Szkolenie otwarte 2016 r.

Transkrypt

1 Warsztaty Administratorów Bezpieczeństwa Informacji Szkolenie otwarte 2016 r.

2 PROGRAM SZKOLENIA: I DZIEŃ 9:00-9:15 Powitanie uczestników, ustalenie szczególnie istotnych elementów warsztatów, omówienie metodyki przeprowadzenia zajęć oraz pracy podczas ćwiczeń. 9:15-11:00 BLOK I - Wprowadzenie 1. Podstawy prawne Ustawa o ochronie danych osobowych oraz akty wykonawcze Ustawa o świadczeniu usług drogą elektroniczną Ustawa Prawo telekomunikacyjne Krajowe Ramy Interoperacyjności 2. Normy, standardy i dobre praktyki Certyfikacja w informatyce ISO 27001: szeroki model SBI ISO 27005:2014 Publikacje GIODO i PKN Inne (np. ITIL) 3. Administrator Bezpieczeństwa Informacji Kto i kiedy może zostać ABI? Rola, zakres obowiązków i usytuowanie w strukturze organizacji Powołanie ABI i prawidłowe zgłoszenie do rejestru GIODO 4. Podstawowe definicje i pojęcia z zakresu ochrony danych osobowych Informacja i dane PBDO, IZSI, SBI, SZBI ADO, ABI, ASI, LASI Dane osobowe Przetwarzanie danych osobowych Zbiór danych osobowych Dane osobowe wrażliwe i zwykłe 5. Organizacja zarządzenia bezpieczeństwem informacji Role i odpowiedzialność za bezpieczeństwo informacji: - Zarząd, dyrekcja, kierownicy, pracownicy - Podmioty zewnętrzne 6. System Zarządzania Bezpieczeństwem Informacji w Praktyce Idea systemu zarządzania bezpieczeństwem (PDCA) Ustanawianie i wdrażanie SZBI wskazówki praktyczne Budowanie słownika pojęć i definicji na potrzeby dokumentacji PBI i IZSI Identyfikacja ADO Precyzyjne określenie zakresu obowiązków ADO, ABI, ASI oraz osób Upoważnionych Powołanie ABI, powołanie zastępcy/ów ABI, powołanie ASI i LASI Wypełnienie zgłoszenia ABI do rejestru GIODO Przyporządkowanie poszczególnych działań, takich jak np. zarządzanie ryzykiem i wykrywanie incydentów do właściwych etapów modelu PDCA Słownik pojęć Polityki Bezpieczeństwa Zakres obowiązków ADO, ABI, ASI (opcjonalnie LASI) oraz Osób Upoważnionych Powołanie ABI Zgłoszenie powołania ABI do rejestracji GIODO Wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe Deklaracja kierownictwa Zakres stosowania PBI w organizacji

3 11:00-11:15 Przerwa kawowa 11:15-12:15 BLOK II - Dokumentacja przetwarzania 1. Zasady wytwarzania i dystrybucji dokumentacji ODO w organizacji Zatwierdzenie dokumentacji Osoby odpowiedzialne Zakres obowiązywania Struktura i forma dokumentacji Dystrybucja procedur 2. Polityka bezpieczeństwa przetwarzania danych osobowych Cel i wymagana przepisami prawa zawartość dokumentu 3. Instrukcja zarządzania systemem informatycznym Zakres opracowania Wymagane procedury 4. Bezpieczeństwo danych osobowych w Systemie Informatycznym Definicja Systemu Informatycznego Podział wymaganych zabezpieczeń na poziomy - Podstawowy - Podwyższony - Wysoki Podstawowe wymagania dot. funkcjonalności SI - Zapewnienie bezpieczeństwa - Kontrola dostępu do danych - System uwierzytelniania - Obowiązek informacyjny ( 7 ust. 1 pkt 4 rozporządzenia). Dyskusja otwarta na bazie doświadczeń uczestników warsztatów, określenie metod dystrybucji najlepszych dla organizacji, które reprezentują Lista kontrolna dokumentacji wymaganej przepisami prawa Dokument bazowy (szkieletowy) Polityka Bezpieczeństwa Danych Osobowych Dokument bazowy (szkieletowy) Instrukcja Zarządzania Systemem Informatycznym 12:15-13:15 BLOK III - Identyfikowanie zbiorów danych osobowych oraz systemów informatycznych służących do ich przetwarzania 1. Inwentaryzacja zbiorów danych osobowych Identyfikacja zbiorów danych osobowych w organizacji Weryfikacja zgodności przetwarzania danych osobowych: - z zasadami o których mowa w art i art ustawy; - z zasadami zabezpieczenia danych osobowych; - z zasadami przekazywania danych osobowych; - z obowiązkiem zgłoszenia zbioru danych osobowych do rejestracji i jego aktualizacji 2. Inwentaryzacja systemów informatycznych Modele współpracy systemów informatycznych ze zbiorami danych Struktury zbiorów danych osobowych Przepływ danych pomiędzy poszczególnymi systemami Identyfikacja zbiorów danych osobowych w oparciu o studium przypadku Omówienie podstaw prawnych do przetwarzania danych osobowych w rozpoznanych zbiorach Zapoznanie się z katalogami potencjalnych zagrożeń uzupełnienie przykładów w oparciu o dyskusję Zapoznanie się z katalogiem przykładowych podatność Wykaz zbiorów danych osobowych Opis struktury zbiorów danych Opis sposobu przepływu danych pomiędzy poszczególnymi systemami

4 13:15-13:30 Przerwa kawowa 13:30-15:45 BLOK IV - Analiza ryzyka 1. Przegląd procesu zarządzania ryzykiem w bezpieczeństwie informacji 2. Szacowanie ryzyka Identyfikowanie - Aktywów (wprowadzenie zidentyfikowanych aktywów z BLOKU III) - Zagrożeń - Podatności - Zabezpieczeń Analiza Ocena 3. Postępowanie z ryzykiem 4. Analiza ryzyka w praktyce Metoda jakościowa Przykłady zidentyfikowanych aktywów sesja burzy mózgów Przykłady podatności Przykłady typowych zagrożeń Analiza przypadku oszacowania ryzyka jakościowego dla potrzeb bezpieczeństwa systemu teleinformatycznego w którym przetwarzane są dane osobowe wrażliwe Macierz ryzyka Szablon zapisu wyników sesji burzy mózgów w celu identyfikacji ryzyka Kwestionariusz identyfikacji ryzyka Szablon punktowej oceny ryzyka Szablon rejestru ryzyka Lista mechanizmów kontrolnych ryzyka 15:45-16:00 Zakończenie I dnia warsztatów - dyskusja.

5 II DZIEŃ 9:00-9:15 Powitanie uczestników, krótkie podsumowanie dnia poprzedniego. 9:15-11:00 BLOK I - Wdrożenie i eksploatacja Polityka Bezpieczeństwa Danych Osobowych 1. Bezpieczeństwo osobowe W trakcie rekrutacji, podczas i po ustaniu zatrudnienia Szkolenia osób upoważnionych Upoważnienie do przetwarzania danych osobowych Oświadczenie o zachowaniu tajemnicy i właściwej realizacji przepisów Umowy z podmiotami zewnętrznymi Udostępnianie danych 2. Bezpieczeństwo fizyczne i środowiskowe Środki ochrony budowlane i mechaniczne Analiza treści upoważnienia oraz oświadczenia osób upoważnionych Przygotowanie upoważnień adekwatnych do zakresu obowiązków pracownika analiza przypadku Przygotowanie ewidencji osób upoważnionych do przetwarzania danych osobowych Analiza przypadku udostępnienia danych osobowych na wniosek Analiza przypadku powierzenia danych osobowych Upoważnienia i oświadczenia osób upoważnionych Ewidencja osób upoważnionych do przetwarzania danych osobowych Ewidencja udostępniania danych osobowych Plan szkolenia osób upoważnionych Wzory umowy powierzenia oraz klauz zawartych w umowach o zachowaniu poufności Ewidencja podmiotów którym powierzono dane osobowe Środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych 11:00-11:15 Przerwa kawowa 11:15-13:15 BLOK II - Wdrożenie i eksploatacja Instrukcja Zarządzania Systemem Informatycznym 1. Wstęp przypomnienie definicji i podstawowych pojęć 2. Tworzenie procedur Czym są procedury i jaki jest cel ich tworzenia. Praca z procedurami czyli co, kto i kiedy. Uproszczony proces pisania procedury 3. Bezpieczeństwo eksploatacji systemów informatycznych Bezpieczeństwo użytkowników i stacji roboczych Profilaktyka antywirusowa Kopie zapasowe Kryptografia 4. Zarządzanie bezpieczeństwem sieci Usługi sieciowe zabezpieczenie i dostęp Szyfrowanie ruchu sieciowego Poczta elektroniczna 5. Wdrażanie i serwis Wirtualne środowiska testowe Serwisowanie 6. Współpraca z firmami zewnętrznymi Udostępnianie danych osobowych Nadzorowanie prac

6 Prawidłowe i nieprawidłowe procedury wykonywania kopii zapasowych analiza przypadków Przygotowanie procedury rozpoczynania, zawieszenia i zakończenia pracy w systemie informatycznym praca w zespołach Procedura nadawania uprawnień do przetwarzania danych i rejestrowanie tych uprawnień w systemie informatycznym Imienna ewidencja uprawnień Procedura wykonywania kopii zapasowych zbiorów danych osobowych Rejestr nośników zawierających dane osobowe Stosowane metody i środki uwierzytelniania Metryka haseł administratora 13:15-13:30 Przerwa kawowa 13:30-15:45 BLOK III - Monitorowanie, utrzymanie i doskonalenie systemu bezpieczeństwa 1. Przeglądy okresowe Zakres i odpowiedzialność 2. Incydenty bezpieczeństwa Zgłaszanie incydentów 3. Kontrole zewnętrzne Kontrole inspektorów GIODO 4. Zarządzanie wiedzą Szkolenia wewnętrzne Dystrybucja wiedzy w organizacji Zgodność z przepisami prawa Praca w grupie, opracowanie i omówienie przykładowych zdarzeń stanowiących incydenty bezpieczeństwa Procedura wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych Protokół zniszczenia nośników komputerowych Dziennik Administratora Systemu Informatycznego Instrukcja Alarmowa Raport z incydentu 15:45-16:00 Zakończenie II dnia warsztatów - dyskusja.

7 III DZIEŃ 9:00-9:15 Powitanie uczestników, krótkie podsumowanie dnia poprzedniego. 9:15-11:00 BLOK I - Wewnętrzny audyt zgodności 1. Obowiązek zapewnienia okresowego audytu Podstawy prawna Wybór osób lub podmiotów prowadzących audyt 2. Metody audytowania 3. Cel, zakres i kryteria audytu 4. Proces audytu Przygotowanie działań Przeprowadzenia działań Przygotowania raportu Zakończenie Działania po audytowe 5. Sprawozdania i raporty Plan i zakres sprawdzenia Sprawozdanie ze sprawdzenia (dla GIODO Przygotowanie planu audytu Przygotowania planu, programu i sprawozdania ze sprawdzenia Przygotowanie dokumentów roboczych Pobieranie dowodów z audytu - w oparciu o dostarczone scenariusze audytowe oraz wywiad z prowadzącym szkolenie Plan audytu Dowody z obserwacji Raport z audytu Sprawozdanie ze sprawdzenia Plan sprawdzenia Listy kontrolne Listy przykładowych pytań 13:15-13:30 Przerwa kawowa 13:30-15:45 BLOK II - ABI Podsumowanie 1. Analiza opracowanej dokumentacji Tryb i sposób nadzoru nad dokumentacją przetwarzania danych 2. Codzienne zadania Wewnętrzny Rejestr ADO Zgłoszenie zbiorów Współpraca z ASI Obowiązek informacyjny Wypełnienie wniosku zgłoszenia zbioru danych osobowych w systemie e-giodo Praca z wewnętrznym rejestrem zbiorów analiza przypadków. Wewnętrzny rejestr zbiorów ADO 15:45-16:00 Zakończenie warsztatów. Wydanie certyfikatów.

8 Szkolenia otwarte i zamknięte Kluczem do stworzenia skutecznego systemu ochrony danych osobowych jest stałe podnoszenie wiedzy i świadomości osób przetwarzających dane osobowe w organizacjach. Szeroki zakres aktualnie obowiązujących regulacji prawnych sprawia, że koniecznym staje się dostarczanie działań edukacyjnych, które w skuteczny sposób zapewnią wzrost bezpieczeństwa danych osobowych w firmach i instytucjach. Identyfikując trudności i zagrożenia w tym obszarze, firma bazując na wieloletnim doświadczeniu stworzyła ofertę efektywnych szkoleń z zakresu ochrony danych osobowych. Proponujemy także: Ochrona danych osobowych w praktyce (ODO w praktyce) Kurs Administratorów Bezpieczeństwa Informacji (Kurs ABI) Ochrona danych osobowych w systemach informatycznych (ODO w IT) Warsztaty: Administrator Bezpieczeństwa Informacji (Warsztaty ABI) ODO w PRAKTYCE KURS ABI ODO w IT WARSZTATY ABI POZIOM Podstawowy Podstawowy Średni Zaawansowany CZAS TRWANIA 1 dzień 2 dni 1 dzień 3 dni CENA 399 zł 799 zł 499 zł * 1499 zł ** * Oferujemy 10% rabat dla uczestników szkolenia ODO w praktyce ** Oferujemy 20% rabat dla uczestników Kursu ABI