Preparation Guide. EXIN Information Security Foundation based on ISO/IEC 27002

Transcriptie

1 Preparation Guide EXIN Information Security Foundation based on ISO/IEC Uitgave december 2015

2 Copyright 2015 EXIN All rights reserved. No part of this publication may be published, reproduced, copied or stored in a data processing system or circulated in any form by print, photo print, microfilm or any other means without written permission by EXIN. based on ISO/IEC () 2

3 Content 1. Overzicht 4 2. Exameneisen 7 3. Begrippenlijst Literatuur 14 based on ISO/IEC () 3

4 1. Overzicht EXIN Information Security Foundation based on ISO/IEC () Inhoud Informatiebeveiliging is het beschermen van informatie tegen een breed scala aan risico s ten einde business continuity te kunnen waarborgen, business risico s te minimaliseren en de opbrengst van investeringen en business mogelijkheden te maximaliseren. Informatiebeveiliging is een must voor iedere organisatie waarin vertrouwelijke informatie omgaat. De globalisering van de economie leidt tot een toenemende uitwisseling van informatie tussen organisaties (medewerkers, klanten en leveranciers), een toenemend gebruik van netwerken, zoals het interne bedrijfsnetwerk, de koppeling met netwerken van andere bedrijven en Internet. Eén kleine, menselijke fout kan enorme gevolgen hebben voor een onderneming. De internationale standaard, de Code of Practice for Information Security ISO/IEC 27002:2013, is een breed gerespecteerde en gerefereerde standaard en biedt een raamwerk voor de organisatie en het management van een informatiebeveiligingsprogramma. Implementatie van een programma gebaseerd op deze standaard ondersteunt een organisatie in het voldoen aan de hoge eisen die worden gesteld aan de huidige complexe operationele omgeving. Een grondige kennis van deze standaard is belangrijk voor de persoonlijke ontwikkeling van iedere informatiebeveiligingsprofessional. In de Information Security modulen van EXIN wordt de definitie van het PvIB (Platform voor Informatiebeveiliging) gebruikt: Informatiebeveiliging betreft het definiëren, implementeren, onderhouden, handhaven en evalueren van een samenhangend stelsel van maatregelen die de beschikbaarheid, de integriteit en de vertrouwelijkheid van de (handmatige en geautomatiseerde) informatievoorziening waarborgen. In de module Information Security Foundation based on ISO/IEC (ISFS), worden basisbegrippen van informatiebeveiliging en hun samenhang getoetst. De basiskennis die in deze module wordt getoetst, draagt vooral bij aan het bewustzijn dat informatie kwetsbaar is en dat maatregelen om informatie te beschermen, nodig zijn. De module omvat de onderwerpen: Informatie en beveiliging: de begrippen, de waarde van informatie en het belang van betrouwbaarheid; Bedreigingen en risico`s: de relatie tussen bedreigingen en betrouwbaarheid; Aanpak en organisatie: het beveiligingsbeleid en de inrichting van informatiebeveiliging; Maatregelen: fysieke, technische en organisatorische beveiligingsmaatregelen; Wet- en regelgeving: het belang en de werking. based on ISO/IEC () 4

5 Context Kwalificatieschema De module EXIN Information Security Foundation based on ISO/IEC maakt deel uit van het kwalificatieprogramma Information Security. Het vervolg op de module ISFS is de module EXIN Information Security Management Advanced based on ISO/IEC (ISMAS) en de module EXIN Information Security Management Expert based on ISO/IEC (ISMES). Doelgroep De module EXIN Information Security Foundation based on ISO/IEC richt zich op iedere medewerker, van de administratie tot de directie, die met vertrouwelijke informatie omgaat. De module is ook geschikt voor kleine zelfstandige ondernemers voor wie basiskennis van informatiebeveiliging noodzakelijk is. Foundation is de eerste stap voor beginnende professionals in informatiebeveiliging. Certificeringseisen Het behalen van het examen is een voorwaarde voor certificering. based on ISO/IEC () 5

6 Examendetails Examenvorm: Computergestuurde multiple-choice-vragen Aantal vragen: 40 Cesuur: 65% (26 van 40) Open boek/notities: Nee Elektronische hulpmiddelen toegestaan: Nee Examenduur: 60 minuten Op dit examen is het Reglement voor de Examens van EXIN van toepassing. Training Groepsgrootte Het maximum aantal deelnemers is 25. (Dit geldt niet voor een online- of computer based training.) Contacturen Het minimum aantal contacturen tijdens de training is 7. Dit omvat groepsopdrachten, voorbereiding op het examen en korte pauzes. Dit aantal uren is exclusief huiswerk, logistieke voorbereiding van het examen en lunchpauzes. Indicatie studielast 60 uur Training provider Een lijst van geaccrediteerde training providers kunt u vinden op based on ISO/IEC () 6

7 2. Exameneisen De exameneisen zijn uitgewerkt in examenspecificaties. In onderstaande tabel staan de onderwerpen van de module (exameneisen). Het gewicht van de verschillende onderwerpen in het examen wordt uitgedrukt in een percentage van het totaal. Exameneis Examenspecificatie Gewicht % 1. Informatie en beveiliging Het begrip informatie 2,5 1.2 De waarde van informatie 2,5 1.3 Betrouwbaarheidsaspecten 5 2. Dreigingen en risico s Dreiging en risico Relaties tussen dreigingen, risico`s en de 15 betrouwbaarheid van informatie 3. Aanpak en organisatie Beveiligingsbeleid en beveiligingsorganisatie 2,5 3.2 Onderdelen 2,5 3.3 Incidentbeheer 5 4. Maatregelen Belang van maatregelen Fysieke maatregelen Technische maatregelen Organisatorische maatregelen Wet- en regelgeving Wet- en regelgeving 10 Totaal 100% based on ISO/IEC () 7

8 Exam specificaties 1. Informatie en beveiliging (10%) 1.1 Het begrip informatie (2,5%) De kandidaat begrijpt het begrip informatie uitleggen wat het verschil is tussen data en informatie; informatiedragers beschrijven die onderdeel uitmaken van de basisinfrastructuur. 1.2 De waarde van informatie (2,5%) De kandidaat begrijpt de waarde van informatie voor organisaties beschrijven wat de waarde is van data/informatie voor organisaties; beschrijven hoe de waarde van data/informatie organisaties kan beïnvloeden; uitleggen wat het nut is van informatiebeveiliging. 1.3 Betrouwbaarheidsaspecten (5%) De kandidaat kent de betrouwbaarheidsaspecten (vertrouwelijkheid, integriteit, beschikbaarheid) van informatie de betrouwbaarheidsaspecten van informatie noemen; de betrouwbaarheidsaspecten van informatie beschrijven. 2. Dreigingen en risico`s (30%) 2.1 Dreiging en risico (15%) De kandidaat begrijpt de begrippen dreiging en risico de begrippen dreiging, risico en risicoanalyse uitleggen; de relatie tussen een dreiging en een risico uitleggen; verschillende soorten dreigingen beschrijven; verschillende soorten schades beschrijven; verschillende risicostrategieën beschrijven. 2.2 Relaties tussen dreigingen, risico`s en de betrouwbaarheid van informatie (15%) De kandidaat begrijpt de relatie tussen dreigingen, risico`s en de betrouwbaarheid van informatie voorbeelden herkennen van de verschillende soorten dreigingen; effecten beschrijven van de verschillende soorten dreigingen op informatie en informatieverwerking. based on ISO/IEC () 8

9 3. Aanpak en Organisatie (10%) 3.1 Beveiligingsbeleid en beveiligingsorganisatie (2,5%) De kandidaat begrijpt de begrippen beveiligingsbeleid en beveiligingsorganisatie in grote lijnen beschrijven wat het doel en de inhoud is van een beveiligingsbeleid; in grote lijnen beschrijven wat het doel en de inhoud is van een beveiligingsorganisatie. 3.2 Onderdelen (2,5%) De kandidaat kent de verschillende onderdelen van de beveiligingsorganisatie het belang van een gedragscode uitleggen; het belang van eigenaarschap uitleggen; de belangrijkste rollen in de informatiebeveiligingsorganisatie noemen. 3.3 Incidentbeheer (5%) De kandidaat begrijpt het belang van incidentbeheer en escalatie samenvatten hoe beveiligingsincidenten worden gemeld en welke informatie daarbij nodig is; voorbeelden geven van beveiligingsincidenten; duidelijk maken wat de consequenties zijn van het niet melden van beveiligingsincidenten; uitleggen wat een escalatie inhoudt (functioneel en hiërarchisch); beschrijven wat de effecten zijn van escalatie in de organisatie; de incidentcyclus toelichten. 4. Maatregelen (40%) 4.1 Belang van maatregelen (10%) De kandidaat begrijpt het belang van beveiligingsmaatregelen verschillende indelingen van beveiligingsmaatregelen beschrijven; per type beveiligingsmaatregel voorbeelden geven; de relatie tussen risico`s en beveiligingsmaatregelen uitleggen; het doel van het classificeren van informatie benoemen; beschrijven wat de uitwerking is van classificatie. 4.2 Fysieke maatregelen (10%) De kandidaat kent de inrichting en uitvoering van fysieke maatregelen voorbeelden geven van fysieke maatregelen; de risico`s verbonden aan het ontbreken van fysieke beveiligingsmaatregelen beschrijven. based on ISO/IEC () 9

10 4.3 Technische maatregelen (10%) De kandidaat kent de inrichting en uitvoering van technische maatregelen voorbeelden geven van technische maatregelen; de risico`s verbonden aan het ontbreken van technische beveiligingsmaatregelen beschrijven; de begrippen cryptografie, digitale handtekening en certificaat plaatsen; de drie stappen voor veilig internetbankieren benoemen (PC, website, betaling); verschillende soorten kwaadaardige software noemen; de maatregelen beschrijven die tegen kwaadaardige software kunnen worden ingezet. 4.4 Organisatorische maatregelen (10%) De kandidaat kent de inrichting en uitvoering van organisatorische maatregelen voorbeelden geven van organisatorische maatregelen; de gevaren en risico`s verbonden aan het ontbreken van organisatorische beveiligingsmaatregelen beschrijven; toegangbeveiligingsmaatregelen beschrijven zoals functiescheiding en wachtwoordgebruik; principes voor het beheer van toegang beschrijven; de begrippen identificatie, authenticatie en autorisatie beschrijven; uitleggen wat het belang is van goed ingerichte Business Continuity Management voor een organisatie; duidelijk maken wat het belang is van het uitvoeren van oefeningen. 5. Wet- en regelgeving (10%) 5.1 Wet- en regelgeving (10%) De kandidaat begrijpt het belang en de werking van wet- en regelgeving uitleggen waarom wet- en regelgeving van belang is voor de betrouwbaarheid van informatie; voorbeelden geven van wetgeving gerelateerd aan informatiebeveiliging; voorbeelden geven van regelgeving gerelateerd aan informatiebeveiliging; aangeven waaruit maatregelen voor wet- en regelgeving kunnen bestaan. Toelichting en verantwoording Maatregelen op het gebied van informatiebeveiliging zijn voor de meeste medewerkers in een organisatie het eerste waar ze mee in aanraking komen. Daarom heeft de exameneis Maatregelen het grootste gewicht. De exameneis Dreigingen en risico s volgt hierop in gewicht, omdat het belangrijk is deze te kunnen herkennen. Tenslotte is kennis van het beleid, de inrichting en van de wet- en regelgeving op het gebied van informatiebeveiliging nodig om het belang van informatiebeveiligingsmaatregelen te begrijpen. based on ISO/IEC () 10

11 3. Begrippenlijst De begrippenlijst bevat de begrippen die in de toets bevraagd kunnen worden. De begrippen staan op alfabetische volgorde in het Nederlands. Archiefwet Public records legislation audit Audit Auteurswet Copyright legislation authenticatie Authentication authenticiteit Authenticity autorisatie Authorization back-up Backup Bedrijfscontinuïteitsbeheer (Business Continuity Management (BCM)) Business Continuity Management (BCM) bedrijfsmiddellen Business Assets beheer van bedrijfsmiddelen Managing business assets beschikbaarheid Availability betrouwbaarheid van informatie Reliability of information beveiliging bij systeemontwikkeling Security in development beveiligingsbeleid Security Policy beveiligingsgebeurtenis Security event beveiligingsincident Security incident beveiligingsmaatregel Security measure beveiligingsorganisatie Security Organization biometrie Biometrics Botnet Botnet Business Continuity Plan (BCP) Business Continuity Plan (BCP) calamiteit Disaster categorie Category certificaat Certificate classificatie (rubricering) Classification (grading) Clear desk policy Clear desk policy Code voor informatiebeveiliging (NEN-ISO/IEC 27002:2013) Code of practice for information security (ISO/IEC 27002:2013) continuïteit Continuity correctheid Correctness correctief Corrective cryptografie Cryptography cybercrime Cyber crime data Data detectief Detective digitale handtekening Digital signature directe schade Direct damage Disaster recovery Plan (DRP) Disaster Recovery Plan (DRP) dreiging Threat encryptie Encryption escalatie Escalation based on ISO/IEC () 11

12 functionele escalatie Functional escalation hiërarchische escalatie Hierarchical escalation exclusiviteit Exclusivity functiescheiding Segregation of duties gedragscode Code of conduct geheimhoudingsovereenkomst Non-disclosure agreement hacken Hacking Hoax Hoax identificatie Identification impact Impact incidentcyclus Incident cycle indirecte schade Indirect damage informatie Information informatieanalyse Information analysis informatiearchitectuur Information architecture Informatiebeveiligingsrisico Information security review beoordeling informatiemanagement Information management informatiesysteem Information system infrastructuur Infrastructure integriteit Integrity interferentie Interference ISO/IEC 27001:2013 ISO/IEC 27001:2013 ISO/IEC 27002:2013 ISO/IEC 27002:2013 kwalitatieve risicoanalyse Qualitative risk analysis kwantitatieve risicoanalyse Quantitative risk analysis kwetsbaarheid Vulnerability logisch toegangsbeheer Logical access management maatregel measure / control Malware Malware naleving (Compliance) Compliance nauwkeurigheid Precision onderhoudstoegang (Maintenance Maintenance door door) onweerlegbaarheid Non-repudiation opslagmedium Storage medium Patch Patch Personal Firewall Personal firewall Phishing Phishing preventief Preventive prioriteit Priority privacy Privacy productiefactor Production factor Public Key Infrastructure (PKI) Public Key Infrastructure (PKI) reductief Reductive redundantie Redundancy repressief Repressive risico Risk risicoafweging (A&K analyse) Risk assessment (Dependency & Vulnerability analysis) risicoanalyse Risk analysis based on ISO/IEC () 12

13 risicodragend Risk bearing risicomijdend Risk avoidance risiconeutraal Risk neutral risicomanagement Risk management risicostrategie Risk strategy robuustheid Robustness Rootkit Rootkit schade Damage sleutel Key Social engineering Social engineering Spam Spam Spyware Spyware Stand by-regeling Stand-by arrangement systeemacceptatietesten System acceptance testing tijdigheid Timeliness toegangsbeheer (Access Control) Access control toekennen van gebruikerstoegang User access provisioning Trojan Trojan uitwijk Stand-by arrangement Uninterruptible Power Supply (UPS) Uninterruptible Power Supply (UPS) urgentie Urgency validatie Validation verificatie Verification vertrouwelijkheid Confidentiality vertrouwelijke authenticatie Secret authentication information informatie Virtual Private Network (VPN) Virtual Private Network (VPN) virus Virus volledigheid Completeness Voorschrift Informatiebeveiliging Rijksdienst (VIR) / Voorschrift Informatiebeveiliging Bijzondere Informatie (VIR-BI) Information security regulations for the government Wet Bescherming Personal data protection legislation Persoonsgegevens (WBP) Wet Computer Criminaliteit (WCC) Computer criminality legislation Wijzigingsbeheer / Change Change Management Management worm Worm based on ISO/IEC () 13

14 4. Literatuur Examenliteratuur A Hintzbergen, J., Hintzbergen, K., Smulders, A en Baars, H. Basiskennis informatiebeveiliging op basis van ISO en ISO Van Haren Publishing, 2 e herziene druk, 2015 ISBN E-ISBN Samenhang literatuur en examenspecificaties Exameneis Examenspecificatie Literatuur Literatuurverwijzing A Hoofdstuk 3 en A Hoofdstuk 3 en A Hoofdstuk 3 en A Hoofdstuk A Hoofdstuk 3 en A Hoofdstuk 3, 5 en A Hoofdstuk 6, 7, 8 en A Hoofdstuk 3, 15 en A Hoofdstuk 3, 8 en A Hoofdstuk 3 en A Hoofdstuk 6, 10, 11 en A Hoofdstuk 3, 6, 9, 17 en A Hoofdstuk 18 Toelichting en verantwoording Het examen is gebaseerd op de examenliteratuur. based on ISO/IEC () 14

15 based on ISO/IEC () 15

16 Contact EXIN