资源介绍
视频数量：6个
总时长：1小时15分
课程介绍：
ISO/IEC 27001信息安全管理基础培训
想象一下这样的场景：一家公司突然遭遇数据泄露，客户信息被曝光，股价一夜之间暴跌。事后调查发现，问题根源不是高超的黑客攻击，而是员工随手把登录密码贴在显示器上，或者点击了一封伪装成同事发来的钓鱼邮件。这种情况在现实中太常见了，而这些问题本可以通过一套科学的管理方法提前预防。
信息安全从来不是装几套防火墙、买几个杀毒软件那么简单。它需要一套系统性的管理思路，把散落在各个部门的安全措施整合起来，让每个人都清楚自己该做什么、不该做什么，遇到问题该找谁。这正是ISO 27001要解决的核心问题。
这门课程带你从零开始理解信息安全管理体系，75分钟的课程分为六个模块，每个模块都紧扣实际工作场景。
第一个模块讲的是ISMS和信息安全的基本原理。课程会告诉你什么是信息安全管理体系，为什么企业需要这样一套东西来统筹安全事务。你会接触到CIA三元组这个核心概念，中文叫机密性、完整性和可用性。简单说就是：不该看的人看不到，信息不会被偷偷改掉，需要用的时候能正常访问。这三个原则听起来简单，但几乎所有安全问题的本质都可以归结到这三个方面。
课程会强调一个关键观点：信息安全不是IT部门一个部门的事。它需要管理层定方向、定政策，需要每个员工在日常工作中落实具体措施。信息安全管理体系的作用就是把散兵游勇变成正规军，让安全变成一套可重复运转的管理流程，而不是出了问题才手忙脚乱打补丁。
第二个模块带你拆解ISO 27001标准的整体框架。标准从第4条到第10条构成了一个完整的闭环，课程会详细解释这个框架如何把风险管理变成日常的操作系统。这个框架借鉴了PDCA循环的管理思想，也就是计划-执行-检查-处理四个环节不断循环。
在计划阶段，组织要识别内外部环境因素，搞清楚有哪些相关方、他们有什么要求、面临什么样的风险。在执行阶段，要制定具体的控制措施并付诸实施。在检查阶段，要通过内部审计和管理评审来验证效果。在处理阶段，要根据发现的问题持续改进。课程会具体讲解上下文环境怎么界定，相关方包括谁，风险偏好和风险承受度怎么确定。这些内容听起来抽象，但课程会结合大量实例帮助理解。
第三个模块聚焦日常安全控制，这是整个课程最贴近实际工作的部分。课程会逐一讲解访问控制、身份验证、防钓鱼、数据保护、设备管理、远程办公等具体场景。访问控制不只是发个账号那么简单，涉及权限分配、离职销户、定期审阅等多个环节。身份验证要理解多因素认证的原理和适用场景。防钓鱼要学会识别邮件中的可疑迹象。数据保护要知道什么级别的信息该怎么存储、怎么传输、怎么销毁。远程办公这几年已经成为常态，课程会专门讲解在家办公时要注意哪些安全要点。
课程特别强调一个原则：策略和流程是日常工作的行为指南，而不是为了应付检查摆出来的文件。当你的业务需求和现有策略产生冲突时，不要自己想办法绕过去，而是要走正式的流程申请例外。例外必须有正当理由，经过风险评估，得到正式批准后才能执行。这个过程会产生审计所需的证据。
第四个模块讲的是审计、证据和改进。课程会告诉你信息安全审核是怎么进行的，审核员会关注哪些方面。核心是证据意识：你说你的部门有安全培训，那就要拿出培训记录；你说访问权限定期审查，那就要有审查报告；你说发现的问题都整改了，那就要有整改记录。没有证据等于没做，这是审计的基本逻辑。
课程会讲到通过持续监控和定期审查来发现控制措施的执行情况，然后根据发现的问题进行调整改进。整个体系不是建好就完事了，而是要不断循环、不断完善。
第五个模块是知识检查和课程收尾，会有一些练习题帮助你巩固学过的内容，同时引导你对课程做个整体回顾。这个环节会强化一个核心理念：信息安全需要组织上下的承诺，不只是老板签个文件就完事，每个人都要把安全意识带入日常工作。
最后一个模块是最终考试的说明，帮你了解学习效果的验证方式。
学完这门课，你会对信息安全管理体系有一个系统的认知框架，理解ISO 27001标准各个条款之间的逻辑关系，知道日常工作中哪些行为是安全的好习惯、哪些是潜在的风险点。课程的内容偏基础，但覆盖了核心概念和实用场景，特别适合需要参加信息安全认证审核的相关人员、需要了解安全合规要求的管理岗位，以及希望系统化理解信息安全管理体系的技术人员。