IEC 27002

Preparation Guide

EXIN Information Security Foundation based on ISO/IEC 27002 Uitgave januari 2013

Copyright © 2013 EXIN All rights reserved. No part of this publication may be published, reproduced, copied or stored in a data processing system or circulated in any form by print, photo print, microfilm or any other means without written permission by EXIN.

Preparation Guide EXIN Information Security Foundation based on ISO/IEC 27002 (ISFS.NL)

2

2

Inhoud 1. 2. 3. 4.

Overzicht Exameneisen Begrippenlijst Literatuur

4 7 12 15


3

3

1. Overzicht EXIN Information Security Foundation based on ISO/IEC 27002 (ISFS.NL) Inhoud Deze Preparation Guide heeft als doel de training provider te helpen bij het ontwikkelen van een training en trainingsmateriaal die voldoen aan de voorw aarden van EXIN. In de Preparation Guide worden de onderwerpen van het examen beschreven, de exameneisen, de specificaties en de doelgroep. Informatiebeveiliging is het beschermen van informatie tegen een breed scala aan risico’s ten einde business continuity te kunnen waarborgen, business risico’s te minimaliseren en de opbrengst van investeringen en business mogelijkheden te maximaliseren. Informatiebeveiliging wordt steeds belangrijker. De globalisering van de economie leidt tot een toenemende uitwisseling van informatie tussen organisaties (medewerkers, klanten en leveranciers), een toenemend gebruik van netwerken, zoals het interne bedrijfsnetwerk, de koppeling met netwerken van andere bedrijven en Internet. De internationale standaard, de Code of Practice for Information Security ISO/IEC 27002:2005, is een breed gerespecteerde en gerefereerde standaard en biedt een raamwerk voor de organisatie en het management van een informatiebeveiligings programma. Implementatie van een programma gebaseerd op deze st andaard ondersteunt een organisatie in het voldoen aan de hoge eisen die worden gesteld aan de huidige complexe operationele omgeving. Een grondige kennis van deze standaard is belangrijk voor de persoonlijke ontwikkeling van iedere informatiebeveiligingsprofessional. In de module Information Security Foundation based on ISO/IEC 27002 (ISFS), worden basisbegrippen van informatiebeveiliging en hun samenhang getoetst. De basiskennis die in deze module wordt getoetst, draagt vooral bij aan het bewustzijn dat informatie kwetsbaar is en dat maatregelen om informatie te beschermen, nodig zijn. De module omvat de onderwerpen:  Informatie en beveiliging: de begrippen, de waarde van informatie en het belang van betrouwbaarheid;  Bedreigingen en risico`s: de relatie tussen bedreigingen en betrouwbaarheid;  Aanpak en organisatie: het beveiligingsbeleid en de inrichting van informatiebeveiliging;  Maatregelen: fysieke, technische en organisatorische beveiligingsmaatregelen ;  Wet- en regelgeving: het belang en de werking.


4

4

Context Kwalificatieschema

De module EXIN Information Security Foundation based on ISO/IEC 27002 maakt deel uit van het kwalificatieprogramma Information Security. Het vervolg op de module ISFS is de module EXIN Information Security Management Advanced based on ISO/IEC 27002 (ISMAS) en de module EXIN Information Security Management Expert based on ISO/IEC 27002 (ISMES). Doelgroep De module EXIN Information Security Foundation based on ISO/IEC 27002 richt zich op iedereen in de organisatie die met informatie omgaat. De module is ook geschikt voor kleine zelfstandige ondernemers voor wie enige basiskennis van informatiebeveiliging noodzakelijk is. Voor beginnende informatiebeveiligers kan deze module een goede start zijn. Voorkennis geen Examenvorm Computergestuurde multiple-choice-vragen Indicatie studielast 60 uur


5

5

In-course assessment Niet van toepassing Examenduur 60 minuten Examendetails Aantal vragen: Cesuur: Open boek/notities: Elektronische hulpmiddelen toegestaan:

40 65% (26 van 40) nee nee

Voorbeeldvragen Een voorbeeldexamen is gratis van http://www.exin.com te downloaden.

Training

Groepsgrootte Het maximum aantal deelnemers is 25.

(Dit geldt niet voor een online- of computer based training.) Contacturen Het minimum aantal contacturen tijdens de training is 7. Dit omvat groepsopdrachten, voorbereiding op het examen en korte pauzes. Dit aantal uren is exclusief huiswerk, logistieke voorbereiding van het examen en lunchpauzes. Training provider Een lijst van geaccrediteerde training providers kunt u vinden op de website van EXIN http://www.exin.com.


6

6

2. Exameneisen en -specificaties De exameneisen zijn de onderwerpen van de module. Er wordt van de kandidaat verwacht dat hij of zij deze grondig beheerst. De exameneisen zijn uitgewerkt in examenspecificaties. In onderstaande tabel staan de onderwerpen van de module (exameneisen). Het gewicht van de verschillende onderwerpen in het examen wordt uitgedrukt in een percentage van het totaal. Exameneis

Examenspecificatie

Gewicht (%)

1 Informatie en beveiliging

10 1.1 Informatie 1.2 Waarde 1.3 Betrouwbaarheid

2,5 2,5 5

2 Dreigingen en risico`s

30 2.1 Dreiging en risico 2.2 Relaties

15 15

3.1 Beleid en organisatie 3.2 Onderdelen 3.3 Incidentbeheer

2,5 2,5 5

3 Aanpak en organisatie

10

4 Maatregelen

40 4.1 4.2 4.3 4.4

Belang Fysiek Technisch Organisatorisch

10 10 10 10

5 Wet- en regelgeving

10 5.1 Wet- en regelgeving

Totaal

10 100


7

7

Examenspecificaties 1.

Informatie en beveiliging (10%)

1.1

Het begrip informatie (2,5%) De kandidaat heeft inzicht in het begrip informatie. De kandidaat kan: 1.1.1 uitleggen wat het verschil is tussen data en informatie; 1.1.2 informatiedragers beschrijven die onderdeel uitmaken van de basisinfrastructuur.

1.2

De waarde van informatie (2,5%) De kandidaat heeft inzicht in de waarde van informatie voor organisaties. De kandidaat kan: 1.2.1 beschrijven wat de waarde is van data/informatie voor organisaties; 1.2.2 beschrijven hoe de waarde van data/informatie organisaties kan beïnvloeden; 1.2.3 uitleggen wat het nut is van informatiebeveiliging.

1.3

Betrouwbaarheidsaspecten (5%) De kandidaat heeft kennis van de betrouwbaarheidsaspecten (vertrouwelijkheid, integriteit, beschikbaarheid) van informatie. De kandidaat kan: 1.3.1 de betrouwbaarheidsaspecten van informatie benoemen; 1.3.2 de betrouwbaarheidsaspecten van informatie beschrijven.

2.

Dreigingen en risico`s (30%)

2.1

Dreiging en risico (15%) De kandidaat heeft inzicht in de begrippen dreiging en risico. De kandidaat kan: 2.1.1 de begrippen dreiging, risico en risicoanalyse uitleggen; 2.1.2 de relatie tussen een dreiging en een risico uitleggen; 2.1.3 verschillende soorten dreigingen beschrijven; 2.1.4 verschillende soorten schades beschrijven; 2.1.5 verschillende risicostrategieën beschrijven.

2.2

Relaties (15%) De kandidaat heeft inzicht in de relatie tussen dreigingen, risico`s en de betrouwbaarheid van informatie. De kandidaat kan: 2.2.1 voorbeelden herkennen van de verschillende soorten dreigingen; 2.2.2 effecten beschrijven van de verschillende soorten dreigingen op informatie en informatieverwerking.


8

8

3.

Aanpak en Organisatie (10%)

3.1

Beveiligingsbeleid en beveiligingsorganisatie (2,5%) De kandidaat heeft kennis van de begrippen beveiligingsbeleid en beveiligingsorganisatie. De kandidaat kan: 3.1.1 in grote lijnen beschrijven wat het doel en de inhoud is van een beveiligingsbeleid; 3.1.2 in grote lijnen beschrijven wat het doel en de inhoud is v an een beveiligingsorganisatie.

3.2

Onderdelen (2,5%) De kandidaat heeft kennis van de verschillende onderdelen van de beveiligingsorganisatie. De kandidaat kan: 3.2.1 het belang van een gedragscode uitleggen; 3.2.2 het belang van eigenaarschap uitleggen; 3.2.3 de belangrijkste rollen in de informatiebeveiligingsorganisatie benoemen.

3.3

Incidentbeheer (5%) De kandidaat heeft inzicht in het belang van incidentbeheer en escalatie. De kandidaat kan: 3.3.1 samenvatten hoe beveiligingsincidenten worden gemeld en welke informatie daarbij nodig is; 3.3.2 voorbeelden geven van beveiligingsincidenten; 3.3.3 duidelijk maken wat de consequenties zijn van het niet melden van beveiligingsincidenten; 3.3.4 uitleggen wat een escalatie inhoudt (functioneel en hiërarchisch); 3.3.5 beschrijven wat de effecten zijn van escalatie in de organisatie; 3.3.6 de incidentcyclus toelichten.

4.

Maatregelen (40%)

4.1

Belang van maatregelen (10%) De kandidaat heeft inzicht in het belang van beveiligingsmaatregelen. De kandidaat kan: 4.1.1 verschillende indelingen van beveiligingsmaatregelen beschrijven; 4.1.2 per type beveiligingsmaatregel voorbeelden geven; 4.1.3 de relatie tussen risico`s en beveiligingsmaatregelen uitleggen; 4.1.4 het doel van het classificeren van informatie benoemen; 4.1.5 beschrijven wat de uitwerking is van classificatie.

4.2

Fysieke maatregelen (10%) De kandidaat heeft kennis van de inrichting en uitvoering van fysieke maatregelen. De kandidaat kan: 4.2.1 voorbeelden geven van fysieke maatregelen; 4.2.2 de risico`s verbonden aan het ontbreken van fysieke beveiligingsmaatregelen beschrijven.


9

9

4.3

Technische maatregelen (10%) De kandidaat heeft kennis van de inrichting en uitvoering van technische maatregelen. De kandidaat kan: 4.3.1 voorbeelden geven van technische maatregelen; 4.3.2 de risico`s verbonden aan het ontbreken van technische beveiligingsmaatregelen beschrijven; 4.3.3 de begrippen cryptografie, digitale handtekening en certificaat plaatsen; 4.3.4 de drie stappen voor veilig internetbankieren benoemen (PC, website, betaling); 4.3.5 verschillende soorten kwaadaardige software benoemen; 4.3.6 de maatregelen beschrijven die tegen kwaadaardige software kunnen worden ingezet.

4.4

Organisatorische maatregelen (10%) De kandidaat heeft kennis van de inrichting en uitvoering van organisatorische maatregelen. De kandidaat kan: 4.4.1 voorbeelden geven van organisatorische maatregelen; 4.4.2 de gevaren en risico`s verbonden aan het ontbreken van organisatorische beveiligingsmaatregelen beschrijven; 4.4.3 toegangbeveiligingsmaatregelen beschrijven zoals functiescheiding en wachtwoordgebruik; 4.4.4 principes voor het beheer van toegang beschrijven; 4.4.5 de begrippen identificatie, authenticatie en autorisatie beschrijven; 4.4.6 uitleggen wat het belang is van goed ingerichte Business Continuity Management voor een organisatie; 4.4.7 duidelijk maken wat het belang is van het uitvoeren van oefeningen.

5.

Wet- en regelgeving (10%)

5.1

Wet- en regelgeving (10%) De kandidaat heeft inzicht in het belang en de werking van wet- en regelgeving. De kandidaat kan: 5.1.1 uitleggen waarom wet- en regelgeving van belang is voor de betrouwbaarheid van informatie; 5.1.2 voorbeelden geven van wetgeving gerelateerd aan informatiebeveiliging; 5.1.3 voorbeelden geven van regelgeving gerelateerd aan informatiebeveiliging; 5.1.4 aangeven waaruit maatregelen voor wet- en regelgeving kunnen bestaan.


10

10

Toelichting en verantwoording ‘Maatregelen’ op het gebied van informatiebeveiliging zijn v oor de meeste medewerkers in een organisatie het eerste waar ze mee in aanraking komen. Daarom heeft deze exameneis het grootste gewicht. ‘Dreigingen en risico`s’ volgen hierop omdat het belangrijk is deze te herkennen. Tenslotte is enige kennis van het beleid, de inrichting en van de wet- en regelgeving op het gebied van informatiebeveiliging nodig om het belang van de maatregelen te begrijpen.


11

11

3. Begrippenlijst De begrippenlijst bevat de begrippen die in de toets bevraagd kunnen worden. De begrippen staan op alfabetische volgorde in het Nederlands.                                     

Archiefwet audit Auteurswet authenticatie authenticiteit autorisatie back-up Bedrijfscontinuïteitsbeheer (Business Continuity Management (BCM)) bedrijfsmiddel beschikbaarheid betrouwbaarheid van informatie beveiligingsbeleid beveiligingsincident beveiligingsmaatregel beveiligingsorganisatie biometrie Botnet Business Continuity Plan (BCP) calamiteit categorie certificaat classificatie (rubricering) Clear desk policy Code voor informatiebeveiliging (NEN-ISO/IEC 27002:2007) continuïteit correctheid correctief cryptografie cybercrime data detectief digitale handtekening directe schade Disaster recovery Plan (DRP) dreiging encryptie escalatie  functionele escalatie  hiërarchische escalatie

                                    

Public records legislation Audit Copyright legislation Authentication Authenticity Authorization Backup Business Continuity Management (BCM) Asset Availability Reliability of information Security Policy Security incident Security measure Security Organization Biometrics Botnet Business Continuity Plan (BCP) Disaster Category Certificate Classification (grading) Clear desk policy Code of practice for information security (ISO/IEC 27002:2005) Continuity Correctness Corrective Cryptography Cyber crime Data Detective Digital signature Direct damage Disaster Recovery Plan (DRP) Threat Encryption Escalation  Functional escalation  Hierarchical escalation


12

12

                                         

 

exclusiviteit functiescheiding gedragscode hacken Hoax identificatie impact incidentcyclus indirecte schade informatie informatieanalyse informatiearchitectuur informatiemanagement informatiesysteem infrastructuur integriteit interferentie ISO/IEC 27001:2005 kwalitatieve risicoanalyse kwantitatieve risicoanalyse kwetsbaarheid logisch toegangsbeheer maatregel Malware naleving (Compliance) nauwkeurigheid onderhoudstoegang (Maintenace door) onweerlegbaarheid opslagmedium Patch Personal Firewall Phishing preventief prioriteit privacy productiefactor Public Key Infrastructure (PKI) reductief repressief risico risicoafweging (A&K analyse)

                          

risicoanalyse  risicodragend  risicomijdend  risiconeutraal risicomanagement risicostrategie



             

 

Exclusivity Segregation of duties Code of conduct Hacking Hoax Identification Impact Incident cycle Indirect damage Information Information analysis Information architecture Information management Information system Infrastructure Integrity Interference ISO/IEC 27001:2005 Qualitative risk analysis Quantitative risk analysis Vulnerability Logical access management measure / control Malware Compliance Precision Maintenance door Non-repudiation Storage medium Patch Personal firewall Phishing Preventive Priority Privacy Production factor Public Key Infrastructure (PKI) Reductive Repressive Risk Risk assessment (Dependency & Vulnerability analysis) Risk analysis  Risk bearing  Risk avoidance  Risk neutral Risk management Risk strategy


13

13

                   

   

robuustheid Rootkit schade sleutel Social engineering Spam Spyware tijdigheid toegangsbeheer (Access Control) Trojan uitwijk Uninterruptible Power Supply (UPS) urgentie validatie verificatie vertrouwelijkheid Virtual Private Network (VPN) virus volledigheid Voorschrift Informatiebeveiliging Rijksdienst (VIR) / Voorschrift Informatiebeveiliging Bijzondere Informatie (VIR-BI) Wet Bescherming Persoonsgegevens (WBP) Wet Computer Criminaliteit (WCC) Wijzigingsbeheer / Change Management worm

                   

Robustness Rootkit Damage Key Social engineering Spam Spyware Timeliness Access control Trojan Stand-by arrangement Uninterruptible Power Supply (UPS) Urgency Validation Verification Confidentiality Virtual Private Network (VPN) Virus Completeness Information security regulations for the government



Personal data protection legislation

 

Computer criminality legislation Change Management



Worm


14

14

Literatuur Examenliteratuur A

Baars, H., Hintzbergen, J., Hintzbergen, K. en Smulders, A. Basiskennis informatiebeveiliging, op basis van ISO 27001 en ISO 27002 Van Haren Publishing, 2011 ISBN 978 90 8753 567 4 eBook ISBN 978 90 8753 8880

Samenhang literatuur en examenspecificaties Examenspecificatie

Literatuur

1.1

A: H 3, H 4

1.2

A: H 4

1.3

A: H 4

2.1

A: H 5

2.2

A: H 5

3.1

A: H 9

3.2

A: §6.2, §6.4, H 9

3.3

A: H 6

4.1

A: H 5, H 6

4.2

A: H 7

4.3

A: H 8, 10

4.4

A: H 9, 10

5.1

A: H 11

Toelichting en verantwoording Het examen is gebaseerd op de examenliteratuur.


15

15

Contact EXIN www.exin.com

IEC 27002

Recommend Documents