Захист інформаційних систем від несанкціонованого доступу

Модуль 1. Забезпечення безпеки інформаційних систем 

• Основні принципи безпеки інформаційних технологій
• Інтереси й безпека суб’єктів інформаційних відносин
• Можливі методи завдання шкоди суб’єктам інформаційних рішень
• Приватність, зрозумілість, цілісність
• Поняття про інформаційну безпеку (ІБ) та основні вимоги до неї. Система управління інформаційною безпекою (СУІБ). Концептуальна модель ІБ. Засіб забезпечення ІБ. Типи оброблюваної інформації. Об’єктно-орієнтований підхід до ІБ. Захист інформаційних систем, його цілі й задачі
• Загрози ІБ та їхня класифікація. Головні джерела та способи реалізації загроз. Моделі порушників. Різні підходи до аналізу, управління ризиками, категоризації джерел та визначення вимог до рівня забезпечення ІБ. Стандарти та критерії захищеності систем в Україні та світі
• Типологія та способи забезпечення ІБ. Методи будування систем захисту. Принципи запобігання загроз
• Головні механізми захисту. Забезпечення ІБ
• Поширені помилки при будуванні захищених ІБ 

Модуль 2. Основи забезпечення інформаційної безпеки

• Регулювання відносин суб’єктів в інформаційній сфері та діяльності організацій із захисту інформації 
• Захист інформації обмеженого доступу, права та обов’язки суб’єктів
• Видавання ліцензій на діяльність. Сертифікація засобів захисту та атестація інформаційних систем
• Вимоги керівних документів НБУ, Держспецзв'язку та ДСТСЗІ СБУ
• Законність застосування засобів криптографічного захисту інформації 

Модуль 3. Міри та засоби захисту 

• Процеси оцінювання й обробки ризиків
• Елементи процесу. Налагодження стану. Оцінювання й аналіз ризику інформаційної безпеки та її подальша обробка. Прийняття ризику інформаційної безпеки. Ризик ІБ системи зв’язку. Ризик ІБ моніторингу та перегляду. Засоби оцінювання ризиків ІБ
• Стратегія безпеки
• Підготовка інформаційної безпеки. Внутрішній устрій. Безпека за наявності доступу до інформаційних систем чужих організацій
• Керування активами. Класифікація інформації. Відповідальність за активи
• Питання безпеки кадрових ресурсів у таких етапах:
  
  • Перед працевлаштуванням
  • Під час роботи за трудовою угодою
  • Після завершення терміну дії трудової угоди/її змінення
• Захист від впливів довкілля. Безпека обладнання. Охоронювані зони
• Регулювання засобів зв’язку та операцій. Поняття про експлуатацію й обов’язки. Регулювання постачання послуг третьою стороною. Складання плану навантаження та прийняття систем. Захист від шкідливого та мобільного коду. Дублювання 
• Безпека мереж та їхнє регулювання. Вплив на носіїв інформації. Доступні дії з інформацією. Сервіси електронної торгівлі. Моніторинг
• Контролювання доступу та вимоги бізнесу щодо його забезпечення. Надання доступу користувачеві. Відповідальність користувача. Контролювання мережевого доступу до операційної системи. Контролювання доступу до додатків та інформації. Оцінювання доступу та використання системи
• Інформаційні системи: їхнє придбання, покращення та сервіс. Вимоги безпеки інформаційних систем. Правильна обробка додатків. Криптографічні засоби. Безпека системних файлів
• Безпека в розробці та підтримці. Робота з технічними вразливостями
• Дії при порушенні інформаційної безпеки. Сповіщення про порушення та слабкі місця інформаційної безпеки. Удосконалення інформаційної безпеки
• Регулювання постійності безпеки. Концепція інформаційної безпеки управління безперервністю бізнесу
• Норми правових вимог. Види відповідностей: правовим нормам, політикам та стандартам безпеки. Технічна відповідність. Важливі питання під час аудиту інформаційних систем

Модуль 4. Система управління ІБ. Вимоги до СУІБ

• Загальні вимоги до СУІБ. Вимоги до документації. Створення та управління СУІБ. Керівництво з управління ресурсами, його обов’язки та відповідальність
• Внутрішні аудити СУІБ
• Вивчення СУІБ керівництвом. Початкові дані аналізу. Кінцеві дані аналізу
• Поліпшення СУІБ. Коригувальні дії. Дії, що дозволяють уникнути помилок

Модуль 5. Забезпечення безпеки автоматизованих систем

• Питання забезпечення безпеки в мережах. Стандартна ІР-мережа. Загрози, вразливості та атаки мережі. Способи вирахування вразливостей вузлів ІР-мереж та атак на вузли, протоколи й мережеві служби. Як отримати оперативну інформацію про нові вразливості та атаки? Методи боротьби з вторгненням порушників та усуненням вразливостей
• Міжмережеві екрани: для чого вони потрібні та якими бувають? Основні можливості та варіанти розташування. Переваги й недоліки. Головні захисні механізми: проміжна автентифікація, перевірка пошти, трансляція мережевих адрес, віртуальні приватні мережі, фільтрація пакетів, протидія атакам, що спрямовані на порушення роботи мережевих служб, додаткові функції. Рекомендації щодо застосування. Політика безпеки при доступі до мережі загального користування
• Управління інформаційним наповненням електронної пошти та web-трафіку. Системи контролю контенту, їхні компоненти та робота. Політика безпеки, сценарії, застосування та реагування
• Віртуальні приватні мережі (VPN). Для чого потрібні? Основні можливості, функціонування та реалізація. Будування захищеної корпоративної мережі. Різновиди, плюси та мінуси VPN-рішень. Загальні рекомендації щодо їхнього застосування
• Способи виявлення вразливостей вузлів мереж та атак на вузли, протоколи та мережеві служби. Для чого потрібні, що можуть робити, як працюють? Роль у загальній системі встановлення безпеки. Порівняння можливостей з міжмережевими екранами. Налагодження адаптивної мережевої безпеки. Способи рішень. Як забезпечити безпеку мережі організації?

Усім охочим навчатися на цьому курсі варто мати загальне уявлення про інформаційні системи, правові, організаційні та технічні сфери забезпечення інформаційної безпеки комп’ютерних систем.