المدقق الرئيسي للأيزو 27001: تدقيق أمن المعلومات خطوة بخطوة

تتضمن هذه الدورة استخدام الذكاء الاصطناعي. أنتم تعرفون ما تقوله المواصفة. وهذه الدورة تعلمكم ما تفعلونه حين لا تتفق معكم الجهة الخاضعة للتدقيق.

تمر معظم دورات الأيزو 27001 على المواصفة بندا بندا وتتوقف عند ذلك. وتظهر المشكلة في اليوم الأول من تدقيق حقيقي: سجل المخاطر غير محدث، ومسؤول أمن المعلومات يجيب إجابات مراوغة، والدليل الذي تحتاجون إليه غير موجود، وعليكم أن تقرروا في الحال هل ما أمامكم عدم مطابقة جسيمة أو بسيطة أو ملاحظة، وأن تدافعوا عن هذا القرار أمام من لا يريد سماعه. بنيت هذه الدورة من هذا المنظور.

فهي تغطي ISO/IEC 27001:2022 كاملة، البنود من 4 إلى 10 والضوابط الـ93 في الملحق (أ) بمواضيعها الأربعة، ثم تخصص أكثر من نصف محتواها لمهنة التدقيق: التخطيط، وجمع الأدلة، وأخذ العينات، والمقابلات، وصياغة نتائج التدقيق، والاجتماعات، والتقرير. ما تتضمنه الدورة 74 محاضرة مصورة في 15 قسما، بتعليق صوتي باللغة العربية. حالة عملية متواصلة، عيادة هيلث بريدج، ترافق الدورة كلها.

7 تكليفات تطبيقية على ميدسكيور سوليوشنز، وهي شركة تطور برمجيات السجل الصحي الإلكتروني وتخضع لقانون HIPAA وللائحة العامة لحماية البيانات (GDPR). يتضمن كل تكليف أدلة متناقضة وضعت عمدا وإجابة نموذجية كاملة ومكتوبة بالتفصيل، لا قائمة نصائح: سترون كيف تبدو حالة عدم المطابقة المحكمة الصياغة، ولماذا تصنف على نحو معين. 13 اختبارا قصيرا في نهاية الأقسام، واختبار تدريبي نهائي من 30 سؤالا، أي 113 سؤالا في المجموع، فيها أسئلة قائمة على سيناريوهات وشرح معلل لكل إجابة.

3 نماذج قابلة للتنزيل وجاهزة للاستخدام: خطة التدقيق، وقائمة التحقق للتدقيق، وتقرير التدقيق. كيف بنيت ستتعلمون صياغة نتائج تدقيق لا تستطيع الجهة الخاضعة للتدقيق الطعن فيها، لأنها تستند إلى أدلتها هي وإلى سياساتها هي. وسترون لماذا يمكن أن تكون شهادة ISO 27001 أصلية وسارية نتيجة تدقيق مع ذلك.

وستميزون ما تشترطه المواصفة مما هو مجرد ممارسة جيدة، وهذا هو الفرق بين عدم مطابقة يمكن الدفاع عنها ومجرد رأي. وستتمرنون على أصعب قرار في المهنة: متى تكفي الأدلة المتاحة لإثبات نتيجة تدقيق، ومتى يكون الأحوط تسجيل ملاحظة. لمن هذه الدورة لمن عليهم تدقيق نظام لإدارة أمن المعلومات، بصفتهم مدققين داخليين، أو أعضاء في فريق تدقيق منح الشهادة، أو عند تقييم مورديهم.

وكذلك لمسؤولي أمن المعلومات والامتثال الذين يريدون أن يفهموا ما سيبحث عنه المدقق وكيف يعدون منظمتهم. لمن ليست هذه الدورة إذا كنتم تبحثون عن دورة تكتفي بسرد المواصفة، أو عن إعداد نظري بحت لامتحان من نوع الاختيار من متعدد، فهناك خيارات أقصر. أما هنا فنعمل على أدلة ملتبسة وقرارات قابلة للنقاش، وهكذا يبدو العمل الحقيقي.

نلقاكم في المحاضرة الأولى.