Audytor wiodący ISO/IEC 27001

Dzień 1

Wprowadzenie do systemów zarządzania bezpieczeństwem informacji (ISMS) i ISO / IEC 27001

Dzień 2

Zasady audytu, przygotowanie i rozpoczęcie audytu

Dzień 3

Działania kontrolne na miejscu

Dzień 4

Zamknięcie audytu

Wprowadzenie do systemów zarządzania bezpieczeństwem informacji (ISMS) i ISO / IEC 27001

Kontekst organizacji i potrzeba ISMS

• Bezpieczeństwo informacji jako zasób strategiczny organizacji.
• Zagrożenia, ryzyka i skutki incydentów dla biznesu, reputacji i zgodności prawnej.
• Rola ISMS w zarządzaniu ryzykiem informacyjnym i wsparciu celów biznesowych.
• Budowa i audyt systemu zarządzania bezpieczeństwem informacji (ISMS/SZBI) zgodnego z ISO/IEC 27001
  • Jak ISMS wspiera cyfryzację procesów biznesowych i usług publicznych
  • Rola ISO 27001 w ochronie danych, infrastruktury sieciowej, systemów ICT i urządzeń inteligentnych.
• Zarządzanie ryzykiem informacyjnym w kontekście transformacji cyfrowej
  • Identyfikacja zagrożeń m in. dla cyfrowych łańcuchów wartości, systemów produkcyjnych i usług zdrowotnych.

Przegląd normy ISO/IEC 27001

• Struktura ISO/IEC 27001
• Kluczowe pojęcia: aktywa, ryzyko, właściciele aktywów, kontrola, ciągłość działania.
• Zależności między ISO/IEC 27001 a ISO/IEC 27002 (katalog środków bezpieczeństwa)

Wymagania ISO/IEC 27001 – przegląd kluczowych obszarów

• Kontekst organizacji (zakres, interesariusze, wymagania zewnętrzne i wewnętrzne).
• Przywództwo i polityka bezpieczeństwa informacji.
• Planowanie (cele, ryzyka i szanse, plan postępowania z ryzykiem).
• Wsparcie (zasoby, kompetencje, świadomość, komunikacja, dokumentacja).

Działanie, ocena i doskonalenie ISMS

• Realizacja planu postępowania z ryzykiem, wdrażanie środków z załącznika A.
• Monitorowanie, pomiary, audity wewnętrzne, przegląd zarządzania.
• Działania korygujące i ciągłe doskonalenie (PDCA w ujęciu ISO 27001).

Zasady audytu, przygotowanie i rozpoczęcie audytu

Podstawy audytu systemów zarządzania

• Definicje: audyt wewnętrzny, zewnętrzny, pierwszej/ drugiej/ trzeciej strony.
• Rola audytora wiodącego i zespołu audytowego.
• Zasady audytu: uczciwość, bezstronność, poufność, podejście oparte na dowodach i ryzyku.

Ramy prawne i normatywne audytu ISMS

• ISO 19011 – wytyczne dotyczące auditowania systemów zarządzania.
• ISO/IEC 17021‑1 – wymagania dla jednostek certyfikujących (audity certyfikacyjne).

Program audytu a plan audytu

• Różnica między programem audytu a planem pojedynczego audytu.
• Elementy programu audytu: cele, zakres, częstotliwość, metody, zasoby, ryzyka.
• Ustalanie kryteriów audytu (norma, dokumentacja organizacji, wymagania prawne).

Inicjowanie i przygotowanie audytu ISMS

• Kontakt z klientem/audytowanym, ustalenie zakresu i granic ISMS.
• Przegląd dokumentacji wstępnej (polityka, procedura zarządzania ryzykiem, SoA, raporty z audytów wewnętrznych, przegląd zarządzania).
• Ocena gotowości organizacji do audytu i identyfikacja kluczowych obszarów ryzyka audytu.

Planowanie audytu na miejscu / zdalnego

• Opracowanie planu audytu: cele, zakres, kryteria, harmonogram, przydział ról.
• Przygotowanie dokumentów audytowych: checklisty, formularze, szablony raportów.
• Logistyka audytu: spotkania otwierające/zamykające, dostęp do systemów i osób.

ISO 27001 w sektorach inteligentnych specjalizacji: ICT, energetyka, medycyna, przemysły wschodzące, zielona gospodarka

• Audyt wewnętrzny i zewnętrzny ISMS w organizacjach w tym w organizacjach realizujących projekty innowacyjne
  • Jak audyt ISO 27001 wspiera wiarygodność projektów finansowanych z funduszy unijnych i krajowych.
  • Rola certyfikacji w budowaniu zaufania partnerów biznesowych i inwestorów w łańcuchach wartości.
  • Rola audytorów ISO 27001 w instytucjach otoczenia biznesu (IOB), klastrach i sieciach współpracy

Działania kontrolne na miejscu

• Bezpieczeństwo informacji w systemach energetycznych, OZE i inteligentnych sieciach (smart grids)

Realizacja planu audytu

• Zarządzanie czasem i zespołem audytowym w trakcie audytu.
• Komunikacja z audytowanym w trakcie działań audytowych.
• Elastyczne reagowanie na zmiany w planie (np. brak dostępu, nowe ryzyka).

Techniki zbierania dowodów audytowych

• Przegląd dokumentów i zapisów (procedury, rejestry incydentów, logi, raporty).
• Wywiady z personelem (różne szczeble: kierownictwo, administratorzy, użytkownicy).
• Obserwacja działań i środowisk (serwerownie, stanowiska pracy, obszary fizyczne).

Ocena zgodności z ISO/IEC 27001

• Weryfikacja wdrożenia i skuteczności środków z załącznika A.
• Ocena procesu zarządzania ryzykiem informacyjnym (metodologia, właściciele ryzyka, akceptacja ryzyka).
• Identyfikacja niezgodności: major, minor, obserwacje/obszary do poprawy.

Dokumentowanie ustaleń audytowych

• Zasady formułowania stwierdzeń audytowych (fakt, kryterium, dowód, konsekwencja).
• Przygotowanie kart niezgodności i obserwacji.
• Bieżąca komunikacja z audytowanym w sprawie wstępnych ustaleń.
• Praca zespołu audytowego i zarządzanie konfliktem
• Podział zadań w zespole, konsolidacja ustaleń.
• Rozwiązywanie sytuacji konfliktowych i trudnych rozmów z audytowanym.
• Etyka audytora i ochrona informacji uzyskanych w trakcie audytu.

Certyfikacja ISO/IEC 27001 Audytor wiodący jako element rozwoju kompetencji cyfrowych.

Zamknięcie audytu

Konsolidacja ustaleń audytowych

• Przegląd i weryfikacja wszystkich zebranych dowodów i stwierdzeń.
• Klasyfikacja niezgodności i ustalenie ich wpływu na skuteczność ISMS.
• Przygotowanie wniosków audytowych (pozytywne praktyki, obszary ryzyka, rekomendacje).

Spotkanie zamykające audyt

• Struktura i cele spotkania zamykającego.
• Prezentacja ustaleń: mocne strony, niezgodności, obserwacje.
• Zasady komunikacji wyników w sposób konstruktywny i zrozumiały dla kierownictwa.

Raport z audytu ISMS

• Wymagania dotyczące zawartości raportu (zakres, kryteria, metodologia, ustalenia, wnioski).
• Struktura raportu zgodna z ISO 19011 i wymaganiami jednostek certyfikujących.
• Dobre praktyki w formułowaniu rekomendacji i działań następczych.

Działania następcze i audyty obserwacyjne

• Proces weryfikacji działań korygujących (terminy, dowody, ponowna ocena).
• Rola audytów obserwacyjnych i nadzorczych w cyklu certyfikacji.
• Wkład audytu w ciągłe doskonalenie ISMS (input do przeglądu zarządzania).

Przygotowanie do egzaminu ISO27001 Lead Auditor

• Omówienie struktury egzaminu
• Przegląd typowych obszarów pytań i pułapek egzaminacyjnych.
• Rozwiązywanie przykładowych pytań i omówienie strategii egzaminacyjnej.

W cenie szkolenia uczestnik otrzymuje

• • Dostęp do platformy do komunikacji na żywo przez czas trwania szkolenia -4-dni, zajęcia realizowane są w formie wykładu, ćwiczeń, rozmowy/dyskusji na żywo, uczestnicy używają też chata, wypełniają ankiety, a trener ma możliwość współdzielenie ekranu.
  • Prezentacja trenerska
  • Oficjalny podręcznik Audytor wiodący ISO27001
  • Egzamin online ostatniego dnia szkolenia
  • Zaświadczenie ukończenia szkolenia.

Organizacja szkolenia

• • Rodzaj szkolenia: szkolenie on-line grupa otwarta
  • Forma realizacji: zdalnie prowadzone na żywo przez akredytowanego trenera
  • Język szkolenia: polski
  • Język materiałów: polski
  • Wielkość grupy: 4 - 15 uczestników
  • Szkolenie jest realizowane w godz. 9:00-16:00

Warunki organizacyjne:

• • Szkolenie realizowane jest w formie zdalnej (on-line) na żywo. Uczestnik powinien dysponować komputerem z dostępem do Internetu wyposażonym w kamerę i mikrofon,
  • Szkolenie jest realizowane w formule otwartej, uczestnik uczestniczy w szkoleniu wraz z całą grupą szkoleniową, zarówno w części teoretycznej, jak i praktycznej, zgodnie z programem.

Wymagana frekwencja:

• • min. 80% obecności. Podstawą weryfikacji są listy obecności tworzona na podstawie rzeczywistego czasu zalogowania w sesji szkoleniowej. Brak wymaganej frekwencji skutkuje nieuznaniem usługi za zrealizowaną i brakiem możliwości rozliczenia dofinansowania w systemie BUR.

Szkolenie prowadzone jest w formie zdalnej na żywo za pośrednictwem aplikacji MS TEAMS. Aby dołączyć do szkolenia, konieczne jest posiadanie urządzenia takiego jak komputer stacjonarny/ laptop wyposażonego w stabilne łącze internetowe oraz mikrofon i kamerę.

Minimalne wymagania sprzętowo-systemowe:

• Komputer PC z systemem Windows 7 lub nowszym, Max OX 10.13 lub nowszym. Istnieje możliwość korzystania z innych systemów, w tym Linux.
• Przeglądarka internetowa (zalecamy korzystanie z Chrome lub Firefox) lub zainstalowana aplikacja MS TEAMS.
• Karta LAN: min. 100 MBPS lub stabilne połączenie WiFi (zalecamy połączenie do sieci „kablem”). Nie dopuszcza się udziału w szkoleniu za pośrednictwem łączy GSM/LTE. Zalecane pasmo, to przynajmniej 2 MB/s (download i upload). W przypadku spadku przepustowości łącza poniżej 1,2 MB/s należy liczyć się z istotnym obniżeniem jakości połączenia.
• Mikrofon i głośniki (zalecamy korzystanie z zestawu typu headset).
• Kamera internetowa.

Przed szkoleniem każdy uczestnik otrzyma na podany adres email link do platformy, gdzie odbędzie się szkolenie. Uczestnictwo w szkoleniu umożliwia aktywne uczestnictwo w zajęciach, w tym komunikację z trenerem oraz pozostałymi uczestnikami. Umożliwia to wymianę doświadczeń oraz aktywny kontakt zarówno z grupą, jak i prowadzącym. Dodatkowo, uczestnicy mają dostęp do funkcji czatu online, co jeszcze bardziej ułatwia interakcję.