刘洋：大话管理体系 ---四步玩转ISO27001标准课程说明书

【课程简介】

本课程根据客户的需求进行定制化设计，以ISO27001:2013版标准为框架，结合企业贯标最佳实践，选择客户关注的重点领域进行讲授，具体模块包括①信息安全；②标准发展；③条款解读；④审核实施；共四个核心部分进行深入讲解，确保参加学习的人员能够深入理解、获得认知、改变行为，进而影响结果，确保获得学习效果，提升公司贯标成功率。

【课目标程】

• 知道ISO27001基本概念，及框架结构
• 讲出ISO27001条款与结构及，并有正确的信息安全价值观
• 开展ISO27001内审，对公司信息安全管理体系运行情况进行诊断
• 通过ISO27001最佳实践与企业经营相结合，减少与和预防公司信息安全事件，为组织获取利润。

参与学员：企业内审员，信息安全相关负责人员，对质信息安全管理体系感兴趣的人员

【课程大纲】

课程导入

信息安全：树立正确信息安全观

讨论：什么是信息安全

• 信息安全与我工作有没有关系
• 信息安全与我有没有关系
• 信息安全发展四阶段
• 通信安全
• 技术机安全
• 网络安全
• 信息安全
• 信息安全现状与趋势
• 信息安全四大特点
• 广泛
• 动态
• 相对
• 人
• 信息安全两种视野问题
• 企业
• 个人
• 信息安全保障能力发展阶段
• 国家网络安全宣传周演变 
• 信息安全法规
• 信息安全管理逻辑
• 内部与外部 
• 技术与管理
• 信息安全管理四种工具
• 加密技术
• 人员培训
• 防火墙
• 防病毒软件

课程小结诊断：

标准演变：了解底层逻辑

• ISO三大组织
• 信息安全标准前身
• ISO27001标准演变
• ISO27001相关标准
• 信息安全标准构成
• 信息安全管理体系框架
• 信息安全管理体系工作开展 
• 标准核心
• PDCA
• 过程方法
• 风险与机遇思维
• 工具：PDCA/过程方法/SOWT
• 课程诊断小结：XXXXX

条款解读：通俗解读灵活应用

学习标准维度

讨论：开星巴克注意事项

体系价值

第四章：理解组织及其背景环境

• 管理大师介绍
• 波特五力模型
• .4PEST模型
• 案例：XXXXX

行动计划：识别企业有哪些内外部环境 

讨论：婆媳关系

• 理解相关方的需求和期望组织应确定

讨论：企业涉及哪些相关方

• 相关方
• 相关方定义
• 相关方管理流程

行动计划：以部门为中心进行相关方识别 

• 体系的范围确定
• 认证范围范围确定框架

第五章：领导作用与承诺

• 领导那些事
• 方针
• 方针作用
• 方针与目标关系
• 编写方针注意事项
• 常见的方针误区案例
• 组织的作用职责和权限
• 组织及过程与系统关系 

行动计划：描述你部门涉及信息安全职责

第六章：风险和机遇对应对

• 风险三要素

案例：车祸

• 风险管理步骤
• 案例：风险机遇评估表
• 信息安全风险处置 
• 信息安全目标和策划 
• 方针与目标之间关系
• 公司目标如何分解

1. 分蛋糕与做蛋糕
2. 目标考虑原则
3. 目标利他性
4. 阶段性目标与常规目标

工具： SMART原则

• 目标管理流程

案例：信息安全目标分解

行动计划：分解本部门信息安全目标

第七章：支持

• 信息安全管理涉及资源 
• 人力资源管理六模块
• 信息安全意识对企业对作用
• 沟通
• 沟通重要性
• 企业三大成本
• 信息传递步骤
• 沟通四大特点
• 沟通三大技巧
• 游戏：XXXXX
• 成文信息
• 文件如何策划
• 文件管理要素

第八章：运行

• 运行策划和控制
• 信息安全风险评估

讨论：下列哪些属于信息安全中的信息资产 

• 信息资产
• 分类 
• 信息资产识别模型
• 信息安全铁三角 
• 风险评估流程 
• 案例：风险评估计划
• 风险评估四种方法 
• 检查列表
• 文件评估
• 现场观察
• 技术评估
• 行动计划：描述电脑信息安全三属性
• 行动计划：识别本部门信息资产并进行风险评估
• 案例：风险评估
• 风险评估文件
• 信息安全风险处置 
• 信息安全风险四种处置方式
• 降低风险
• 规避风险
• 回避风险
• 接受风险
• 案例：风险处置计划

第九章：监视 测量分析和评价

• 信息安全管理绩效的监视与测量 
• 定性
• 定量
• 依据
• 内容
• 法律法规合规评价
• 收集来源
• 法律法规收集框架
• 法律法规关注点
• 法律法规评价注意事项

案例：法律法规清单

案例：法律法规合规性评价

• 内部审核
• 管理评审

案例：管理评审计划/管理评审报告

第十章：改进

• 不符合与纠正措施

案例：擦玻璃的故事

• 纠正措施流程

行动计划：感冒

案例：纠正措施格式

讨论：背单词

案例：如何增加收入

附录A5-18解读

审核实施：有效体系诊断

  讨论：什么是审核

• 审核两种维度分类
• 发起者
• 审核对象

案例：从红烧肉看审核

• 审核关注点
• 审核与检查的区别
• 审核员具备三种能力
• 通用知识和技能
• 个人行为能力
• 信息安全有关能力
• 审核活动及实施顺序
• 启动项目
• 审核策划
• 准备审核
• 现场审核
• 审核报告
• 审核后续
• 审核流程时间占比
• 术语
• 术语定义
• 术语逻辑关系

案例：内审计划

• 首末次会议
• 流程
• 注意事项
• 问题点

行动计划：模拟首次会议

• 内审检查表
• 检查表作用
• 检查表要素
• 审核顺序
• 自上而下
• 自下而上

案例：按部门审核路线

• 抽样
• 基本原理
• 抽样原则
• 抽样风险

内审时间安排

• 不符合分类
• 轻微不符合
• 一般不符合
• 严重不符合
• 不符合报告编写
• 问题描述
• 四项原则
• 四项注意事项
• 如何判标
• 讨论：选D还是C
• 判标6项原则
• 判标注意事项
• 内审不符合整改
• 不符合验证原则

案例：

工具：鱼骨图/5WHY

• 内审报告编写

行动计划：模拟末次会议召开

• 审核四项后续活动
• 课程诊断小结：