سرفصل دوره کارگاهی ممیزی و سرممیزی سیستم مدیریت امنیت اطلاعات (ISMS) مبتنی بر ISO/IEC 27001:2022 و ISO 19011
ماژول 1: چارچوب و مبانی ممیزی ISMS
- مروری کاربردی بر الزامات ISO/IEC 27001:2022
- مفهوم Audit، Audit Criteria، Audit Evidence و Audit Findings
- انواع ممیزی: داخلی، تأمین‌کننده و صدور گواهینامه
- نقش و مسئولیت‌های Auditor و Lead Auditor
- اصول ممیزی بر اساس ISO 19011
- رویکرد فرآیندی و ریسک‌محور در ممیزی
- کارگاه: تحلیل یک سناریوی واقعی و تشخیص هدف، معیار و دامنه ممیزی
ماژول 2: برنامه‌ریزی و مدیریت برنامه ممیزی
- تدوین Audit Programme
- تعیین Objectives، Scope و Criteria
- تعیین تیم ممیزی و مسئولیت‌ها
- تعیین زمان و توالی فعالیت‌های ممیزی
- ریسک‌ها و فرصت‌های برنامه ممیزی
- تهیه Audit Plan
- تخصیص فعالیت‌های ممیزی بین اعضای تیم
- کارگاه: طراحی کامل Audit Programme و Audit Plan برای یک سازمان فرضی
ماژول 3: بررسی مستندات و آمادگی پیش از ممیزی
- بررسی Scope و Context سازمان
- بررسی Information Security Policy
- بررسی Risk Assessment و Risk Treatment
- بررسی Statement of Applicability (SoA)
- بررسی Risk Treatment Plan
- بررسی اهداف امنیت اطلاعات و برنامه‌های تحقق آن‌ها
- بررسی فرآیندها و مستندات ISMS
- تعیین نقاط تمرکز ممیزی بر اساس ریسک
- کارگاه: Document Review و استخراج نقاط قابل ممیزی از مستندات نمونه
ماژول 4: طراحی چک‌لیست و مسیر ممیزی
- تبدیل الزامات ISO 27001 به Audit Questions
- طراحی چک‌لیست مبتنی بر فرآیند
- طراحی چک‌لیست مبتنی بر ریسک
- ارتباط الزامات Clauses با فرآیندها و کنترل‌ها
- ارتباط SoA با شواهد ممیزی
- تعیین نمونه‌ها و روش Sampling
- کارگاه: طراحی Audit Checklist برای بندهای 4 تا 10 و کنترل‌های منتخب Annex A
ماژول 5: تکنیک‌های اجرای ممیزی
- برگزاری Opening Meeting
- تکنیک‌های مصاحبه با مدیران و کارشناسان
- طراحی سؤالات باز، بسته و پیگیری‌کننده
- تکنیک Traceability در ممیزی
- بررسی مستندات و سوابق
- مشاهده فعالیت‌ها و کنترل‌ها
- نمونه‌برداری و آزمون شواهد
- تشخیص شواهد Objective و Subjective
- مدیریت پاسخ‌های مبهم و متناقض
- مدیریت مقاومت و چالش‌های ممیزی
ماژول 6: ممیزی الزامات ISO/IEC 27001:2022
- ممیزی Context of the Organization
- ممیزی Leadership
- ممیزی Planning
- ممیزی Support
- ممیزی Operation
- ممیزی Performance Evaluation
- ممیزی Improvement
- ارتباط بین فرآیندهای مختلف ISMS
- کارگاه: اجرای ممیزی بندهای 4 تا 10 بر اساس یک Case Study جامع
ماژول 7: ممیزی Risk Management و SoA
- بررسی فرآیند شناسایی و ارزیابی ریسک
- بررسی Risk Criteria
- بررسی Risk Treatment
- بررسی ارتباط Risk → Treatment → Control
- بررسی Statement of Applicability
- بررسی توجیه Inclusion / Exclusion کنترل‌ها
- بررسی اثربخشی اقدامات مقابله با ریسک
- کارگاه: ردیابی یک ریسک از شناسایی تا کنترل و شواهد اجرایی
ماژول 8: ممیزی کنترل‌های Annex A
- رویکرد ممیزی 93 کنترل ISO/IEC 27001:2022
- ممیزی Organizational Controls
- ممیزی People Controls
- ممیزی Physical Controls
- ممیزی Technological Controls
- تعیین Evidence مورد انتظار برای کنترل‌ها
- تشخیص Implementation Gap
- ارزیابی طراحی و اجرای کنترل
- کارگاه: ممیزی عملی کنترل‌های منتخب Annex A با ارائه شواهد واقعی‌نما
ماژول 9: تحلیل شواهد و تدوین یافته‌های ممیزی
- Evidence Evaluation
- Evidence Sufficiency و Appropriateness
- تطبیق Evidence با Audit Criteria
- تشخیص Conformity و Nonconformity
- تشخیص Observation و Opportunity for Improvement
- تحلیل علت عدم انطباق
- تفکیک علائم از عدم انطباق واقعی
- تعیین شدت یافته‌ها بر اساس معیارهای سازمان/نهاد گواهی‌کننده
- کارگاه: بررسی مجموعه‌ای از شواهد و استخراج Findings
ماژول 10: نگارش حرفه‌ای عدم انطباق‌ها
- ساختار صحیح Nonconformity Statement
- بیان دقیق Criteria
- ثبت Objective Evidence
- تدوین Statement of Nonconformity
- پرهیز از قضاوت شخصی و ابهام
- ارتباط بین Requirement، Evidence و Finding
- کارگاه: بازنویسی Findings ضعیف و تبدیل آن‌ها به یافته‌های حرفه‌ای و قابل دفاع
ماژول 11: مدیریت تیم ممیزی و مهارت‌های Lead Auditor
- نقش و مسئولیت Lead Auditor
- تشکیل و مدیریت تیم ممیزی
- تقسیم وظایف و مسئولیت‌ها
- مدیریت زمان ممیزی
- هماهنگی بین اعضای تیم
- حل اختلاف نظر بین ممیزان
- مدیریت ارتباط با مدیران ارشد
- تصمیم‌گیری مبتنی بر شواهد
ماژول 12: Closing Meeting و گزارش ممیزی
- جمع‌بندی یافته‌ها
- برگزاری Closing Meeting
- ارائه یافته‌ها به مدیریت
- مدیریت اعتراض Auditee به Findings
- تدوین Audit Report
- ثبت نقاط قوت، عدم انطباق‌ها و فرصت‌های بهبود
- ارائه نتیجه کلی ممیزی بر اساس شواهد
- کارگاه: اجرای کامل جلسه اختتامیه و ارائه یافته‌ها به مدیریت
ماژول 13: اقدامات اصلاحی و Follow-up Audit
- بررسی Corrective Action Plan
- ارزیابی Root Cause Analysis
- بررسی تناسب اقدامات اصلاحی
- بررسی شواهد اجرای اقدامات
- ارزیابی اثربخشی اقدامات اصلاحی
- تعیین Follow-up Activities
- بستن Nonconformity
- کارگاه: ارزیابی یک Corrective Action واقعی‌نما و تصمیم‌گیری درباره Closure
