Le Conseil de gouvernance est composé de dirigeants responsables de la gestion de tous les risques pour l'organisation, avec pour objectif principal d'assurer la surveillance de la fonction de sécurité de l'organisation tout en garantissant que la fonction de sécurité continue de répondre aux besoins de l'organisation et de ses parties prenantes. Ils examinent les projets en cours et planifiés, les mesures à distance et toute autre question de sécurité pouvant concerner l'ensemble de l'entreprise.

Chaque acquisition apporte un ensemble unique de circonstances, et les experts en sécurité des deux organisations doivent se réunir pour évaluer les contrôles de sécurité de chaque organisation et déterminer comment éliminer les redondances et assurer le confinement du système.

Points de risque possibles :

Contre-mesures :

•Identifier et classer tous les actifs impliqués dans le désinvestissement ; cela comprend les actifs matériels, logiciels et informationnels.

•Dissociez les systèmes concernés de votre infrastructure restante.

•Vérifiez tous les droits d'accès.

• Consultez vos équipes juridiques et de conformité pour vous assurer que vous respectez toutes les exigences réglementaires et de conformité nécessaires concernant la conservation, la suppression des données, etc.

Le responsable de la sécurité de l'information est le cadre supérieur responsable de la gestion globale et de la surveillance du programme de sécurité de l'information au sein d'une organisation.

Le responsable de la sécurité de l'information dirige la stratégie et la vision de sécurité de l'organisation et est en dernier ressort responsable de la sécurité des systèmes et des informations de l'entreprise.

Le CSO est un cadre supérieur au sein d'une organisation et est généralement responsable de toutes les questions de sécurité physique et de sécurité du personnel.

De nombreuses organisations ont fusionné les responsabilités du CSO avec le rôle du RSSI.

Sont des mesures de protection techniques, opérationnelles ou administratives utilisées par une organisation pour prévenir, détecter, réduire ou contrer les menaces de sécurité.

Contrôles techniques : protections et contre-mesures basées sur le système telles que les pare-feu, I1DS/PS et la prévention des pertes de données (DLP) •

Contrôles opérationnels : mesures de protection et contre-mesures effectuées principalement par des humains, tels que des agents de sécurité.

Contrôles de gestion : incluent les politiques, procédures et autres contre-mesures pour contrôler les risques liés à la sécurité de l'information.

Le principe de prudence fait référence à un comportement raisonnable et prudent visant à protéger la sécurité des informations, y compris le maintien de la confidentialité, de l'intégrité et de la disponibilité des informations, et s'applique à toutes les personnes. Ce principe s’applique à toute personne ou organisation, quel que soit son niveau d’expertise en sécurité de l’information.

La diligence raisonnable fait référence à une série de mesures prises en matière de sécurité de l'information pour garantir que des mesures de sécurité raisonnables ont été mises en œuvre et fonctionnent efficacement. Il s’agit notamment de l’élaboration d’un cadre de sécurité formel, de l’élaboration de politiques de sécurité, de normes, de lignes de base, de lignes directrices et de procédures, etc. À cet égard, il est de la responsabilité de la haute direction de s’assurer que la diligence raisonnable est mise en œuvre.

Adoptée par le Congrès américain en 1987, elle a été supprimée et remplacée par la FISMA.

Selon la Federal Information Security Management Act, toutes les agences du gouvernement fédéral américain et les organisations non gouvernementales qui fournissent des services d'information à ces agences sont tenues de mener des évaluations de sécurité basées sur les risques, conformément au cadre de gestion des risques (RMF) du NIST.

Réglementation relative au financement des sociétés cotées

Réglementation du secteur des cartes de paiement

Signifie contrôle du système et de l'organisation et est un cadre d'audit avec trois types d'audit et de reporting SOC couramment utilisés, nommés SOC1, SOC2 et SOC3.

SOC1 : Audit lié aux états financiers

SOC2 : rapports détaillés d'audit et de conformité, généralement non accessibles au public.

SOC3 : Une version simplifiée de SOC2, accessible au public.

Les exigences en matière de confidentialité font référence à la protection de la sécurité et de la confidentialité des informations personnelles pendant le traitement des informations et à la limitation de l'accès aux informations personnelles au champ d'utilisation autorisé de la partie autorisée. Essentiellement, la vie privée fait référence à la protection des informations personnelles identifiables afin de protéger le droit d'un individu à la vie privée.

1.4.2.1Informations personnelles

La cybercriminalité fait référence aux activités criminelles impliquant directement les ordinateurs ou Internet, qui comprennent principalement :

Les violations de données constituent un type particulier de cybercriminalité dans lequel des cybercriminels accèdent ou volent des informations sans autorisation. Les organisations touchées par une violation de données peuvent être confrontées à des atteintes à leur réputation, à des incidents de vol d'identité, à des amendes ou à une perte de propriété intellectuelle en raison d'un vol. Le chiffrement est un moyen simple de protéger votre organisation contre les violations de données.

Computer Fraud and Abuse Act (CFAA) : première loi pénale américaine ciblant la cybercriminalité, faisant de nombreux types de piratage informatique un crime fédéral. Les amendements de la CFAA ont rencontré une résistance.

Electronic Communications Privacy Act (ECPA) : empêche le gouvernement américain d'intercepter les communications et de stocker des informations, et le gouvernement doit répondre à des exigences strictes pour obtenir un mandat de perquisition pour les communications électroniques.

Loi sur le vol d’identité et la présomption de dissuasion : fait du vol de la valeur d’une personne un crime fédéral.

Les logiciels constituent une forme importante de propriété intellectuelle. Les organisations investissent d'importantes ressources financières et humaines dans le développement de logiciels, puis dans leur protection par le biais d'accords de licence. Il existe quatre types courants d'accords de licence :

Une responsabilité très importante des professionnels de la sécurité de l’information est de protéger la propriété intellectuelle appartenant à leur organisation contre toute utilisation ou divulgation non autorisée.

1.Droits d'auteur

2. Marques déposées

3. Brevets

4. Secrets commerciaux

Le Règlement sur le trafic d'armes (TAR) concerne tout ce qui concerne les articles de défense.

Les réglementations sur l'administration des exportations (EAR) couvrent de nombreuses grandes catégories technologiques, notamment les appareils électroniques et informatiques sensibles, les lasers, la navigation, la technologie marine, etc.

1. « Loi sur la confidentialité »

2. Loi sur la portabilité et la responsabilité de l'assurance maladie (HIPAA)

3. Loi sur la protection de la vie privée en ligne des enfants (COPPA)

4. Loi sur la modernisation des services financiers (GLBA)

5. Loi sur les technologies de l'information sur la santé pour la santé économique et clinique (HITECH)

1.《Directive sur la protection des données (DPD)＞

2. Règlement Général sur la Protection des Données (RGPD)

3. « Safe Harbor » et « Privacy Shield » sont des accords de protection de la vie privée entre les États-Unis et l'Union européenne, et ils ont expiré.

Une enquête au sein d'une organisation pour trouver la cause profonde d'un problème et le résoudre afin que l'entreprise puisse reprendre ses activités normales.

Une politique de sécurité est un ensemble d'énoncés qui décrivent très soigneusement les attentes de sécurité à long terme d'une organisation et identifient les principes et les règles qui régissent la protection des systèmes d'information et des données de l'organisation.

•Le respect des politiques est obligatoire et les politiques sont généralement approuvées par le plus haut niveau de l'organisation.

Quelques politiques de sécurité courantes : politique d'utilisation acceptable, politique de contrôle d'accès, politique de gestion des modifications, politique d'accès à distance, politique de reprise après sinistre

Les normes de sécurité précisent les détails spécifiques des contrôles de sécurité qu'une organisation doit suivre, tels que les protocoles de chiffrement approuvés par l'organisation, l'endroit où les données sont stockées, les paramètres de configuration et d'autres détails techniques et opérationnels. Lorsqu'il s'agit de normes de configuration complexes, les normes de l'industrie sont souvent utilisées, comme le Guide de configuration de la sécurité fourni par le Center for Internet Security.

Le respect des normes de sécurité est obligatoire. La ligne de base de sécurité est liée aux normes qui établissent un niveau de sécurité minimum pour un système, un réseau ou un périphérique. Si les exigences de base ne sont pas remplies, il ne peut pas être mis en ligne.

Les procédures de sécurité sont des instructions étape par étape que les employés peuvent suivre lorsqu'ils effectuent des tâches de sécurité spécifiques.

Les guides sont l'endroit où les professionnels de la sécurité fournissent des conseils aux autres membres de l'organisation, y compris les meilleures pratiques en matière de sécurité des informations. Le respect des consignes de sécurité est facultatif.

1. Commencez par établir votre équipe de projet BC, sa portée et son budget

2. Identifier les fondations commerciales critiques (CBF) et d'autres éléments commerciaux essentiels, y compris

3. Réaliser une analyse des risques sur les activités clés :

1. Le temps d'arrêt maximum tolérable (MTD) ou le temps d'arrêt maximum acceptable (MAO) représente la durée totale pendant laquelle les fonctions commerciales critiques ne sont pas disponibles. Le MTD doit être déterminé par le propriétaire du système, qui assume la responsabilité ultime du bon fonctionnement du CBF de l'organisation.

2. L’objectif de temps de récupération (RTO) est la période maximale pendant laquelle une activité critique doit reprendre après une panne pour éviter des conséquences commerciales inacceptables. Le RTO doit être inférieur ou égal à MTD.

3. L'objectif de point de récupération (RPO) est une mesure de la perte de données tolérable, exprimée en périodes de temps.

Un plan de continuité des activités est conçu pour protéger les fonctions commerciales critiques et les clients d'une organisation et garantir que l'organisation peut continuer à fonctionner efficacement dans les niveaux de service et les périodes de temps spécifiés pour répondre aux exigences légales et réglementaires, ainsi qu'aux ensembles MTD, RTO et RPO. par l'organisation.

Plan de continuité des activités Phase PCA

fonctions commerciales critiques

Menaces, vulnérabilités et risques

Plan de sauvegarde et de récupération des données

Personnel lié à la FBCP

plan de communication

Exigences en matière de tests PCA

Assurer la sécurité des personnes à l’intérieur et à l’extérieur de l’organisation en cas d’urgence est l’objectif principal du BCP. Fournissez une formation et une éducation appropriées pour que les employés sachent comment agir en cas d'urgence.

Évaluez les fonctions commerciales critiques et déterminez les ressources nécessaires en cas de sinistre. Élaborer des plans de site de sauvegarde pour les installations et capacités de traitement de données critiques afin d'assurer la continuité des opérations.

Anticipez les pannes logicielles et matérielles et développez des contrôles pour réduire les risques. Mettez en œuvre des systèmes de sauvegarde des données et des systèmes redondants, y compris des infrastructures telles que l’électricité, l’eau, les communications et la connectivité réseau.

Contexte éducatif

l'expérience professionnelle

-citoyenneté

-Dossier criminel

tests de dépistage de drogues

Grade

Historique de crédit et financier

activité sur les réseaux sociaux

Remarque : les entreprises étrangères ne prêtent généralement pas attention aux examens physiques (examens de santé physique ordinaires)

Les accords de salariés les plus courants sont les accords de non-divulgation (NDA) et les accords de non-concurrence (NCA).

1• Accord de non-divulgation (NDA)

2 • Accord de non-concurrence (ANC)

En plus des NDA et des NCA, les employés peuvent être tenus de signer d'autres exigences de l'organisation, telles qu'une politique d'utilisation acceptable (AUP), un code de conduite ou une politique sur les conflits d'intérêts.

Après avoir rejoint l'entreprise, vous devez d'abord signer un contrat de travail. Selon le poste, vous devrez peut-être signer un accord de non-divulgation (NDA) et un accord de non-concurrence (NCA). Les droits d'accès au système sont attribués en fonction du salarié. position. Ensuite, offrez une formation aux employés, y compris la culture organisationnelle, les stratégies, les processus, les compétences, etc.

Les gestionnaires doivent périodiquement examiner ou évaluer la description de poste, les tâches, les autorités et les responsabilités de chaque employé tout au long du poste d'un employé pour s'assurer qu'ils répondent toujours aux exigences du poste.

• Dérive des privilèges (dérive des privilèges) : à mesure que le contenu du travail des employés augmente, ils peuvent obtenir des autorisations qui dépassent les exigences du poste.

•Congés obligatoires : exiger que les employés s'absentent de leur travail pendant 1 à 2 semaines et soient remplacés par d'autres employés pour détecter les abus, la fraude ou la négligence.

•Collusion : réduire la probabilité que les employés soient disposés à coopérer dans un système illégal ou abusif grâce à des mesures telles que la séparation des tâches, les congés forcés, la rotation des postes et la formation polyvalente en raison du risque plus élevé de détection.

•Analyse du comportement des utilisateurs et des entités (UEBA) : analyse des utilisateurs et des entités pour aider à optimiser les plans de gestion des personnes.

Lorsque les salariés démissionnent, ils doivent prêter attention aux points suivants :

Accords et contrôles avec les fournisseurs, les consultants et les entrepreneurs Le risque multipartite existe lorsque plusieurs entités ou organisations sont impliquées dans un projet. L'accord de niveau de service (SLA) garantit que le niveau de produit ou de service du fournisseur répond aux attentes. S'il ne répond pas aux attentes, une compensation sera impliquée pour garantir la qualité du service. Les fournisseurs, consultants et entrepreneurs sont parfois appelés sous-traitance. Les organisations peuvent également améliorer l’efficacité de la gestion de l’externalisation grâce à un système de gestion des fournisseurs (VMS).

La gestion de la sécurité du personnel doit répondre aux exigences légales et réglementaires, telles que PCI DSS.

La gestion de la sécurité du personnel doit également répondre aux exigences des politiques de confidentialité, telles que le RGPD.

Rappelez aux employés leur obligation de protéger les informations et de se prémunir contre les menaces, et doivent être conscients que leurs actions peuvent être scrutées.

Supprimez les droits d'accès qui ne sont plus nécessaires lors de la réattribution et suivez le principe du moindre privilège.

La démission est divisée en volontaire et involontaire. Lorsqu'un employé part dans de bonnes conditions, il suffit de passer par le processus de séparation de l'organisation.

Si la séparation est involontaire, des mesures appropriées doivent être prises pour protéger les actifs de l'organisation.

• Entretien de sortie, rappel de la NDA signée et d'autres accords pertinents

• Fermer l'accès au système tout en informant les employés du licenciement et en effectuant des vérifications de la liste de contrôle de séparation.

• Informer les employés restants que l'employé licencié ne sera plus autorisé à entrer dans l'organisation.

La checklist de séparation comprend : la révocation des droits d'accès, la récupération des clés, badges, équipements et documents.

-Mettre en place le contrôle d'accès

Examen oral de l'échange de documents

Gérer et surveiller les hooks de maintenance (portes dérobées)

Effectuer une évaluation sur place

Examiner les processus et les politiques

Élaborer un accord de niveau de service

•Formation des employés : fournir une formation initiale et récurrente aux employés et autres membres du personnel concernés pour garantir le respect de la politique.

• Sensibilisation à la sécurité : Améliorer l'attention et la compréhension de la sécurité de l'information.

•Formation liée à l'emploi : offrir une formation spécifique en fonction des exigences du poste des employés.

•Expliquez clairement les conséquences de la politique : indiquez dans la politique les conséquences potentielles du non-respect, telles que des mesures disciplinaires, une suspension ou un licenciement.

•Conformité aux lois et réglementations : garantit que les politiques organisationnelles sont conformes aux lois, réglementations et autres obligations légales applicables.

• Cohérence de la politique : les exigences, les contrôles et les procédures de l'organisation doivent être conformes à la politique.

•Principe de minimisation : collecter uniquement les informations nécessaires pour mener à bien le processus d'emploi légitime.

• Accès restreint : fournir un accès uniquement à ceux qui ont besoin de connaître ces informations.

•Utiliser le cryptage : utilisez autant que possible la technologie de cryptage pour empêcher la lecture des informations via des canaux anormaux.

• Les risques inhérents sont ceux qui existent avant la mise en œuvre de mesures de contrôle.

• Le risque résiduel est le niveau de risque qui subsiste après la mise en place des contrôles.

Personne ou entité susceptible de violer, intentionnellement ou non, la sécurité d'un actif, comme un pirate informatique, un employé mécontent ou une catastrophe naturelle.

Les faiblesses ou vulnérabilités du système peuvent créer des risques si elles sont exploitées par des acteurs malveillants.

Un actif est tout ce qui a de la valeur, qui peut inclure des personnes, des biens et des informations.

Le risque est l’intersection entre les menaces, les vulnérabilités et les actifs. L'évaluation des risques est une série d'activités qui comprennent l'identification des menaces et des vulnérabilités potentielles et la détermination de l'impact et de la probabilité que ces menaces exploitent les vulnérabilités identifiées.

1. Identification des risques : identifier les actifs et leur valeur pour l'organisation

2. Analyse des risques : déterminer la probabilité qu'une menace exploite une vulnérabilité

3. Évaluation des risques : déterminer l'impact commercial de ces menaces potentielles

4. Traitement des risques : assurer un équilibre économique entre l'impact de la menace et le coût des contre-mesures

Cela commence par identifier les actifs de l'organisation et déterminer la valeur de ces actifs, puis identifier et décrire les vulnérabilités et les menaces qui présentent des risques pour les actifs.

L'analyse des risques commence par l'évaluation de la vulnérabilité et l'analyse des menaces, en calculant la probabilité que les risques se produisent et en les classant en fonction de leur impact.

1.10.2.4.1 Analyse qualitative des risques

1.10.2.4.2 Analyse quantitative des risques

Éliminez les risques identifiés en arrêtant ou en supprimant les activités ou technologies qui contribuent au risque.

Réduire les dommages que les risques peuvent causer en mettant en œuvre des mesures politiques et techniques.

Également appelée attribution des risques (Risk Assignmen0), la responsabilité et les pertes potentielles liées aux risques sont transférées à un tiers.

Voie courante : souscrire une assurance.

Accepter un risque devient une option lorsque le coût pour éviter, atténuer ou transférer le risque dépasse les pertes attendues de la menace réalisée.

•Concernant le personnel :

• Liés à la gestion

• Lié à la technologie :

•Connexes à la physique :

Examiner les perceptions du point de vue de la prévention, de la détection et de la correction pour garantir l’efficacité des contre-mesures aux risques. Par exemple, si le chiffrement ne peut pas résoudre un risque spécifique, essayez une autre approche, par exemple en envisageant une sauvegarde.

Assurez-vous que le coût des mesures de sécurité est proportionné à la valeur des actifs protégés.

Déterminez si la mise en œuvre et l’utilisation de contre-mesures sont trop difficiles pour éviter d’augmenter les risques dus à une utilisation incorrecte.

•Prévention : empêchez les incidents de se produire, tels que les pare-feu, les sauvegardes système, les IPS.

• Détection : identifiez l'activité des événements et les intrus potentiels, tels que 1DS.

•Correction : réparer un composant ou un système après qu'un incident se soit produit, comme l'application d'un correctif.

•Menaces : Dissuadez les attaquants potentiels, comme les clôtures, les chiens policiers.

•Récupération : remettre l'environnement à un état de fonctionnement normal, comme les sauvegardes du système et des données, les sites de récupération après sinistre.

• Compensation : fournir des mesures de contrôle alternatives.

•Inspection : l'évaluateur demande généralement à l'organisation de fournir une liste de politiques de sécurité, de fichiers de configuration, etc. pour examen, examen, observation, recherche ou analyse, et pour former une opinion préliminaire.

•Entretiens : les évaluateurs rencontrent les principales parties prenantes pour en savoir plus sur les contrôles de sécurité en place et leur fonctionnement.

. Tests : les tests confirment que les contrôles de sécurité sont mis en œuvre comme documenté, sont efficaces et fonctionnent comme prévu.

Audit interne (par exemple auto-évaluation)

• Audits externes (par exemple, régulateurs ou autres audits tiers)

•Changements importants dans le profil de risque de l'organisation

• Modifications majeures des contrôles de sécurité ou de confidentialité

• Failles de sécurité associées ou confirmées (ou autres incidents)

Contient généralement cinq niveaux :

Les six étapes du cadre de gestion des risques (RMF) dans NIST800-37Rev.2 :

Plus la modélisation des menaces est réalisée tôt, plus elle est rentable. Généralement sous les trois aspects suivants

1.

2.

3.

4. DREAD (obsolète, classement quantitatif des risques des vulnérabilités en cas de dommages, réplicabilité, exploitabilité, utilisateurs concernés, découvrabilité)

5. Autres méthodes de modélisation des menaces

• Usurpation d'identité

• Falsification des données (falsification des données)

•Répudiation

•Divulgation d'information

•Déni de service

•Élévation de privilège

PASTA est une approche de modélisation des menaces basée sur les risques qui combine les objectifs commerciaux avec les exigences techniques, rendant le résultat plus compréhensible pour la haute direction. Contrairement à STRIDE, l’approche PASTA est strictement un cadre d’identification des menaces qui fournit un processus puissant pour identifier et atténuer les menaces.

Le processus PASTA comprend les sept étapes suivantes :

Image de pièces défectueuses ou non conformes aux normes

Pièces contrefaites ou contrefaites

Image d'un composant électronique contenant un malware au niveau du micrologiciel

Un cheval de Troie a été implanté

Il existe des vulnérabilités dans la bibliothèque de composants utilisée

fuite de données

1.NIST IR 7622

2.ISO 28000

3. Directives du Centre national de cybersécurité du Royaume-Uni (NCSC)

L'ingénierie sociale est une tactique de manipulation dans laquelle un attaquant se fait passer pour quelqu'un d'autre pour tenter d'obtenir des informations sensibles.

Le phishing est la forme d’ingénierie sociale la plus courante et une source majeure de risques pour la sécurité.

Les champions de la sécurité défendent les meilleures pratiques en matière de sécurité, et ce sont des employés qui ne font pas de la sécurité leur travail principal.

La gamification est l'application d'éléments de jeu à des situations non ludiques pour engager et éduquer un public cible.

Tels que le taux d’achèvement de la formation, le nombre de participants et d’autres brefs indicateurs.

Les quiz sont un moyen efficace d'évaluer l'efficacité de la formation.

Les Journées de sensibilisation à la sécurité sont conçues pour accroître la sensibilisation à la sécurité tout en recueillant les opinions et les suggestions des employés sur les programmes de sécurité au moyen de questionnaires anonymes.

Les méthodes d'évaluation comprennent la collecte des augmentations ou des diminutions du nombre d'incidents de sécurité ou d'incidents de phishing suspectés signalés à la suite de la formation.