Le responsabilità lavorative (responsabilità Gob) si riferiscono alle attività lavorative specifiche che i dipendenti svolgono regolarmente.

Le descrizioni delle mansioni non sono specifiche del processo di reclutamento e dovrebbero essere mantenute per tutta la vita dell'organizzazione

Lo screening dei candidati per posizioni specifiche si basa sulla sensibilità e sui livelli di classificazione definiti dalla descrizione del lavoro

I controlli dei precedenti includono

Esaminando le informazioni online sul social network di un individuo, è possibile ottenere rapidamente un quadro generale dell'atteggiamento, dell'intelligenza, della lealtà, del buon senso, della diligenza, dell'onestà, del rispetto, della coerenza e della conformità con le norme sociali e/o la cultura aziendale di un individuo.

Condurre colloqui con candidati di lavoro qualificati

Come reclutare dipendenti soddisfacenti, è necessario descrivere in dettaglio le responsabilità lavorative

L'onboarding è il processo di aggiunta di nuovi dipendenti a un'organizzazione

Firmare il contratto di lavoro

Accordo di non divulgazione (NDA)

Patto di non concorrenza (NCD)

I manager dovrebbero rivedere o verificare periodicamente la descrizione del lavoro, le mansioni lavorative, i privilegi e le responsabilità di ciascun dipendente durante tutto il rapporto di lavoro del dipendente

Analisi del comportamento degli utenti (UBA)

Analisi del comportamento degli utenti e delle entità (UEBA)

Le informazioni raccolte dal monitoraggio UBA/UEBA possono essere utilizzate per migliorare le politiche, le procedure, la formazione e i relativi programmi di supervisione della sicurezza del personale.

L'offboarding è il processo opposto all'onboarding, ovvero quando un dipendente lascia l'azienda e la sua identità viene rimossa dal sistema IAM

Un processo di dimissioni completo: Ciò può includere la disabilitazione e/o l'eliminazione degli account utente, la revoca dei certificati, la revoca dei codici di accesso e la cessazione di altri privilegi specificatamente concessi. È prassi comune disabilitare l'account di un ex dipendente in modo che la sua identità venga conservata per diversi mesi a fini di controllo

Durante il processo di risoluzione, è importante avere una forte relazione tra il dipartimento di sicurezza e il dipartimento delle risorse umane (HR) per mantenere il controllo e ridurre al minimo i rischi.

La sicurezza delle dimissioni è importante

Licenziato: Il tempismo è tutto

Un accordo sul livello di servizio (SLA) è un metodo per garantire che un'organizzazione che fornisce un servizio mantenga livelli di servizio adeguati sulla base di un accordo tra il fornitore di servizi, fornitore o appaltatore e l'organizzazione del cliente

Gli SLA e i controlli per fornitori, consulenti e appaltatori rappresentano una parte importante della riduzione ed eliminazione dei rischi

Vendor Management System (VMS): VMS è una soluzione software che assiste nella gestione e nell'approvvigionamento di servizi di personale, hardware, software e altri prodotti e servizi richiesti.

L'outsourcing è un termine che generalmente si riferisce all'utilizzo di una terza parte esterna, come un fornitore, un consulente o un appaltatore, piuttosto che eseguire compiti o operazioni internamente. L'outsourcing può essere un'opzione di risposta al rischio nota come rischio di trasferimento o assegnazione

La conformità è l'atto di conformarsi o aderire a regole, politiche, regolamenti, standard o requisiti

La conformità è una forma amministrativa o gestionale di controllo di sicurezza

L'applicazione della conformità si riferisce alle sanzioni o alle conseguenze imposte per il mancato rispetto delle politiche, della formazione, delle migliori pratiche e/o delle normative

Anche la conformità è una questione normativa

Alcune definizioni di privacy

Informazioni di identificazione personale (PII)

Il Regolamento generale sulla protezione dei dati dell’Unione Europea (GDPR) (Regolamento [UE] 2016/679)

Leggi e regolamenti sulla privacy degli Stati Uniti

La gestione del rischio è un processo dettagliato

L’obiettivo principale della gestione del rischio è ridurre il rischio a un livello accettabile

I rischi per l’infrastruttura IT non riguardano solo i computer

Due elementi fondamentali della gestione del rischio

La consapevolezza del rischio è il lavoro svolto per aumentare la consapevolezza dei rischi all'interno di un'organizzazione. La consapevolezza del rischio aiuta l'organizzazione a comprendere l'importanza del rispetto delle politiche di sicurezza e le conseguenze dei fallimenti della sicurezza.

tolleranza al rischio

Risorsa: una risorsa può essere qualsiasi cosa utilizzata in un processo o attività aziendale. L'obiettivo principale è proteggere le risorse ed essere economicamente vantaggioso.

Valutazione degli asset: la valutazione degli asset è il valore monetario assegnato a un asset in base a una serie di fattori, tra cui l'importanza per l'organizzazione, l'utilizzo nei processi chiave, i costi effettivi e le spese non monetarie come tempo, attenzione, produttività e ricerca e sviluppo, ecc. ).

Minaccia: qualsiasi evento potenziale che potrebbe verificarsi e causare conseguenze avverse o inaspettate a un'organizzazione o a una risorsa specifica è una minaccia

Agente/Agente di minaccia: un agente di minaccia o un attore di minaccia sfrutta intenzionalmente una vulnerabilità.

Incidenti di minaccia: gli incidenti di minaccia sono lo sfruttamento accidentale e intenzionale delle vulnerabilità

Vettore di minaccia: il vettore di minaccia o vettore di attacco si riferisce al percorso o ai mezzi utilizzati da un attacco o da un aggressore per accedere a un bersaglio al fine di causare danni. Quelli esterni non possono essere eliminati, poiché gli stessi hacker non possono controllarli.

Vulnerabilità: la vulnerabilità è una debolezza di un asset, una debolezza nelle salvaguardie o nei controlli, o una mancanza di salvaguardie o controlli/controlli, interni, e spesso crea una passività (tecnica o gestionale)

Esposizione: l'esposizione è la probabilità che una minaccia causi danni a una risorsa

Rischio: il rischio è la probabilità che una minaccia sfrutti una vulnerabilità per causare danni a una risorsa e la gravità del danno che potrebbe essere causato.

Salvaguardia: una salvaguardia, un controllo di sicurezza, un meccanismo di protezione o un controllo è tutto ciò che elimina o riduce una vulnerabilità o protegge da una o più minacce specifiche.

Attacco: un attacco si riferisce a un attore di minacce che tenta deliberatamente di sfruttare una vulnerabilità per causare danni, perdite o perdite di risorse.

Violazione: violazione, intrusione o penetrazione si verifica quando un meccanismo di sicurezza viene aggirato o bloccato da un attore della minaccia

L'analisi del rischio inizia con un inventario di tutte le risorse organizzative. Una volta completato l'inventario, ciascuna risorsa deve essere valutata.

Costo annuo delle misure di protezione < Perdita annua prevista di produzione

Metodi di valutazione del valore

Una parte fondamentale della gestione del rischio è l’identificazione e l’esame delle minacce

Ciò comporta la creazione di un elenco quanto più esaustivo possibile delle minacce alle risorse identificate dell'organizzazione. L’elenco dovrebbe includere gli autori delle minacce nonché gli eventi di minaccia

Quando compili un elenco delle minacce, assicurati di considerare le minacce provenienti da una varietà di fonti.

Un elenco dettagliato e formale di esempi, concetti e classificazioni di minacce

Nella maggior parte dei casi, sarà un team a eseguire la valutazione e l’analisi del rischio

La valutazione/analisi del rischio è principalmente responsabilità del senior management

L’alta direzione è responsabile dell’avvio e del supporto dell’analisi e della valutazione dei rischi definendo l’ambito e gli obiettivi del lavoro

Il rischio è individuale, o almeno specifico dell'organizzazione, in base alle sue risorse, minacce, agenti di minaccia/soggetti di minaccia e alla loro tolleranza al rischio.

metodi di valutazione del rischio

L’obiettivo della valutazione del rischio è identificare i rischi (sulla base delle combinazioni asset-minaccia) e dare loro la priorità in base all’importanza

La combinazione di analisi quantitative e qualitative nel processo di valutazione del rischio finale di un'organizzazione è chiamata valutazione ibrida o analisi ibrida

Metodi di analisi qualitativa del rischio

Metodi di analisi quantitativa del rischio

Mitigazione, mitigazione, riduzione del rischio (mitigazione del rischio): ridurre il rischio o mitigare il rischio si riferisce all'implementazione di misure di protezione, controlli di sicurezza

Assegnazione del rischio: L'assegnazione o il trasferimento del rischio si riferisce al trasferimento delle perdite causate dai rischi a un'altra entità o organizzazione.

Deterrenza del rischio: la deterrenza del rischio è il processo volto a scoraggiare potenziali trasgressori della sicurezza e delle politiche.

Evitare il rischio: l'evitamento del rischio è il processo di selezione di opzioni o attività alternative meno rischiose rispetto all'opzione predefinita, generica, conveniente o economica. Ad esempio, scegliere di volare verso la tua destinazione (piuttosto che guidare lì) è un modo per evitare rischi

Accettazione del rischio: l'accettazione del rischio o tolleranza al rischio è il risultato di un'analisi costi/benefici che mostra che il costo delle misure di controllo supererà le potenziali perdite causate dal rischio.

Rifiuto del rischio: una risposta a un rischio inaccettabile ma possibile è rifiutare o ignorare il rischio.

Rischio intrinseco (rischio iniziale/iniziale): è il livello di rischio naturale, nativo o predefinito esistente in un ambiente, sistema o prodotto prima che venga eseguita qualsiasi attività di gestione del rischio.

Rischio residuo: rischio che il management sceglie di accettare anziché mitigare.

Rischio totale: si riferisce al rischio totale affrontato dall'organizzazione senza implementare misure di protezione.

Gap di controllo: si riferisce al rischio ridotto implementando misure di protezione

Per ciascuna combinazione risorsa-minaccia (ovvero rischio identificato), deve essere compilato un elenco delle misure di protezione possibili e disponibili.

Fattori che influenzano il costo annuale delle misure di protezione (ACS)

Formula di calcolo costi/benefici per misure di protezione specifiche contro rischi specifici per beni specifici

Varie formule relative all'analisi quantitativa del rischio

I controlli di sicurezza, le contromisure di sicurezza e le misure di protezione possono essere amministrativi, logici/tecnici o fisici. Questi tre meccanismi di sicurezza dovrebbero essere implementati secondo un concetto stratificato e un approccio di difesa in profondità per fornire i massimi benefici (vedere Figura 2.4). Approccio su tre fronti

Controlli amministrativi: politiche e procedure specificate in conformità con la politica di sicurezza di un'organizzazione e altre normative o requisiti

Controlli logici/tecnici: le misure includono meccanismi hardware o software che gestiscono l'accesso e forniscono sicurezza per le risorse e i sistemi IT.

Controlli fisici: meccanismi di sicurezza progettati per proteggere strutture e oggetti del mondo reale

Il "controllo di sicurezza" si riferisce all'esecuzione di vari compiti di controllo

Controlli preventivi: implementazione di controlli preventivi per contrastare o impedire in anticipo il verificarsi di attività involontarie o non autorizzate

Controlli deterrenti: implementare preventivamente controlli deterrenti per prevenire violazioni delle policy di sicurezza

Controlli di rilevamento: distribuire controlli di rilevamento per rilevare o rilevare attività impreviste o non autorizzate,

Controlli compensativi: aiutano a migliorare e supportare le policy di sicurezza fornendo varie opzioni per altri controlli esistenti.

Controlli correttivi: piccoli eventi che modificano l'ambiente per ripristinare il sistema a uno stato normale dal verificarsi di attività impreviste o non autorizzate. dopo

Controllo riparativo: un'estensione del controllo correttivo, ma con capacità più avanzate e complesse, a posteriori

Controllo delle istruzioni: utilizzato per guidare, limitare o controllare il comportamento dei soggetti per forzare o incoraggiare i soggetti a rispettare le politiche di sicurezza

Valutazione del controllo di sicurezza (SCA): una valutazione formale di vari meccanismi di un'infrastruttura di sicurezza basata su linee di base o aspettative di affidabilità.

Gli obiettivi della SCA sono garantire l'efficacia dei meccanismi di sicurezza, valutare la qualità e la completezza dei processi di gestione del rischio di un'organizzazione e generare report sui punti di forza e di debolezza dell'infrastruttura di sicurezza implementata.

Le agenzie federali implementano la SCA sulla base del NIST SP 800-53 Rev.5 “Controlli di sicurezza e privacy per sistemi informativi e organizzazioni”

La SCA è definita come un processo di governo

I benefici forniti dai controlli di sicurezza dovrebbero essere monitorabili e misurabili

Reporting sui rischi: include la preparazione di un report sui rischi e la presentazione del report alle parti interessate

Registro dei rischi o registro dei rischi: è un documento di inventario dei rischi che elenca tutti i rischi identificati all'interno di un'organizzazione o sistema o all'interno di un singolo progetto

Matrice del rischio o mappa termica del rischio: è una forma di valutazione del rischio eseguita su un grafico o diagramma di base. A volte viene chiamata valutazione qualitativa del rischio

Punti di prova: quali sono le parti interessate e il pubblico da considerare?

Punti di prova: considerare il contenuto del report, le misure di miglioramento o i suggerimenti di miglioramento

La sicurezza è in continua evoluzione. Pertanto, qualsiasi soluzione di sicurezza implementata dovrà essere aggiornata nel tempo.

Valutare i programmi di gestione del rischio aziendale (ERM) utilizzando il modello di maturità del rischio (RMM)

Livello RMM

Rischi legati alle apparecchiature legacy

Un quadro di rischio è una guida o una metodologia su come valutare, affrontare e monitorare i rischi

quadro di gestione del rischio (RMF)

Modellazione delle minacce in fase di progettazione, sicurezza fin dalla progettazione

Quadro di sicurezza informatica (QSC)

Documento ISO/IEC 31000 "Gestione dei rischi - Guida".

Altri quadri

persuadere qualcuno a compiere un'azione non autorizzata

Convincere qualcuno a rivelare informazioni riservate.

Istruire il personale sugli attacchi di ingegneria sociale e su come riconoscere le firme di attacco comuni.

L'autenticazione è richiesta quando si eseguono attività per le persone al telefono.

Definisce informazioni riservate che non devono mai essere comunicate tramite comunicazioni di solo testo come telefonate o e-mail standard.

Verificare sempre le credenziali del personale di manutenzione e verificare che una persona autorizzata abbia effettuato l'effettiva chiamata di servizio.

Non seguire mai le istruzioni contenute in un'e-mail senza verificare le informazioni con almeno due fonti indipendenti e affidabili

Presta attenzione quando tratti con qualcuno che non conosci o che non ti conosce, di persona, al telefono o su Internet/online

La misura più importante per difendersi dagli attacchi di ingegneria sociale è l’educazione e la sensibilizzazione degli utenti

Autorità: è una tecnica efficace perché è probabile che la maggior parte delle persone risponda in modo sottomesso all'autorità. La chiave è convincere l'obiettivo che l'aggressore è qualcuno con autorizzazioni interne o esterne valide

Intimidazione: a volte può essere vista come un derivato del principio di autorità. L'intimidazione utilizza l'autorità, la fiducia o anche la minaccia di danno per spingere qualcuno a eseguire un ordine o un'istruzione

Consenso: o prova sociale è l'atto di attingere alle tendenze naturali di una persona. Le persone tendono a imitare ciò che gli altri stanno facendo o hanno fatto in passato

Scarsità: è una tecnica utilizzata per far stimare a qualcuno che un oggetto abbia un valore maggiore a causa della sua scarsità. Ciò potrebbe riguardare prodotti realizzati solo in piccole quantità o con opportunità limitate, oppure potrebbe essere correlato ai pochi prodotti che rimangono dopo che la maggior parte dell'inventario è stata venduta.

Familiarità: o simpatia è un principio di ingegneria sociale che tenta di sfruttare la fiducia intrinseca di una persona nelle cose familiari.

Fiducia: secondo questo principio di ingegneria sociale, l’aggressore cerca di costruire una relazione con la vittima.

Urgenza: spesso associata alla scarsità, poiché la scarsità rappresenta un rischio maggiore di perdere qualcosa, quindi aumenta la necessità di agire rapidamente.

L'acquisizione di informazioni è l'attività di raccolta o aggregazione di informazioni da sistemi o persone.

Una preposizione è un termine, un'espressione o una frase aggiunta all'inizio o al titolo di altre comunicazioni. Le preposizioni vengono spesso utilizzate per perfezionare ulteriormente o creare un pretesto per attacchi ingegnerizzati, come spam, hoax e phishing

Il phishing è una forma di attacco ingegneristico incentrato sul furto di credenziali o identità da qualsiasi potenziale bersaglio.

Download guidati: quando gli utenti visitano un sito Web, il malware viene installato a loro insaputa. I download drive-by sfruttano le vulnerabilità dei browser o dei plug-in

Misure difensive contro il phishing

Lo spear phishing è una forma di phishing più mirata, in cui i messaggi vengono creati appositamente per prendere di mira un gruppo specifico di utenti

Proteggiti dallo spear phishing

Il Whaling è una variante dello spear phishing che prende di mira specifici individui di alto valore (per titolo, settore, resoconti dei media, ecc.) come amministratori delegati e altri dirigenti di livello C. Manager, amministratori o clienti con un patrimonio netto elevato

Il phishing o smishing SMS (Short Message Service) è un attacco di ingegneria sociale che si verifica su o attraverso servizi di messaggistica di testo standard

Il Vishing (ovvero il phishing vocale) o SplT (Spam telefonico su Internet) è un phishing condotto tramite qualsiasi sistema telefonico o di comunicazione vocale.

Modo

Lo spam è qualsiasi tipo di email indesiderata e/o non richiesta

Lo spallamento è un tipo di attacco di ingegneria sociale che in genere si verifica nel mondo reale o faccia a faccia.

Lo spallamento avviene quando qualcuno è in grado di vedere la tastiera o il monitor di un utente.

Una truffa sulle fatture è un attacco di ingegneria sociale che in genere comporta la fornitura di una fattura falsa e quindi la sollecitazione al pagamento nel tentativo di rubare fondi a un'organizzazione o a un individuo.

Una bufala è una forma di ingegneria sociale progettata per indurre un target a eseguire azioni che causeranno problemi o comprometteranno la sua sicurezza IT.

L'impersonificazione è l'atto di assumere l'identità di qualcun altro

È possibile accedere tramite personale, telefono, e-mail o conto della persona o attraverso qualsiasi altro mezzo di comunicazione. L'impersonificazione può anche essere definita travestimento, inganno o addirittura frode d'identità

Il pedinamento si verifica quando un'entità non autorizzata utilizza l'autorizzazione di un dipendente legittimo per entrare in una struttura all'insaputa del dipendente.

Un problema simile al pedinamento è il piggybacking. Il piggybacking si verifica quando un'entità non autorizzata ottiene il consenso della vittima attraverso l'inganno ed entra in una struttura con l'autorizzazione del personale legittimo

Le esche si verificano quando gli aggressori posizionano unità USB, dischi o persino portafogli in luoghi in cui i dipendenti potrebbero incontrarli.

Disponibili doppie porte per evitare

L'immersione nei cassonetti è l'atto di scavare tra rifiuti, attrezzature abbandonate o siti abbandonati per ottenere informazioni su un'organizzazione o un individuo target

Le raccolte tipiche includono vecchi calendari, fogli di chiamate, verbali di riunioni scritti a mano, moduli di scarto, scatole di prodotti, manuali utente, post-it, rapporti stampati o fogli di prova della stampante.

Il furto d'identità e la frode d'identità si riferiscono a tutti i tipi di reati che comportano l'ottenimento e l'utilizzo illegale dei dati personali di un'altra persona in modo fraudolento o ingannevole, solitamente a scopo di lucro

Frode: chiamare vero qualcosa di falso. La frode d'identità avviene quando affermi falsamente di essere qualcun altro utilizzando le informazioni rubate alla vittima

Inganno: si riferisce a qualsiasi atto volto a nascondere un'identità valida, Questa operazione viene solitamente eseguita utilizzando un'altra identità.

Il Typo squatting è la pratica di acquisire e reindirizzare il traffico quando un utente inserisce erroneamente il nome di dominio o l'indirizzo 1P di una risorsa di destinazione.

Ortografia errata del nome di dominio

Dirottamento dell'URL

Una campagna di influenza è un attacco di ingegneria sociale che tenta di guidare, modellare o cambiare l’opinione pubblica. Gli hacker possono lanciare tali attacchi contro individui o organizzazioni, ma la maggior parte delle campagne di influenza sembrano essere lanciate dagli stati-nazione contro i loro nemici esterni, reali o percepiti.

guerra ibrida

mezzi di comunicazione sociale

Un prerequisito per implementare la formazione sulla sicurezza è stabilire la consapevolezza della sicurezza. L’obiettivo della sensibilizzazione alla sicurezza è convincere gli utenti a mettere la sicurezza al primo posto e a riconoscerlo

Tutto il personale deve essere pienamente consapevole delle proprie responsabilità e dei propri obblighi in materia di sicurezza. Sono addestrati a sapere cosa fare e cosa non fare.

La formazione si riferisce all'insegnamento ai dipendenti di svolgere le proprie attività lavorative e di seguire le politiche di sicurezza. La formazione è solitamente organizzata dall'organizzazione ed è mirata a gruppi di dipendenti con funzioni lavorative simili.

L'istruzione è un lavoro più dettagliato in cui gli studenti/utenti imparano molto più di quanto abbiano effettivamente bisogno di sapere per completare le loro attività lavorative

Cambiare il focus degli obiettivi formativi. A volte l'attenzione è rivolta all'individuo, a volte al cliente, a volte all'organizzazione.

Modificare l'ordine o il focus degli argomenti di formazione. Puoi concentrare una formazione sull'ingegneria sociale, la successiva sulla sicurezza mobile e la successiva sulla sicurezza domestica e in viaggio.

Utilizzare una varietà di metodi di presentazione, come presentazioni dal vivo, video preregistrati, software per computer/software di simulazione, esperienze di realtà virtuale (VR), formazione fuori sede, siti Web interattivi o letture assegnate da corsi preparati o libri già pronti

Attraverso il gioco di ruolo, i partecipanti interpretano attaccanti e difensori e diverse persone possono fornire idee relative alla difesa o alla risposta a un attacco.

È importante che tutti i materiali formativi siano sottoposti a revisioni regolari dei contenuti. Le revisioni aiutano a garantire che i materiali di formazione e le presentazioni siano in linea con gli obiettivi aziendali, la missione dell'organizzazione e gli obiettivi di sicurezza

Il modo più efficace per rilevare e valutare il servizio sociale