Vrednotenje uspešnosti ISMS

Cilj izobraževalnega programa je zagotoviti udeležencem smernice za sistematično spremljanje, merjenje, analizo in ocenjevanje učinkovitosti procesov in kontrol informacijske varnosti. Udeleženci bodo osvojili veščine, kako analizirati rezultate teh aktivnosti in oceniti njihovo učinkovitost, kar je ključno za kontinuirano izboljševanje ISMS (Sistem za upravljanje informacijske varnosti).

Vsebina

Prvi dan: 

1. Uvod in obrazložitev – pomen merjenja ISMS: 

Uvod v osnovne koncepte ISMS in poudarjanje pomembnosti merjenja učinkovitosti. Razlaga osnovnih zahtev standarda ISO/IEC 27001:2022, poglavje 9.1, kar omogoča udeležencem razumevanje temeljnih principov in zahtev tega standarda. Na primer, standard zahteva od organizacij, da določijo, kaj je treba nadzirati in meriti, vključno z varnostnimi procesi in kontrolami, da bi zagotovili veljavnost rezultatov (ISO/IEC 27001:2022, 9.1).

2. Lastnosti – kaj se nadzoruje, meri, analizira in ocenjuje: 

Identifikacija ključnih procesov in kontrol, ki jih je treba nadzorovati, kot so implementacija procesov ISMS, upravljanje incidentov, upravljanje ranljivosti in varnostna usposabljanja (ISO/IEC 27004:2016, 6.2). Razprava o metodah in orodjih za merjenje ter osnovnih značilnostih procesov nadzora in merjenja. Na primer, za merjenje učinkovitosti usposabljanja se lahko uporabi odstotek zaposlenih, ki so opravili varnostno usposabljanje (ISO/IEC 27004:2016, B.11). Zagotavljanje praktičnih primerov in orodij, ki pomagajo razumeti, kako izbrati in uporabiti ustrezne metode nadzora in merjenja v lastnih organizacijah. Na primer, uporaba statističnih analiz za evalvacijo rezultatov merjenja lahko pomaga pri določanju učinkovitosti varnostnih kontrol (ISO/IEC 27004:2016, 8.6).

Drugi dan: 

3. Vrste ukrepov – učinkovitost in delovanje: 

Razlaga razlik med ukrepi zmogljivosti in ukrepi učinkovitosti. Prikaz praktičnih primerov  zmogljivosti, kot je stopnja implementacije kontrol (ISO/IEC 27004:2016, 7.2), ter  učinkovitosti, kot je vpliv na varnostne cilje (ISO/IEC 27004:2016, 7.3). Ta del programa pomaga udeležencem razumeti, kako izbrati in uporabiti različne vrste ukrepov v svoji praksi. Na primer, merjenje zmogljivosti lahko vključuje spremljanje števila opravljenih presoj v primerjavi s planiranimi presojami (ISO/IEC 27004:2016, B.6), medtem ko merjenje učinkovitosti lahko vključuje analizo stroškov, povezanih z varnostnimi incidenti (ISO/IEC 27004:2016, B.8). 

4. Procesi – razvoj in uporaba organizacijskega modela ocenjevanja:

Razlaga, kako razviti model za oceno učinkovitosti ISMS ter kako uporabljati podatke iz nadzora in merjenja za analizo in ocenjevanje. Praktični del izobraževanja bo temeljil na modelu merjenja, določenem v Aneksu A, primeri pa bodo povzeti iz Aneksa B. Učenje, kako ustvariti in vzdrževati ukrepe ter analizirati rezultate skozi praktične vaje, ki vključujejo analizo študij primerov in uporabo obrazcev za določanje organizacijskih metrik. Primeri meritev, kot so pregled pravic dostopa uporabnikov, ocena sistemov fizičnih kontrol vstopa, zaščita pred zlonamerno kodo, pregled dnevniških zapisov in »anti-malware«, bodo podrobno obdelani. Te vaje omogočajo udeležencem uporabo naučenih konceptov v simuliranih situacijah, s čimer se spodbuja praktično razumevanje in sposobnost uporabe pridobljenih znanj v dejanskih poslovnih okoljih.

Metodologija in pristop

Program uporablja kombinacijo predavanj in interaktivnih delavnic, skupinskih diskusij in izmenjave izkušenj ter praktičnih vaj in analize študij primerov. Udeleženci bodo uporabljali obrazce in orodja za merjenje in ocenjevanje ISMS, kar jim bo omogočilo, da pridobljena znanja in veščine takoj uporabijo v svoji praksi.

Učni izidi

Udeleženci bodo po programu pridobili ključne veščine in znanja:  

• Razumevanje ključnih konceptov in pomembnosti merjenja znotraj ISMS.
• Sposobnost uporabe različnih metod in orodij za merjenje učinkovitosti in zmogljivosti ISMS.
• Veščine za analizo in ocenjevanje rezultatov merjenja.
• Sposobnost identifikacije in implementacije ukrepov za kontinuirano izboljševanje ISMS.

Seznam literature 

Za ta program priporočena literatura vključuje:

• standard ISO/IEC 27001:2022,

• standard ISO/IEC 27004:2016. 

Udeležbo priporočamo:

Program je namenjen vodjem in članom tima ISMS, osebam, odgovornim za upravljanje informacijske varnosti znotraj organizacije, ter notranjim in zunanjim presojevalcem ISMS.

Po zaključku izobraževalnega programa boste prejeli potrdilo o udeležbi.

Lokacija izvedbe: SIQ Ljubljana, Mašera-Spasićeva ulica 10, 1000 Ljubljana.

Dodatne informacije: Bojan Varga, telefon: (01) 4778 108, e-pošta: bojan.varga@siq.si