثناها و تعیین مرزهای دقیق
-
مواردی که خارج از دامنه قرار میگیرند
-
معیارهای علمی برای Exclusion
-
تفاوت بین استثناهای منطقی و اشتباهات عمدی
-
نحوه توجیه خروج بخشی از سازمان از دامنه
فصل ۳.۱۰: وابستگیها و تعاملات بیرونی
-
تعامل بین واحدها، دفاتر، مشتریان و تأمینکنندگان
-
ارتباط سامانههای داخلی با سرویسهای خارج از دامنه
-
نقش APIها، اتصال شبکهها و جریان داده
-
تحلیل تأثیر وابستگیها بر امنیت دامنه
فصل ۳.۱۱: مستندسازی دامنه
-
تدوین سند رسمی Scope
-
الگوهای استاندارد برای مستندسازی
-
ویژگیهای یک سند دامنه قابل قبول برای ممیزی
-
تایید و تصویب دامنه توسط مدیریت ارشد
فصل ۳.۱۲: بازنگری و بروزرسانی دامنه
-
زمانهای لازم برای بازنگری دامنه
-
تغییرات سازمانی، فنی یا قانونی
-
معیارهای Trigger برای بازبینی دامنه
-
مدیریت چرخه تغییرات در Scope
فصل ۳.۱۳: نمونههای عملی از تعیین دامنه در سازمانها
-
دامنه برای سازمانهای کوچک
-
دامنه برای سازمانهای بزرگ و چند شعبهای
-
دامنه برای مراکز داده و شرکتهای فناوری
-
دامنه برای سیستمهای ابری و Hybrid Cloud
فصل ۳.۱۴: چکلیست حرفهای برای تعیین دامنه ISMS
-
چکلیست شناسایی داراییها
-
چکلیست مرزبندی فیزیکی
-
چکلیست مرزبندی منطقی
-
چکلیست ارتباطات داخلی و خارجی
-
چکلیست مستندسازی نهایی دامنه
بخش ۴: رهبری و تعهد مدیریت ارشد
فصل ۴.۱: نقش مدیریت ارشد در شکلدهی فرهنگ سازمانی
-
اهمیت فرهنگسازی در موفقیت برنامهها
-
تأثیر رفتار رهبران بر نگرش و عملکرد کارکنان
-
ارتباط بین ارزشهای سازمانی و سبک رهبری
-
رهبری بهعنوان محرک تغییر و نوآوری
فصل ۴.۲: تعهد راهبردی مدیریت ارشد
-
مفهوم تعهد سازمانی در سطح مدیریتی
-
نمایش تعهد از طریق سیاستها، تصمیمها و منابع
-
چگونگی انتقال تعهد به مدیران میانی و کارکنان
-
شاخصهای قابل اندازهگیری برای ارزیابی تعهد مدیریتی
فصل ۴.۳: سبکهای رهبری و اثر آن بر موفقیت سازمان
-
رهبری تحولآفرین
-
رهبری مشارکتی
-
رهبری خدمتگزار
-
رهبری اقتضایی
-
انتخاب سبک رهبری مناسب براساس شرایط سازمان
فصل ۴.۴: نقش مدیریت ارشد در هدایت تغییر
-
چالشهای رایج هنگام تغییرات سازمانی
-
راهبردهای موفق برای مدیریت مقاومت کارکنان
-
ایجاد انگیزه در دوران تغییر
-
مدیریت ریسک و عدم قطعیت در تغییرات بزرگ
فصل ۴.۵: ارتباطات مؤثر رهبران
-
اصول ایجاد ارتباط شفاف و الهامبخش
-
نقش ارتباطات در اعتمادسازی
-
روشهای انتقال پیامهای کلیدی سازمان
-
تکنیکهای افزایش تعامل رهبر با کارکنان
فصل ۴.۶: تصمیمگیری راهبردی در سطح مدیریت ارشد
-
فرآیند تصمیمگیری مبتنی بر داده
-
تحلیل ریسک و ارزیابی پیامدها
-
مشارکت ذینفعان در تصمیمهای کلیدی
-
تصمیمگیری در شرایط بحران
فصل ۴.۷: مدیریت عملکرد از سوی رهبران
-
تعیین اهداف و شاخصهای کلیدی عملکرد
-
بررسی عملکرد واحدها و کارکنان
-
تشویق و پاداشدهی بر اساس تحقق اهداف
-
ارزیابی مستمر کیفیت رهبری در سازمان
فصل ۴.۸: ایجاد مسئولیتپذیری در سطح ارشد
-
مفهوم Accountability برای مدیران ارشد
-
طراحی ساختارهای پاسخگویی داخلی
-
شفافیت در گزارشدهی
-
ایجاد الگوی رفتاری برای سایر کارکنان
فصل ۴.۹: توسعه مهارتهای رهبری در مدیریت ارشد
-
نیازهای آموزشی رهبران
-
برنامههای مربیگری و منتورینگ
-
خودآگاهی و تحلیل نقاط ضعف و قوت
-
توسعه مهارتهای نرم برای رهبری اثربخش
فصل ۴.۱۰: نقش مدیریت ارشد در ایجاد انگیزه
-
رویکردهای انگیزشی در سطح رهبری
-
مدیریت احساسات و روحیه کارکنان
-
ایجاد محیط کاری الهامبخش
-
سیاستهای حمایتی و رفاهی
فصل ۴.۱۱: اخلاق حرفهای و مسئولیتپذیری اجتماعی رهبران
-
تصمیمگیری اخلاقی در مدیریت ارشد
-
مواجهه با تعارض منافع
-
نقش رهبران در مسئولیت اجتماعی سازمان (CSR)
-
شفافیت و صداقت در رهبری
فصل ۴.۱۲: سنجش اثربخشی رهبری مدیریت ارشد
-
مدلها و چارچوبهای ارزیابی رهبری
-
ابزارهای سنجش بازخورد (Feedback)
-
بررسی نتایج عملکردی ناشی از رهبری ارشد
-
روش بهبود مستمر کیفیت رهبری در سازمان
بخش ۵: برنامهریزی و تحلیل ریسک (Risk Assessment)
فصل ۵.۱: اصول و مبانی تحلیل ریسک
-
تعریف مفاهیم ریسک، تهدید، آسیبپذیری و پیامد
-
اهمیت مدیریت ریسک در پروژهها، شبکه، امنیت و عملیات
-
معرفی استانداردهای رایج تحلیل ریسک (ISO 31000، NIST، COSO)
-
تفاوت تحلیل ریسک، مدیریت ریسک و کنترل ریسک
فصل ۵.۲: شناسایی ریسکها (Risk Identification)
-
روشهای جمعآوری اطلاعات اولیه
-
تحلیل ذینفعان و شناسایی نقاط حساس
-
مدلسازی تهدیدها و سناریوهای خطر
-
تکنیکهای کاربردی شناسایی ریسک (Brainstorming، Checklists، Interviews)
-
مستندسازی اولیه ریسکها
فصل ۵.۳: طبقهبندی و دستهبندی ریسکها
-
طبقهبندی ریسکهای فنی، عملیاتی، مالی، امنیتی و انسانی
-
دستهبندی بر اساس منابع داخلی و خارجی
-
تفکیک ریسکهای قابلکنترل و غیرقابلکنترل
-
تعیین روابط بین ریسکها و وابستگیهای احتمالی
-
روشهای گروهبندی ریسک برای تحلیل دقیقتر
فصل ۵.۴: تحلیل کمی و کیفی ریسک (Qualitative & Quantitative Analysis)
-
ارزیابی احتمال وقوع و شدت اثر
-
ماتریس ارزیابی ریسک (Risk Matrix)
-
روشهای تحلیل کیفی: Ranking، Scoring، Expert Judgment
-
روشهای تحلیل کمی: سناریوپردازی، تحلیل مونتکارلو، احتمالات
-
تبدیل دادههای خام به شاخصهای قابلسنجه
فصل ۵.۵: ارزیابی تأثیر ریسک بر پروژه و عملیات
-
تحلیل تأثیرات مالی، زمانی و عملیاتی
-
بررسی اثرات بلندمدت و کوتاهمدت
-
شناسایی نقاط شکست احتمالی
-
تعیین ریسکهای بحرانی (Critical Risks)
-
تدوین شاخصهای هشدار اولیه (Early Warning Indicators)
فصل ۵.۶: اولویتبندی ریسکها (Risk Prioritization)
-
تعیین ریسکهای High، Medium، Low
-
تحلیل حساسیت (Sensitivity Analysis)
-
تعریف آستانه پذیرش ریسک (Risk Tolerance)
-
ایجاد لیست اولویتهای عملیاتی (Priority Matrix)
-
نقش مدیریت سطح بالا در اولویتبندی
فصل ۵.۷: برنامهریزی پاسخ به ریسک (Risk Response Planning)
-
معرفی انواع راهبردهای پاسخ به ریسک:
-
کاهش (Mitigation)
-
اجتناب (Avoidance)
-
انتقال (Transfer)
-
پذیرش (Acceptance)
-
-
انتخاب بهترین استراتژی برای هر ریسک
-
ارزیابی هزینه-فایده استراتژیها
-
برنامهریزی اقدامات کوتاهمدت و بلندمدت
فصل ۵.۸: تدوین برنامه کاهش ریسک (Risk Mitigation Plan)
-
طراحی اقدامات کنترلی برای کاهش احتمال
-
طراحی اقدامات کنترلی برای کاهش پیامد
-
ایجاد مستندات و نقشه راه کاهش ریسک
-
تخصیص مسئولیتها و منابع
-
زمانبندی اجرای برنامهها
فصل ۵.۹: برنامههای واکنش اضطراری (Contingency Planning)
-
تعریف سناریوهای اضطراری و نقاط آغاز
-
ایجاد برنامههای جایگزین (Plan B، Plan C)
-
طراحی ساختار ارتباطی هنگام وقوع بحران
-
تعریف نقشهای عملیاتی در حالت اضطرار
-
مدلسازی بازیابی پس از حادثه
فصل ۵.۱۰: مانیتورینگ، کنترل و بازنگری ریسکها
-
اهمیت پایش مداوم ریسکها
-
ایجاد چرخه بازبینی دورهای
-
بررسی اثربخشی اقدامات کاهشدهنده
-
ابزارهای مورد استفاده برای پایش ریسک
-
بهروزرسانی مستندات و گزارشدهی به مدیریت
فصل ۵.۱۱: مستندسازی و گزارشنویسی مدیریت ریسک
-
ساختار استاندارد گزارش تحلیل ریسک
-
نحوه ثبت رویدادها، تغییرات و وضعیت کنونی
-
ساخت داشبوردهای نظارتی
-
ارائه گزارش به مدیریت، تیم فنی و ذینفعان
نقد و بررسی وجود ندارد.