intern

extern

Codesignatur

Entwickeln Sie Strategien, Standards, Maßnahmen und Richtlinien

Risikomanagement

Personensicherheit

Sicherheitsbewusstseinstraining

Implementieren und pflegen Sie logische Zugriffskontrollmechanismen

Passwort- und Ressourcenverwaltung

Identifikations- und Authentifizierungsmethoden

Sicherheitsausrüstung

Maßnahmen zur Kontrolle des individuellen Zugangs zu Einrichtungen und verschiedenen Abteilungen (Zutrittskontrolle, Sicherheit, Schlösser)

Schutzumrandung (Zäune, Mauern, Beleuchtung)

Physische Erkennung von Einbrüchen

Umweltkontrolle

Prävention (Abschreckung), Erkennung, Korrektur/Wiederherstellung (Backup, BCP, DRP) Vergütung (Kontrolle)

Kontrollumfeld

Risikobewertung

Überwachungsaktivitäten

Information und Kommunikation

Monitor

Service-Strategie

Service-Design

Dienstübergang

Service-Betrieb

Kontinuierliche Serviceverbesserung

Anfänglich, wiederholbar, definiert, verwaltet, optimierend

Anfänglich, verwaltet, definiert, quantitativ verwaltet, optimierend

Basierend auf den Ergebnissen der Risikobewertung, gesetzlichen und behördlichen Anforderungen sowie dem organisatorischen Geschäft, Bestimmen Sie Kontrollziele und Kontrollmaßnahmen basierend auf den betrieblichen Anforderungen

Implementieren Sie ausgewählte Sicherheitskontrollen.

In Übereinstimmung mit Richtlinien, Verfahren, Standards sowie Gesetzen und Vorschriften, Führen Sie Compliance-Prüfungen zur Umsetzung von Sicherheitsmaßnahmen durch

Ergreifen Sie auf der Grundlage der Inspektionsergebnisse Gegenmaßnahmen, um die Sicherheitsbedingungen zu verbessern

Allgemeinste Aussage zur Informationssicherheit

Eine Verpflichtung des Top-Managements, Verantwortung für die Informationssicherheit zu übernehmen

Beschreiben Sie, was und welche Ziele geschützt werden sollen

Richten Sie einen Durchsetzungsmechanismus für die Richtlinienumsetzung ein

Ähnlich wie bei Standards handelt es sich bei Methoden zur Stärkung der Systemsicherheit um Empfehlungen.

Erfüllen Sie die in der Richtlinie geforderten Mindestsicherheitsanforderungen

Detaillierte Schritte zum Ausführen einer bestimmten Aufgabe (spezifisch)

Das Verfahren ist eine detaillierte Beschreibung (WIE) der spezifischen Schritte zur Durchführung der Schutzaufgabe.

Budget für Informationssicherheitsaktivitäten

Entwicklung von Entwicklungsstrategien, Verfahren, Baselines, Standards und Richtlinien

Entwickeln Sie ein Sicherheitsbewusstseinsprogramm

Nehmen Sie an Managementbesprechungen teil

Unterstützen Sie bei internen und externen Audits

Definieren Sie das akzeptable Risikoniveau einer Organisation

Bestimmen Sie Sicherheitsziele und -strategien

Die Berücksichtigung geschäftlicher Anforderungen bestimmt die Priorität der Sicherheitsaktivitäten

Überprüfen Sie Risikobewertungs- und Auditberichte

Überwachen Sie die geschäftlichen Auswirkungen von Sicherheitsrisiken

Überprüfung nuklearer Unfälle mit schwerwiegenden Sicherheitsverstößen

Genehmigen Sie alle wesentlichen Änderungen an Sicherheitsrichtlinien und -plänen

Die Integrität der Finanzberichte und Finanzinformationen des Unternehmens

Das interne Kontrollsystem des Unternehmens

Einsatz und Leistung unabhängiger Wirtschaftsprüfer

Leistung der internen Revisionsfunktion

Halten Sie die gesetzlichen Anforderungen und Unternehmensrichtlinien in Bezug auf Ethik ein

Langfristiger Plan, z.B. 5 Jahre

, relativ stabil, definiert die Ziele und Mission der Organisation

Mittelfristiger Plan, z.B. 1 Jahr

Eine detaillierte Beschreibung der Aufgaben und Fortschritte bei der Erreichung der im strategischen Plan festgelegten Ziele, Wie Beschäftigungspläne, Budgetpläne usw.

Kurzfristige, sehr detaillierte Pläne, häufig aktualisiert

Monatliche oder vierteljährliche Aktualisierungen wie Schulungspläne, Systembereitstellungspläne usw.

Verantwortlich für die Leitung einer bestimmten Geschäftsabteilung und verantwortlich für den Schutz und die Verwendung spezifischer Informationen

Sie haben eine Sorgfaltspflicht

Verantwortlichkeiten

Geschäftsrolle statt technischer Rolle

Die Rolle der IT- oder Sicherheitsabteilung

Verantwortlichkeiten

Verantwortlich für ein oder mehrere Systeme, von denen jedes Daten verschiedener Dateneigentümer speichern und verarbeiten kann

Verantwortlich für die Integration von Sicherheitsfaktoren in Anwendungen und Systeme

Stellen Sie sicher, dass Systemschwachstellen bewertet werden

Ergreifen Sie angemessene Sicherheitsmaßnahmen, um die Systemsicherheit zu gewährleisten

Verantwortlich für die Implementierung, Überwachung und Durchsetzung von Sicherheitsvorschriften und -richtlinien

Bericht an den Sicherheitsausschuss und den Informationssicherheitsbeauftragten

Überprüfen Sie das System, um festzustellen, ob die Sicherheitsanforderungen erfüllt sind und ob Sicherheitskontrollen wirksam sind

Bieten Sie eine unabhängige Garantie für die Verwaltung von Sicherheitszielen

Helfen Sie bei der Entwicklung von Richtlinien, Standards und Leitlinien und setzen Sie Maßstäbe

Hauptsächlich auf der Designebene, nicht auf der Implementierungsebene

Seien Sie sich der Anwendungssicherheit bewusst, halten Sie Sicherheitsrichtlinien ein, verwenden Sie das System ordnungsgemäß und melden Sie Sicherheitsvorfälle

Reduzieren Sie Risiken, reduzieren Sie die Rekrutierungskosten und reduzieren Sie die Mitarbeiterfluktuation

Schützen Sie sensible Unternehmensinformationen

Niemand sollte von Anfang bis Ende die volle Kontrolle über eine sensible, wertvolle oder kritische Aufgabe haben

Zweck: Weniger Möglichkeiten für Betrug oder Fehler

Beispiel:

Mindestberechtigungen zum Zuweisen von Verantwortlichkeiten erforderlich

Erlauben Sie einer Person nicht, zu lange eine feste Position zu halten, um zu vermeiden, dass einzelne Personen zu viel Kontrolle erlangen

Richten Sie eine Personalunterstützung ein, um übergreifende Schulungen zu erleichtern und Betrug aufzudecken

Wenn sensibles Abteilungspersonal gezwungen wird, Urlaub zu nehmen, können Betrug, Datenänderungen, Ressourcenmissbrauch usw. effektiv erkannt werden.

Vertraulichkeitsvereinbarungen sollten mit Drittorganisationen und Einzelpersonen unterzeichnet werden

Überwachen Sie alle Arbeitsaktivitäten Dritter

Stellen Sie sicher, dass die Identität des Personals Dritter beim Zugriff überprüft wird

Auf der Grundlage der oben genannten Maßnahmen werden zusätzliche Personalüberprüfungen durchgeführt

Das Personal Dritter verlässt den Standort und muss sich die entsprechenden Berechtigungen zurückholen

Um Sicherheitsfachkräften die für ihre Arbeit erforderlichen Fachkompetenzen zu vermitteln.

Weg:

Sicherheitseinblicke

"Warum"

Vermittlung von sicherheitsbezogenen Arbeitsfähigkeiten, hauptsächlich für das Management- und Wartungspersonal von Informationssystemen

Weg:

wissen aneignen

"Wie macht man"

Das allgemeine kollektive Bewusstsein der Mitarbeiter einer Organisation für die Bedeutung von Sicherheit und Kontrollen

Weg:

Nachricht senden

"Was ist es"

Bedrohungsmodellierung (SCHREITEN)

Identifizieren Sie Risiken

Risiken analysieren

Risiko bewerten

Qualitativer RA-Ansatz mit Fokus auf IT-Risiken

1. Systemklassifizierung; 2. Schwachstellenerkennung; 3. Bedrohungserkennung; 4. Identifizierung von Gegenmaßnahmen; 5. Möglichkeitsbewertung; 6. Folgenabschätzung; 7. Risikobewertung; 8. Empfehlung neuer Gegenmaßnahmen;

Eine autonome Spezifikation zur Bewertung von Informationssicherheitsrisiken, die auf den Risiken von Informationsressourcen basiert. Der Schwerpunkt liegt auf der Vermögensorientierung und besteht aus drei Phasen und acht Prozessen.

Der OCTAVE-Ansatz setzt unternehmensweit Risikomanagementprogramme ein und lässt sich in Sicherheitspläne integrieren

Grundlegende Prozesse: Identifizierung und Bewertung von Vermögenswerten; Auswahl und Empfehlungen von Gegenmaßnahmen;

Vorab geprüft, um sich nur auf die Systeme zu konzentrieren, die wirklich einer Bewertung bedürfen, um Kosten und Zeit zu reduzieren

Begrenzte Budgetsituation

Erstellen Sie einen Baum aller Bedrohungen, denen ein System ausgesetzt sein kann. Die Zweige können Dinge wie Cyber-Bedrohungen darstellen. Kategorien wie physische Bedrohungen und Komponentenausfälle erfordern bei der Durchführung von RA das Bereinigen ungenutzter Zweige.

Abgeleitet aus der Hardwareanalyse. Untersuchen Sie den potenziellen Ausfall jeder Komponente oder jedes Moduls und untersuchen Sie die Auswirkungen des Ausfalls

Eine australische Methode zur Risikobewertung, die nicht speziell aus Sicherheitsgründen verwendet wird

Identifizieren Sie den Eigentümer, Verwahrer und Benutzer jedes Vermögenswerts

Erstellen Sie eine Asset-Liste und identifizieren Sie Informationsressourcen basierend auf Geschäftsprozessen

Die Form, in der Informationsressourcen vorliegen

Bewertungsfaktoren

Klassifizierung von Vermögenswerten nach Bedeutung (Auswirkung oder Folgen), Berücksichtigen Sie auch die möglichen Folgen einer beeinträchtigten Vertraulichkeit, Integrität und Verfügbarkeit.

Ein Vermögenswert kann mehreren Bedrohungen ausgesetzt sein, und eine Bedrohung kann mehrere Vermögenswerte betreffen.

Identifizieren Sie Bedrohungsquellen

Bei der Beurteilung der Bedrohungswahrscheinlichkeit werden die Motivation und die Fähigkeiten der Bedrohungsquelle berücksichtigt

Mögliche ausnutzbare Schwachstellen für jedes Asset

Identifikationsweg

Methoden zur Risikobehandlung

Die Risikokontrolle misst Auswahlstrategien

Risiken, die nach der Implementierung von Sicherheitskontrollen bestehen bleiben oder bestehen bleiben

Weisen Sie Vermögenswerten einen Wert zu

Schätzen Sie potenzielle Verluste für jede Bedrohung

Führen Sie eine Bedrohungsanalyse durch

Wird für jeden Vermögenswert und jede Bedrohung berechnet Einzelverlusterwartung (SLE) von

Berechnen Sie potenzielle jährliche Verluste für jede Bedrohung

Urteilsvermögen, Best Practices, Intuition und Erfahrung

Gruppenentscheidungsmethoden, Delphi

Überlebensfrage

prüfen

Interview

Verwendung eines Computers als Werkzeug zur Unterstützung bei der Begehung einer Straftat; Computer sind kein notwendiger Faktor bei der Kriminalität, sondern dienen als Hilfsmittel zur Unterstützung von Kriminellen.

Straftaten gegen Computer, Netzwerke und die auf diesen Systemen gespeicherten Informationen

Der Computer ist nicht unbedingt der Angreifer oder das Opfer, Ich war zufällig in den Angriff verwickelt, als er passierte.

Zivilrecht

Strafrecht

Verwaltungsrecht

Die Wettbewerbs- und Marktfähigkeit des Unternehmens ist von entscheidender Bedeutung

Es ist nicht bekannt, dass das Unternehmen entsprechende Ressourcen und Anstrengungen in die Entwicklung investiert hat

Erhalten Sie vom Unternehmen einen angemessenen Schutz, um eine Offenlegung oder unbefugte Nutzung zu verhindern

Beispiel:

Gesetzlich geschützte Rechte zur öffentlichen Veröffentlichung, Vervielfältigung, Anzeige und Änderung der meisten Werke

Es schützt nicht die Kreativität des Werkes, sondern den Ausdruck der Kreativität.

Beispiel:

Es schützt Wörter, Namen, Symbole, Formen, Töne und Farben, die das Image des Unternehmens repräsentieren

Marken werden in der Regel bei einer Markenregistrierungsagentur registriert

Eine Marke ist ein Zeichen für Qualität und Glaubwürdigkeit, das ein Unternehmen in seinen Marktaktivitäten etabliert.

Rechtliche Anerkennung des Patentinhabers durch einen Patentanmelder oder ein Unternehmen, wodurch die unbefugte Nutzung durch andere oder Unternehmen verboten wird

Das Patent ist 20 Jahre gültig

Beispiel:

Recht, allein gelassen zu werden

Schutz vor unangemessenen Rechten gegenüber Einzelpersonen

Das Recht zu entscheiden, welche personenbezogenen Daten an wen weitergegeben werden dürfen

Um unangemessene Rechtsverletzungen zu verhindern, sind eine informierte Einwilligung und geeignete Schutzmaßnahmen das A und O.

Um dem Mangel an geeigneten Methoden vorzubeugen, gilt unter dem Strich „Fairness und Gerechtigkeit“ und es gibt einen Fehlerkorrekturmechanismus.

Die Erhebung personenbezogener Daten erfordert die Einwilligung des Betroffenen und die Angabe des Zwecks

Erheben Sie nur zweck- und verwendungsbezogene Daten und speichern Sie diese nur für den für den Zweck erforderlichen Zeitraum.

Methoden der Datenerhebung Methoden zum Zwecke der Datenerhebung

Ergreifen Sie angemessene technische, verwaltungstechnische und betriebliche Maßnahmen, um zu verhindern, dass personenbezogene Daten böswillig verletzt werden. Stellen Sie die Integrität und Vertraulichkeit der Daten sicher und löschen Sie veraltete Daten, um den Zugriff durch Personen zu verhindern, die keine relevanten Arbeiten ausführen müssen.

Überprüfen Sie die gesammelten Informationen und korrigieren Sie Fehler

Naturkatastrophen wie Erdbeben, Überschwemmungen, Naturbrände, Vulkanausbrüche und schwere Konvektionswetter

Systemisch/technisch, wie Hardware-, Softwareunterbrechungen, System-/Programmierfehler

Versorgungssysteme, Kommunikationsausfälle, Ausfälle von Verteilungssystemen, Rohrbrüche

Vom Menschen verursacht, Explosion, Feuer, Vandalismus, chemische Kontamination, schädlicher Code

Politische, terroristische Aktivitäten, Unruhen, Streiks

Für eine Organisation alles, was dazu führt, dass kritische Geschäftsfunktionen ausgeführt werden Ereignisse, die nicht innerhalb eines bestimmten Zeitraums durchgeführt werden können, gelten als Katastrophen

Merkmale:

zwei Elemente

Reduzieren Sie die Auswirkungen von Katastrophen oder Betriebsunterbrechungen

Ergreifen Sie die notwendigen Schritte, um sicherzustellen, dass Ressourcen, Mitarbeiter und Geschäftsprozesse so schnell wie möglich wiederhergestellt werden

Stellen Sie sicher, dass die Organisation den Geschäftsbetrieb auch in verschiedenen Situationen aufrechterhalten kann

Lösen Sie Probleme aus einer längerfristigen Perspektive und stellen Sie vor allem Methoden und Maßnahmen für langfristige Produktionsstillstände und Katastrophenereignisse bereit

Im Notfall rechtzeitig und angemessen reagieren

Leben schützen und Sicherheit gewährleisten

Reduzieren Sie die Auswirkungen auf das Geschäft

Stellen Sie kritische Geschäftsfunktionen wieder her

Reduzieren Sie das Chaos bei Katastrophen

Sorgen Sie für die Rentabilität Ihres Unternehmens

Machen Sie sich nach einer Katastrophe schnell wieder einsatzbereit

Entwickeln Sie eine Kontinuitätsplanungsstrategie (Richtlinie)

Führen Sie eine Business-Impact-Analyse (BIA) durch.

Bestimmen Sie vorbeugende Kontrollmethoden

Entwickeln Sie eine Wiederherstellungsstrategie

BCP entwickeln

Testen Sie BCP

Halten Sie einen Geschäftskontinuitätsplan aufrecht

Kommunikation und Verbindung zwischen Programmentwicklungsteam und Management

Das Recht auf direkten Kontakt und Kommunikation mit allen am Plan Beteiligten

Verstehen Sie die Auswirkungen einer Betriebsunterbrechung auf das Geschäft der Organisation vollständig

Vertraut mit den Bedürfnissen und Abläufen der Organisation und der Fähigkeit, die unterschiedlichen Bedürfnisse der relevanten Abteilungen der Organisation in Einklang zu bringen

Einfacherer Zugang zur Geschäftsleitung

Verstehen Sie die Geschäftsausrichtung der Organisation und die Absichten der Geschäftsleitung

Fähigkeit, Entscheidungen der Geschäftsleitung zu beeinflussen

Ziele, Umfang, Bedürfnisse

Grundprinzipien und Richtlinien

Pflichten und Verantwortungen

Grundvoraussetzungen für Schlüssellinks

Qualitative Analyse zur Bestimmung der Auswirkung einer Katastrophe oder eines Störungsereignisses hinsichtlich der Schwere

Quantitative Analyse der monetären Auswirkungen einer Katastrophe oder eines Störungsereignisses

Analysieren Sie die Auswirkungen von Ausfällen

Bestimmen Sie Wiederherstellungsfenster für jede Geschäftsfunktion

Probleme

Antwortvorschläge

Qualitative und quantitative automatisierte Tools Unterstützen Sie bei der Integration und Analyse von Informationen

Der Vertreter des Unternehmens prüft und bestätigt die Ergebnisse der Informationsanalyse

Die Erholungszeit nach der Arbeit ist relativ festgelegt

Bevor die Nichtverfügbarkeit des Systems ernsthafte Auswirkungen auf die Organisation hat Die maximal zulässige Zeit, die verbraucht werden darf

Der Punkt, an dem Daten wiederhergestellt werden müssen, um die Verarbeitung fortzusetzen. Das heißt, die maximal zulässige Menge an Datenverlust