Galeria de mapas mentais Notas de Estudo CISSP - Domínio 1 (Segurança e Gerenciamento de Riscos)
Revisão do exame CISSP, resumo dos pontos de conhecimento e exercícios importantes em segurança e gerenciamento de riscos do Domínio 1, cheio de informações úteis, amigos necessitados, apressem-se e coletem-nos!
Editado em 2024-02-12 08:29:54A segunda unidade do Curso Obrigatório de Biologia resumiu e organizou os pontos de conhecimento, abrangendo todos os conteúdos básicos, o que é muito conveniente para todos aprenderem. Adequado para revisão e visualização de exames para melhorar a eficiência do aprendizado. Apresse-se e colete-o para aprender juntos!
Este é um mapa mental sobre Extração e corrosão de mim. O conteúdo principal inclui: Corrosão de metais, Extração de metais e a série de reatividade.
Este é um mapa mental sobre Reatividade de metais. O conteúdo principal inclui: Reações de deslocamento de metais, A série de reatividade de metais.
A segunda unidade do Curso Obrigatório de Biologia resumiu e organizou os pontos de conhecimento, abrangendo todos os conteúdos básicos, o que é muito conveniente para todos aprenderem. Adequado para revisão e visualização de exames para melhorar a eficiência do aprendizado. Apresse-se e colete-o para aprender juntos!
Este é um mapa mental sobre Extração e corrosão de mim. O conteúdo principal inclui: Corrosão de metais, Extração de metais e a série de reatividade.
Este é um mapa mental sobre Reatividade de metais. O conteúdo principal inclui: Reações de deslocamento de metais, A série de reatividade de metais.
Notas de Estudo CISSP - Domínio 1 (Segurança e Gerenciamento de Riscos)
Pontos de conhecimento
1.2.Trigêmeo CIA
Confidencialidade
A confidencialidade refere-se à prevenção do acesso aos ativos de informação por entidades não autorizadas, sejam elas pessoas ou processos.
Integridade (Intearitv)
A proteção de integridade evita alterações não autorizadas nos dados.
Disponibilidade
Disponibilidade significa que as entidades investidoras têm acesso oportuno e ininterrupto aos objetos.
Autenticidade (autenticidade)
Autenticidade é um conceito de segurança de que os dados são autênticos ou genuínos a partir da fonte que afirmam conter: integridade e não repúdio.
não repúdio
O não repúdio garante que o sujeito de uma atividade ou a pessoa que causou um evento não possa negar que o evento ocorreu.
Segurança Equilibrada
Cada organização terá prioridades diferentes para considerar a CIA com base nas suas próprias circunstâncias.
1.3 Avaliar e aplicar princípios de governança de segurança
As funções de segurança estão alinhadas com as estratégias e objetivos de negócios
Ao construir a função de segurança da sua organização, você deve primeiro projetar uma estratégia de segurança que seja consistente com a estratégia geral de negócios e a declaração de missão da sua organização. Você deve desenvolver um conjunto de metas e objetivos específicos, mensuráveis, alcançáveis, relevantes e com prazo determinado para ajudá-lo a manter efetivamente a confidencialidade, integridade e disponibilidade dos sistemas e informações da Empresa, sem comprometer a capacidade da organização de atingir suas metas e objetivos de negócios.
A execução de um programa de segurança eficaz exige uma consideração cuidadosa das necessidades de negócios e dos caminhos de batalha organizacionais, bem como dos requisitos legais e de conformidade, e exige governança em toda a organização para gerenciar a eficácia dos recursos de segurança.
1.3.1. Processos organizacionais
governança de segurança
Comitês de Governança
O Conselho de Governança é composto por executivos responsáveis pela gestão de todos os riscos para a organização, com o objetivo principal de fornecer supervisão para a função de segurança da organização, garantindo ao mesmo tempo que a função de segurança continua a servir as necessidades da organização e das suas partes interessadas. Eles revisam projetos em andamento e planejados, métricas remotas e quaisquer outras questões de segurança que possam preocupar toda a empresa.
Fusões e Aquisições (M&A)
Cada aquisição traz um conjunto único de circunstâncias, e os especialistas em segurança de ambas as organizações devem se reunir para avaliar os controles de segurança de cada organização e descobrir como eliminar redundâncias e garantir a contenção do sistema.
Possíveis pontos de risco:
•Conteúdo desconhecido: Como as instalações de TI, os controles e os processos de segurança serão integrados aos sistemas existentes?
• Novos vetores de ataque: Se a organização atual utiliza apenas sistemas Windows e Linux, a organização adquirida utiliza sistemas Macos.
•Impacto nos recursos: Se a mão-de-obra existente pode garantir o funcionamento normal das funções existentes. Você pode receber com sucesso o novo sistema?
•Funcionários insatisfeitos: funcionários insatisfeitos são uma séria ameaça interna
Contramedidas:
•Revisar as políticas e procedimentos de segurança da informação da empresa
•Revisar os ativos de dados da empresa. e identificar quaisquer requisitos regulatórios ou de conformidade aplicáveis (por exemplo, PCl, HIPAA, GDPR, etc.)
•Revisar a política de segurança pessoal da organização
•Identificar quaisquer aplicativos proprietários ou personalizados gerenciados pela empresa e exigir testes de segurança de aplicativos estáticos e dinâmicos para demonstrar sua postura de segurança.
•Zhouqiu fornece os resultados de testes de penetração recentes (pentest), incluindo testes de rede, sistema operacional, aplicativos e banco de dados.
•Revisar o uso que a organização faz de software de terceiros e de código aberto para garantir que o software seja seguro e devidamente licenciado.
1.3.2.
Um desinvestimento é a separação de uma parte de um negócio em uma organização independente
Ações que podem ser tomadas:
•Identificar e classificar todos os ativos envolvidos no desinvestimento, incluindo hardware, software e ativos de informação;
•Desacople os sistemas afetados da infraestrutura restante.
•Revise todos os direitos de acesso.
• Consulte suas equipes jurídicas e de conformidade para garantir que você esteja seguindo todos os requisitos regulatórios e de conformidade necessários relativos à retenção, exclusão de dados, etc.
1.3.3 Funções e responsabilidades organizacionais.
1.3.3.1 Diretor de Segurança da Informação (CISO)
O diretor de segurança da informação é o executivo sênior responsável pela gestão geral e supervisão do programa de segurança da informação dentro de uma organização.
O diretor de segurança da informação conduz a estratégia e a visão de segurança da organização e é o responsável final pela segurança dos sistemas e das informações da empresa.
1.3.3.2 Diretor de Segurança (CSO)
O CSO é um executivo sênior de uma organização e normalmente é responsável por todas as questões de segurança física e pessoal.
Muitas organizações fundiram as responsabilidades do CSO com a função do CISO
1.3.4. Estrutura de controle de segurança
1.3.4.1 Estrutura de controle de segurança
São medidas de proteção técnicas, operacionais ou administrativas usadas por uma organização para prevenir, detectar, reduzir ou combater ameaças à segurança.
1.3.4.2 Tipo de controle de segurança:
Controles técnicos: proteções e contramedidas baseadas no sistema, como firewalls, I1DS/PS e prevenção contra perda de dados (DLP) •
Controles operacionais: Medidas de proteção e contramedidas executadas principalmente por humanos, como guardas de segurança.
Controles de gestão: incluem políticas, procedimentos e outras contramedidas para controlar os riscos de segurança da informação.
1.3.4.3 Estrutura comum de controle de segurança:
1.3.5. Seja prudente e responsável.
1.3.5.1 Cuidados devidos
O princípio da cautela refere-se ao comportamento razoável e prudente para proteger a segurança da informação, incluindo a manutenção da confidencialidade, integridade e disponibilidade da informação, e aplica-se a todas as pessoas. Este princípio aplica-se a qualquer pessoa ou organização, independentemente do seu nível de especialização em segurança da informação.
1.3.5.2 Devida Diligência
A devida diligência refere-se a uma série de medidas tomadas em segurança da informação para garantir que medidas de segurança razoáveis foram implementadas e funcionam de forma eficaz. Isso inclui o desenvolvimento de uma estrutura formal de segurança, o desenvolvimento de políticas, padrões, linhas de base, diretrizes e procedimentos de segurança e muito mais. Neste sentido, é responsabilidade da alta administração garantir que a devida diligência seja realizada.
1.4 Determinar conformidade e outros requisitos
1.4.1. Normas contratuais, legais, industriais e requisitos regulatórios.
O CISSP define conformidade como conformidade com mandatos, incluindo o conjunto de atividades que uma organização realiza para compreender e cumprir todas as leis, requisitos regulamentares, padrões da indústria e acordos contratuais aplicáveis. Os profissionais de segurança devem compreender as diferentes leis nacionais, regionais e estaduais que se aplicam aos seus negócios.
1.4.1.1 "Lei de Segurança Informática"
Aprovado pelo Congresso dos EUA em 1987, foi removido e substituído pela FISMA.
1.4.1.2 "FISMA"
Pela Lei Federal de Gerenciamento de Segurança da Informação, todas as agências governamentais federais dos EUA e organizações não governamentais que fornecem serviços de informação a essas agências são obrigadas a realizar avaliações de segurança baseadas em risco, consistentes com a Estrutura de Gerenciamento de Risco (RMF) do NIST.
1.4.1.3 "SOX"
Regulamentos relacionados com o financiamento de empresas cotadas
1.4.1.4 "PCI-DSS"
Regulamentações da indústria de cartões de pagamento
1.4.1.5 "SOC"
Significa controle de sistema e organizacional e é uma estrutura de auditoria com três tipos de auditoria e relatórios SOC comumente usados, denominados SOC1, SOC2 e SOC3.
SOC1: Auditoria relacionada às demonstrações financeiras
SOC2: Relatórios detalhados de auditoria e conformidade, geralmente não abertos ao público.
SOC3: Uma versão simplificada do SOC2, disponível ao público.
1.4.2. Requisitos de privacidade
Os requisitos de privacidade referem-se à proteção da segurança e confidencialidade das informações pessoais durante o processamento de informações e à limitação do acesso às informações pessoais ao escopo de uso autorizado da parte autorizada. Em essência, privacidade refere-se à proteção de informações pessoalmente identificáveis para proteger o direito de um indivíduo à privacidade.
1.4.2.1PII
Informações de identificação pessoal (PII), quaisquer informações que possam identificar um indivíduo, como seu nome, endereço, número de telefone, número de cartão bancário, carteira de motorista e número de seguro social (carteira de identidade), etc.
1.5 Compreender as questões legais e regulamentares relacionadas com a segurança da informação como um todo.
1.5.1. Cibercriminalidade e violações de dados
1.5.1.1 Crime Cibernético
O cibercrime refere-se a atividades criminosas que envolvem diretamente computadores ou a Internet, que incluem principalmente:
1. Crimes contra pessoas, como roubo de identidade
2 Violação de propriedade, como danificar computadores e roubar propriedade intelectual
3. Crimes contra o governo, como roubo de informações confidenciais
1.5.1.2 Vazamento de dados
As violações de dados são um tipo especial de crime cibernético em que as informações são acessadas ou roubadas por criminosos cibernéticos sem autorização. As organizações afetadas por uma violação de dados podem enfrentar danos à reputação, incidentes de roubo de identidade, multas ou perda de propriedade intelectual devido ao roubo. A criptografia é uma maneira simples de proteger sua organização contra violações de dados.
1.5.1.3 Leis relevantes dos EUA:
Lei de Fraude e Abuso de Computadores (CFAA): A primeira lei criminal da América que visa o crime cibernético, tornando muitos tipos de hacking um crime federal. As alterações da CFAA encontraram resistência.
Lei de Privacidade de Comunicações Eletrônicas (ECPA): Restringe o governo dos EUA de interceptar comunicações e armazenar informações, e o governo deve atender a requisitos rigorosos para obter um mandado de busca para comunicações eletrônicas.
Lei de Roubo de Identidade e Dissuasão de Suposições: Torna o roubo do valor de uma pessoa um crime federal.
1.5.2 Requisitos de Licenciamento e Propriedade Intelectual (PI).
1.5.2.1 Licença de Software
O software é uma forma importante de propriedade intelectual. As organizações investem recursos financeiros e humanos significativos no desenvolvimento de software e depois na proteção do software através de acordos de licenciamento. Existem quatro tipos comuns de acordos de licença:
1Licença Contratual: Use um contrato por escrito entre o fornecedor do software e o cliente descrevendo suas respectivas responsabilidades
2 Eficazes na abertura: Tornam-se eficazes quando o usuário rompe o lacre da embalagem.
3. Clique em Contrato: os clientes só precisam clicar no botão "Concordo" ao comprar software ou registrar-se para serviços.
4. Licença de serviço em nuvem: contrato click-through para migração para nuvem
1.5.2.2 Direitos de propriedade intelectual
Uma responsabilidade muito importante dos profissionais de segurança da informação é proteger a propriedade intelectual pertencente à sua organização contra uso ou divulgação não autorizada.
1. Direitos autorais
Os direitos autorais protegem os trabalhos criativos contra apropriação indevida. Essas obras podem incluir categorias como livros, filmes, canções, poesia, criações artísticas e software de computador.
A proteção de direitos autorais é concedida automaticamente ao criador no momento da criação, mas observe que as criações que ocorrem enquanto você está empregado pertencem ao empregador. A proteção dos direitos autorais dura 70 anos após a morte do autor. Os direitos autorais são representados pelo símbolo do diagrama C mostrado aqui.
2. Marcas Registradas
As marcas registradas são usadas para proteger as palavras e símbolos que você usa para identificar seus produtos e serviços. As informações protegidas por uma marca registrada incluem nomes de marcas, logotipos e slogans. As marcas podem existir indefinidamente, mas o registro deve ser renovado a cada 10 anos. As marcas registradas são representadas pelo símbolo ™M e, uma vez concedido o status de registro pelo governo, podem ser representadas pelo símbolo R circulado.
3.Patentes
As patentes protegem as invenções e proporcionam ao inventor direitos exclusivos de uso da sua invenção por um período de tempo. Uma vez concedidos, os direitos de patente geralmente duram 20 anos após a data do depósito. Para obter uma patente, os inventores devem demonstrar que a sua ideia atende a três critérios:
Primeiro, deve ser novo;
Segundo, deve ser útil;
Finalmente, deve ser algo que não seja óbvio;
4. Segredos comerciais
Com segredo comercial, o proprietário não conta a ninguém sobre a invenção e mantém os detalhes em segredo. Desde que a organização possa proteger o segredo, ela goza de direitos exclusivos sobre a invenção. A desvantagem é que, se outros descobrirem como a invenção funciona, estarão livres para utilizá-la. Restrinja o conhecimento daqueles dentro da organização que conhecem segredos comerciais por meio de um acordo de não divulgação (NDA).
1.5.3 Controles de Importação e Exportação
Muitos países têm requisitos para os tipos de informações e bens que podem atravessar fronteiras internacionais. Os profissionais de segurança da informação devem compreender os vários controlos de importação e exportação que se aplicam à sua indústria e garantir que as suas atividades cumprem estes regulamentos.
1.5.3.1 Controles de Importação/Exportação dos Estados Unidos
O Regulamento sobre Tráfico de Armas (TAR) é qualquer coisa relacionada a artigos de defesa
Os Regulamentos de Administração de Exportação (EAR) cobrem muitas categorias amplas de tecnologia, incluindo eletrônicos e computadores sensíveis, lasers, navegação, tecnologia marítima e muito mais.
1.5.4. Fluxo de dados transfronteiriço
Os fluxos de dados transfronteiriços centram-se em contornar os requisitos nacionais que restringem a entrada ou saída de determinados dados numa localização geográfica ou jurisdição específica. Por exemplo: a “Lei de Cibersegurança” da China exige que os dados dos cidadãos chineses recolhidos na China sejam mantidos na China e não possam ser transferidos para o estrangeiro sem a permissão do governo chinês.
1.5.5.
Os dois elementos mais comuns de informações privadas são informações de identificação pessoal, ou PLL, e informações de saúde protegidas, ou PHl.
1.5.5.1 Leis de privacidade relevantes nos Estados Unidos
1. "Lei de Privacidade"
Regula e rege principalmente a coleta, manutenção, uso e disseminação de PII por agências governamentais dos EUA.
2. Lei de Responsabilidade e Portabilidade de Seguro Saúde (HIPAA)
Exige que hospitais, médicos, companhias de seguros e outras organizações que lidam ou armazenam informações de PHI adotem medidas de segurança rigorosas.
3.Lei de Proteção à Privacidade Online das Crianças (COPPA)
Existem diretrizes rígidas para que os negócios on-line protejam a privacidade de crianças menores de 13 anos de idade.
4. Lei de Modernização dos Serviços Financeiros (GLBA)
Propor requisitos regulamentares para que as instituições financeiras troquem informações dos clientes. Exige que as agências implementem controles de segurança apropriados para proteger os dados pessoais de seus clientes.
5. Lei de Tecnologia da Informação em Saúde para Saúde Econômica e Clínica (HITECH)
O projeto amplia as proteções de privacidade da HIPAA e impõe penalidades mais severas. Também foram introduzidas regras de notificação de violação, exigindo a divulgação às partes afetadas no prazo de 60 dias após a violação.
1.5.5.2 Leis de privacidade relevantes da UE
1.《Diretiva de Proteção de Dados (DPD)>
Regula o processamento de dados pessoais de cidadãos europeus. É a primeira lei de privacidade importante na União Europeia e é considerada o regulamento básico de privacidade em toda a Europa. Foi substituído pelo GDPR subsequente.
2. Regulamento Geral de Proteção de Dados (RGPD)
Estabelece sete princípios para o tratamento de dados pessoais:
1) Legalidade, justiça e transparência: Obter e processar dados pessoais de acordo com as leis aplicáveis, e informar plenamente aos usuários como seus dados serão utilizados.
2) Limitação da finalidade: Determinar a finalidade “específica, clara e legítima” da coleta de dados e informá-los dessa finalidade
3) Minimização de Dados: Coletar e processar a quantidade mínima de dados necessária para fornecer os serviços acordados.
4) Precisão: Garantir que os dados pessoais permaneçam “precisos e, quando necessário, atualizados”.
5) Limitação de armazenamento: Os dados pessoais são armazenados apenas durante o tempo necessário à prestação dos serviços acordados. Cumprir o “direito ao esquecimento”
6) Integridade e confidencialidade
7) Responsabilidade: Os controladores de dados (ou seja, a parte que armazena e processa dados pessoais) devem ser capazes de demonstrar a conformidade com todos os requisitos.
Nota: Se a sua organização armazena ou processa dados pessoais de cidadãos ou residentes da UE, o RGPD aplica-se a si, independentemente de a sua empresa estar localizada na UE. E exige que os controladores de dados notifiquem as partes relevantes dentro de 72 horas após tomarem conhecimento de uma violação de dados pessoais. Para a partilha transfronteiriça de informações, devem ser utilizadas cláusulas contratuais padrão ou regras corporativas vinculativas.
3. “Safe Harbor” e “Privacy Shield” são acordos de proteção de privacidade entre os Estados Unidos e a União Europeia e ambos expiraram.
1.6. Compreender os requisitos do tipo de pesquisa
1.6.1. Tipo de ajuste
1.6.1.1 Investigação administrativa (Administrativa)
Uma investigação dentro de uma organização para encontrar a causa raiz de um problema e resolvê-lo para que a empresa possa retomar as operações normais.
1.6.1.2 Investigação Criminal (Criminal)
Uma investigação conduzida por uma agência governamental que investiga violações de leis criminais.
O mais alto padrão de prova: além de qualquer dúvida razoável.
1.6.1.3 Investigação Civil (Civil)
Uma investigação conduzida por uma agência governamental que investiga violações de leis criminais.
O mais alto padrão de prova: além de qualquer dúvida razoável.
1.6.1.4 Regulatório
Investigações de agências governamentais sobre possíveis violações da legislação administrativa ou de reguladores independentes sobre violações dos padrões do setor.
As investigações regulatórias podem ser de natureza civil ou criminal.
1.7. Desenvolver, documentar e implementar políticas, padrões, procedimentos e diretrizes de segurança
1.7.1. Quadro da política de segurança
17.1.1 Políticas de Segurança (Políticas)
Uma política de segurança é um conjunto de declarações que descreve cuidadosamente as expectativas de segurança de longo prazo de uma organização e identifica os princípios e regras que regem a proteção dos sistemas de informação e dos dados na organização.
•O cumprimento das políticas é obrigatório e as políticas são geralmente aprovadas pelo mais alto nível da organização.
Algumas políticas de segurança comuns: política de uso aceitável, política de controle de acesso, política de gerenciamento de mudanças, política de acesso remoto, política de recuperação de desastres
1.7.1.2 Normas de segurança (Normas)
Os padrões de segurança especificam os detalhes específicos dos controles de segurança que uma organização deve seguir, como protocolos de criptografia aprovados pela organização, onde os dados são armazenados, parâmetros de configuração e outros detalhes técnicos e operacionais. Quando se trata de padrões de configuração complexos, os padrões do setor são frequentemente utilizados, como o Guia de configuração de segurança fornecido pelo Center for Internet Security.
O cumprimento das normas de segurança é obrigatório. A linha de base de segurança está relacionada aos padrões, que estabelecem um nível mínimo de segurança para um sistema, rede ou dispositivo. Se os requisitos da linha de base não forem atendidos, ele não poderá ficar online.
1.7.1.3 Procedimentos de segurança (Procedimentos)
Os procedimentos de segurança são instruções passo a passo que os funcionários podem seguir ao executar tarefas específicas de segurança.
1.7.1.4 Diretrizes de Segurança (Diretrizes)
Os guias são onde os profissionais de segurança aconselham outros membros da organização, incluindo as melhores práticas para segurança da informação. A conformidade com as diretrizes de segurança é opcional.
1.8 Identificar, analisar e priorizar requisitos de continuidade de negócios (BC)
1.8.1. Análise de Impacto nos Negócios (BIA)
A análise de impacto nos negócios ajuda uma organização a identificar suas funções comerciais essenciais, usando avaliações de risco quantitativas ou qualitativas, e a compreender o impacto de um desastre em cada função. A análise de impacto nos negócios fornece a base principal para o plano de continuidade de negócios (BCP) e seus requisitos;
O BIA ajuda uma organização a determinar quais de suas funções de negócios são mais resilientes e quais são mais vulneráveis.
1.8.1.1 Processo:
1. Comece estabelecendo sua equipe, escopo e orçamento do projeto BC
2. Identificar fundamentos críticos de negócios (CBFs) e outros elementos essenciais de negócios, incluindo
pessoal
Processo de negócio
Sistemas de Informação e Aplicações
Outros ativos
3. Conduza análises de risco nos principais negócios:
Identifique quaisquer vulnerabilidades existentes
•Potencial de eventos adversos
nível de influência
1.8.1.2 Métodos para determinar o grau de impacto
1. O Tempo de Inatividade Máximo Tolerável (MTD) ou Tempo de Inatividade Máximo Aceitável (MAO) representa o período total de tempo que funções críticas de negócios ficam indisponíveis. O MTD deve ser determinado pelo proprietário do sistema, que tem a responsabilidade final pelo bom funcionamento do CBF da organização.
2. O objetivo de tempo de recuperação (RTO) é o período máximo de tempo que os negócios críticos devem ser retomados após uma interrupção para evitar consequências comerciais inaceitáveis. O RTO deve ser menor ou igual ao MTD.
3. O Objetivo do Ponto de Recuperação (RPO) é uma medida da perda de dados tolerável, expressa em períodos de tempo.
1.8.2 Desenvolver e documentar o escopo e o plano
1.8.2.1 Plano de Continuidade de Negócios (BCP)
Um plano de continuidade de negócios é projetado para proteger as funções críticas de negócios e os clientes de uma organização e garantir que a organização possa continuar a operar de forma eficaz dentro de níveis de serviço e períodos de tempo especificados para atender aos requisitos legais e regulamentares, bem como ao conjunto de MTD, RTO e RPO. pela organização.
Fase BCP do Plano de Continuidade de Negócios
Escopo e Plano do Projeto
análise organizacional
Identifique departamentos e pessoas com interesse no processo BCP
Departamento de operações responsável por entregar o negócio principal aos clientes
Principais serviços de suporte, como equipe de TI, instalações e manutenção, outras equipes
Equipe de segurança corporativa responsável pela segurança física
Gerentes seniores e pessoas importantes para as operações contínuas da organização
Esta análise é a base para a seleção da equipa do BCP e, após confirmação pela equipa do BCP, é utilizada para orientar as fases subsequentes do desenvolvimento do BCP.
Escolha uma equipe BCP
Os especialistas técnicos do departamento, pessoal de segurança física e de TI com habilidades em BCP, representantes legais familiarizados com as responsabilidades legais, regulatórias e contratuais da empresa e representantes da alta administração. Outros membros da equipe dependem da estrutura e da natureza da organização.
Requisitos de recursos
Requisitos legais e regulamentares
análise de impacto nos negócios
A BIA é a parte central do BCP e está dividida em 5 etapas
Prioritizar
Lista de prioridades de recursos comerciais
Determinar MTD, tempo máximo de interrupção permitido
Determinar RTO, RTO<MTD
Objetivo do ponto de recuperação, RPO
Identificação de Risco
Avaliação de possibilidade
Determine o ARO para cada risco
Análise de impacto
Priorização de recursos
plano de continuidade
desenvolvimento de estratégia
Preparação e processamento
pessoal
Edifício/Instalação
a infraestrutura
Aprovação e implementação do plano
aprovação do plano
Implementação do plano
treino e educação
Documentação BCP
1.8.2.2 Âmbito geral do BCP
Embora não exista um padrão BCP universal, a maioria dos planos normalmente inclui o seguinte:
funções críticas de negócios
Ameaças, vulnerabilidades e riscos
Plano de backup e recuperação de dados
Pessoal relacionado ao FBCP
plano de comunicação
Requisitos de teste BCP
1.8.2.3 Requisitos e técnicas para proteção de pessoas, processos e tecnologia
1. Pessoal:
Garantir a segurança das pessoas dentro e fora da organização durante emergências é o objetivo principal do BCP. Forneça treinamento e educação adequados para que os funcionários saibam como agir em caso de emergência.
2 •Processo:
Avalie funções comerciais críticas e determine os recursos necessários em caso de desastre. Desenvolva planos de locais de backup para instalações e recursos críticos de processamento de dados para garantir operações contínuas.
3. Tecnologia:
Antecipe falhas de software e hardware e desenvolva controles para reduzir riscos. Implemente backup de dados e sistemas redundantes, incluindo infraestrutura como energia, água, comunicações e conectividade de rede.
1.9 Promover e fazer cumprir políticas e procedimentos de segurança pessoal
1.9.1 Triagem e recrutamento de candidatos
Os funcionários podem ser o elo mais vulnerável na cadeia de segurança. É importante observar que nem todos os funcionários colocarão os melhores interesses da organização em primeiro lugar. Os ataques internos geralmente levam a violações de segurança altamente prejudiciais. Portanto, a segurança do pessoal deve ser uma base importante de um plano de segurança cibernética:
•Os gerentes de contratação devem trabalhar com os Recursos Humanos para documentar de forma clara e precisa as responsabilidades e descrições do trabalho.
•Determinar a confidencialidade ou classificação das funções para atribuir permissões apropriadas.
1.9.1.1 Verificação de antecedentes
Histórico educacional
experiência de trabalho
-cidadania
-Registro criminal
Teste de drogas
Nota
Histórico de crédito e financeiro
atividade de mídia social
Nota: As empresas estrangeiras geralmente não prestam atenção aos exames físicos (exames físicos comuns de saúde)
1.9.2. Acordos e Políticas Trabalhistas
1.9.2.1 Acordo de Confidencialidade e Acordo Competitivo
Os acordos de funcionários mais comuns são acordos de não divulgação (NDA) e acordos de não concorrência (NCA)
1• Acordo de Não Divulgação (NDA)
é um acordo que limita a divulgação de informações confidenciais obtidas por um funcionário ou contratado (ou outra pessoa que possa estar exposta a informações confidenciais) no decorrer de seu emprego ou relacionamento com uma organização. Um acordo de confidencialidade foi concebido para manter a confidencialidade dos dados organizacionais (tais como segredos comerciais ou informações de clientes) e é normalmente um acordo vitalício (mesmo depois de o funcionário deixar a empresa).
2 • Acordo de Não Concorrência (NCA)
É uma concorrência desleal que impede um funcionário de competir diretamente com uma organização enquanto estiver empregado e, na maioria dos casos, por um determinado período de tempo após deixar a empresa. Acordos Concorrentes. Uma não concorrência é um acordo unilateral projetado para proteger uma organização de ex-funcionários ou contratados
1.9.2.2 Requisitos organizacionais
Além dos NDAs e NCAs, os funcionários podem ser obrigados a assinar outros requisitos da organização, como uma política de uso aceitável (AUP), código de conduta ou política de conflito de interesses.
1.9.2.3 Integração: Acordos e Estratégias de Trabalho
Após ingressar na empresa, você primeiro assina um contrato de trabalho. Dependendo do cargo, pode ser necessário assinar um acordo de confidencialidade (NDA) e um acordo de não concorrência (NCA). Os direitos de acesso ao sistema são atribuídos de acordo com o cargo do funcionário. . Em seguida, forneça treinamento aos funcionários, incluindo cultura organizacional, estratégias, processos, habilidades, etc.
1.9.2.4 Supervisão de funcionários
Os gerentes devem revisar ou avaliar periodicamente a descrição do cargo, as tarefas, as autoridades e as responsabilidades de cada funcionário em todo o cargo de um funcionário para garantir que ainda atendam aos requisitos do cargo.
• Aumento de privilégios (desvio de privilégio): À medida que o conteúdo de trabalho dos funcionários aumenta, eles podem obter permissões que excedem os requisitos do cargo.
•Férias obrigatórias: Exigir que os funcionários fiquem afastados de seus empregos por 1 a 2 semanas e sejam substituídos por outros funcionários para detectar abuso, fraude ou negligência.
•Conluio: Reduza a probabilidade de os funcionários estarem dispostos a cooperar num esquema ilegal ou abusivo através de medidas como segregação de funções, licença forçada, rotação de funções e formação cruzada devido ao maior risco de detecção.
•User and Entity Behavior Analytics (UEBA): Análise de usuários e entidades para ajudar a otimizar os planos de gestão de pessoas.
1.9.2.5 Processo de demissão, transferência de cargo e desligamento
Quando os funcionários pedem demissão, devem ficar atentos aos seguintes pontos:
•Desabilitar, mas não excluir, a conta de usuário de um funcionário ao mesmo tempo ou antes que o funcionário receba a notificação de rescisão para fins de auditoria.
•Ênfase nas responsabilidades da NDA e da NCA durante as entrevistas de saída.
. Garantir que os funcionários devolvam os bens da empresa, incluindo, entre outros, chaves, cartões de acesso, telefones celulares, computadores, etc.
•Designar pessoal de segurança para acompanhar os funcionários nas áreas de trabalho para reciclar pertences pessoais.
•Notificar todo o pessoal relevante sobre a separação do funcionário.
1.9.2.6 Contratos e Controles de Fornecedores, Consultores e Contratados
Contratos e controles de fornecedores, consultores e empreiteiros O risco multipartidário existe quando múltiplas entidades ou organizações estão envolvidas num projeto. O acordo de nível de serviço (SLA) garante que o produto ou nível de serviço do fornecedor atenda às expectativas. Caso não atenda às expectativas, será envolvida uma compensação para garantir a qualidade do serviço. Fornecedores, consultores e empreiteiros são por vezes referidos como terceirização. As organizações também podem melhorar a eficiência do gerenciamento de terceirização por meio de um sistema de gerenciamento de fornecedores (VMS).
1.9.2.7 Requisitos da política de conformidade
O gerenciamento da segurança de pessoal precisa atender aos requisitos legais e regulamentares, como o PCI DSS.
1.9.2.8 Requisitos da Política de Privacidade
A gestão da segurança pessoal também precisa atender aos requisitos das políticas de privacidade, como o GDPR.
1.9.3 Pessoal, transferência de cargo e procedimentos de demissão.
O recrutamento, a transferência e a separação são as três fases do emprego, e cada fase tem as suas próprias considerações de segurança.
1.9.3.1 Treinamento de integração
Lembre os funcionários da sua obrigação de proteger as informações e de se protegerem contra ameaças, e devem estar cientes de que as suas ações podem ser examinadas.
1.9.3.2 Transferência de trabalho
Remova os direitos de acesso que não são mais necessários durante a reatribuição e siga o princípio do menor privilégio.
1.9.3.3 Renúncia
A demissão é dividida em voluntária e involuntária. Quando um funcionário sai em boas condições, basta passar pelos procedimentos de desligamento da organização.
Se a separação for involuntária, devem ser tomadas medidas apropriadas para proteger os ativos da organização
• Entrevista de saída, lembrete do NDA assinado e outros acordos relevantes
•Fechar o acesso ao sistema enquanto notifica os funcionários sobre demissão e realiza verificações da lista de verificação de separação
•Informar os funcionários restantes que o funcionário demitido não terá mais permissão para entrar na organização
A lista de verificação de separação inclui: revogação de direitos de acesso, recuperação de chaves, crachás, equipamentos e documentos.
1.9.4 Contratos e Controles com Fornecedores, Consultores e Contratados.
As organizações muitas vezes terceirizam funções como hospedagem de data centers e desenvolvimento de aplicativos. A assinatura de NDAs e outros acordos com essas organizações terceirizadas ou parceiras pode aumentar sua carga de conformidade e tentar evitar que terceiros causem o vazamento de informações confidenciais.
-Implementar controle de acesso
Revisão oral da troca de documentos
Gerenciar e monitorar ganchos de manutenção (backdoors)
Realizar avaliação no local
Revise processos e políticas
Desenvolver acordo de nível de serviço
19.5.2 Treinamento e punição de políticas
•Treinamento de funcionários: Forneça treinamento inicial e recorrente aos funcionários e outro pessoal relevante para garantir o cumprimento da política.
•Conscientização sobre Segurança: Melhorar a atenção e a compreensão da segurança da informação.
•Treinamento relacionado ao trabalho: forneça treinamento específico com base nas exigências do trabalho dos funcionários.
•Deixe claras as consequências da política: indique na política as possíveis consequências do não cumprimento, como ação disciplinar, suspensão ou demissão.
1.9.5 Cumprir os requisitos da política
1.9.5.1 Requisitos de política organizacional
•Conformidade com leis e regulamentos: Garante que as políticas organizacionais cumpram as leis, regulamentos e outras obrigações legais aplicáveis.
•Consistência de Políticas: Os requisitos, controles e procedimentos da organização devem ser consistentes com a política.
1.9.6 Requisitos da Política de Privacidade.
As organizações precisam seguir responsabilidades legais e éticas para proteger a privacidade dos seus funcionários ao lidar com informações confidenciais. Esta informação pode incluir verificações de antecedentes, números de Segurança Social (números de identificação), informações salariais e informações de saúde. Para garantir informações
Para segurança, as organizações devem abranger os seguintes princípios na sua política de privacidade:
•Princípio de minimização: Colete apenas as informações necessárias para concluir o processo de emprego legítimo.
•Acesso Restrito: Forneça acesso apenas àqueles que necessitam conhecer tais informações.
•Use criptografia: Use a tecnologia de criptografia tanto quanto possível para evitar que as informações sejam lidas através de canais anormais.
1.10 Compreender e aplicar conceitos de gestão de riscos
1. 10.1 Identificar ameaças e vulnerabilidades
Risco é a probabilidade de uma ameaça potencial explorar uma vulnerabilidade para impactar negativamente uma organização, objetivos ou ativos, incluindo pessoas, sistemas e dados.
1.10.1.1 Classificação de risco
•Riscos inerentes são aqueles que existem antes de quaisquer medidas de controle serem implementadas
•Risco residual é o nível de risco que permanece após a implementação dos controles
1.10.1.2 Ameaça:
Uma pessoa ou entidade que pode violar intencionalmente ou não a segurança de um ativo, como um hacker, um funcionário insatisfeito ou um desastre natural.
1.10.1.3 Vulnerabilidades
Fraquezas ou vulnerabilidades no sistema podem criar riscos se exploradas por agentes de ameaças.
1.10.1.4 Ativos
Um ativo é qualquer coisa de valor, que pode incluir pessoas, propriedades e informações.
1.10.2.Avaliação e análise de riscos
1.10.2.1 Definição de avaliação de risco
Risco é a interseção entre ameaças, vulnerabilidades e ativos. A avaliação de riscos é uma série de atividades que inclui a identificação de ameaças e vulnerabilidades potenciais e a determinação do impacto e da probabilidade dessas ameaças explorarem as vulnerabilidades identificadas.
1.10.2.2 Passos para avaliar o risco:
1. Identificação de Riscos: Identificação de ativos e seu valor para a organização
2. Análise de risco: determine a probabilidade de uma ameaça explorar uma vulnerabilidade
3. Avaliação de riscos: determine o impacto comercial dessas ameaças potenciais
4. Tratamento do risco: Fornecer um equilíbrio económico entre o impacto da ameaça e o custo das contramedidas
1.10.2.3 Identificação de riscos
Começa identificando os ativos da organização e determinando o valor desses ativos, depois identificando e descrevendo as vulnerabilidades e ameaças que representam riscos para os ativos.
1.10.2.4 Análise de risco
A análise de riscos começa com a avaliação de vulnerabilidades e análises de ameaças, calculando a probabilidade de ocorrência dos riscos e classificando-os de acordo com o seu impacto.
1.10.2.4.1 Análise qualitativa de risco
Em muitos casos, o valor não pode ser quantificado, como a reputação da organização e o valor dos dados, por isso só posso decidir com base no meu cérebro. Conteúdos como valor dos ativos e nível de risco são identificados por níveis, como alto, médio, baixo, 0-10, sistema percentual, etc.
As técnicas qualitativas de análise de risco incluem: brainstorming, storyboard, grupos focais, pesquisas, questionários, entrevistas, cenários e técnicas Delphi
1.10.2.4.2 Análise quantitativa de risco
Os principais processos de análise quantitativa de risco:
• Ativos de estoque, valor atribuído (AV)
•Combinar ativos com ameaças
•Calcular o Fator de Exposição (EF) para cada par ativo-ameaça, que é a porcentagem de perda que um ativo sofreria se uma ameaça específica o violasse
• Calcular a Expectativa de Perda Única (SLE) para cada par de ameaças de ativos, que é a quantidade de dinheiro perdida por uma ameaça específica após a destruição do ativo (SLE=AV*EF)
•Calcule a taxa anualizada de ocorrência (ARO) para cada ameaça. Ou seja, a probabilidade de uma ameaça específica ocorrer a um ativo dentro de um ano
• Calcular a Expectativa de Perda Anualizada (ALE) para cada par ativo-ameaça, ou seja, o dano ao ativo dentro de um ano por uma ameaça específica
Dinheiro perdido (ALE=SLE*ARO)
•Desenvolver possíveis contramedidas para cada par de ameaças de ativos e calcular alterações no custo anualizado de proteção (ACS), ARO, EF e ALE
•Conduzir uma avaliação de custo/benefício de cada contramedida. Selecione a resposta mais apropriada para cada ameaça, ou seja, ALE_per-ALE_post-ACS, fazendo com que as medidas de proteção regulares tenham valor e o resultado que as medidas de proteção responsáveis não tenham valor.
1.10.3. Resposta ao risco
Existem quatro categorias principais de tratamento de risco:
1.10.3.1 Evitar riscos (Evitar)
Elimine os riscos identificados interrompendo ou removendo as atividades ou tecnologias que contribuem para os riscos.
1.10.3.2 Mitigação de Riscos (Mitigar)
Reduzir os danos que os riscos podem causar através da implementação de medidas políticas e técnicas.
1.10.3.3 Transferência de risco (Transferência)
Também chamada de atribuição de riscos (Risk Assignmen0), a responsabilidade e as perdas potenciais relacionadas aos riscos são transferidas a um terceiro.
Maneira comum: comprar seguro.
1.10.3.4 Aceitação de Risco (Aceitar)
Aceitar um risco torna-se uma opção quando o custo de evitar, mitigar ou transferir o risco excede as perdas esperadas da ameaça concretizada.
1.10.4. Seleção e implementação de contramedidas
1.10.4.1 Considerações sobre contramedidas:
•Relacionado ao pessoal:
Contratação (ou demissão), reestruturação organizacional e treinamento de conscientização são algumas respostas comuns relacionadas às pessoas. Verificações de antecedentes, práticas de emprego, conscientização e treinamento em segurança, etc.
•Relacionado à gestão
Políticas, procedimentos e outras medidas de mitigação “baseadas no fluxo de trabalho” geralmente enquadram-se nesta categoria. Quantidade, procedimentos, classificação e rotulagem de dados, relatórios e revisão, supervisão de trabalho.
•Tecnologia relacionada:
Criptografia, alterações de configuração e outras alterações de hardware ou software, etc. Métodos de autenticação, criptografia, interfaces restritas, listas de controle de acesso, protocolos, firewalls, roteadores, sistemas de detecção de intrusão e níveis de remoção.
•Relacionado à física:
Guardas, barreiras nacionais, detectores de movimento, portas trancadas, janelas seladas, iluminação, proteção de cabos, fechaduras para laptop, crachás, cartões magnéticos, cães, câmeras, lobby de controle de acesso e alarmes.
1.10.42 Eficácia das contramedidas
Examinar as percepções sob as perspectivas de prevenção, detecção e correção para garantir a eficácia das contramedidas de risco. Por exemplo, se a criptografia não puder resolver um risco específico, tente outra abordagem, como considerar o backup.
1.10.4.3 Custo-benefício das contramedidas
Certifique-se de que o custo das medidas de segurança seja proporcional ao valor dos ativos protegidos.
1.10.4.4 Impacto nos negócios
Considere se a implementação e utilização de contramedidas são demasiado difíceis para evitar riscos crescentes devido à utilização incorrecta.
1.10.5 Tipos de controle aplicáveis.
1.10.5.1 Tipo de controle
•Prevenção: Previne a ocorrência de incidentes, como firewalls, backups de sistema, IPS.
•Detecção: Identifique atividades de eventos e possíveis intrusos, como 1DS.
•Correção: Reparar um componente ou sistema após a ocorrência de um incidente, como aplicação de patch.
•Ameaças: Dissuadir potenciais atacantes, como cercas, cães policiais.
•Recuperação: Retornar o ambiente ao status operacional normal, como backups de sistema e dados, locais de recuperação de desastres.
•Compensação: Fornecer medidas alternativas de controle.
1.10.6 Avaliação de controle (segurança e privacidade)
As organizações devem realizar avaliações regulares de controle de segurança (SCA) para garantir que os controles de segurança e privacidade permaneçam eficazes.
A SCA pode utilizar autoavaliação ou avaliação externa realizada por terceiros.
1.10.6.1 Método de Avaliação SCA
•Inspeção: O avaliador geralmente exige que a organização forneça uma lista de políticas de segurança, arquivos de configuração, etc. para revisão, revisão, observação, pesquisa ou análise, e que forme uma opinião preliminar.
•Entrevistas: Os avaliadores se reúnem com as principais partes interessadas para saber mais sobre os controles de segurança em vigor e como eles operam.
. Teste: O teste confirma que os controles de segurança são implementados conforme documentado, são eficazes e operam conforme esperado.
1.10.7. Monitoramento e medição
•Os controles de segurança devem ser continuamente monitorados e quantificados para medir sua eficácia e fornecer sugestões de melhoria.
- Deve ser desenvolvido um conjunto de indicadores-chave de desempenho (KPI) para quantificar e controlar o desempenho a longo prazo.
1.10.8.
Crie relatórios formais para relatar as principais conclusões ou indicadores aos executivos, reguladores e outras partes interessadas, detalhando os resultados de cada controle avaliado. Os relatórios podem incluir o seguinte:
Auditoria interna (por exemplo, autoavaliação)
•Auditorias externas (por exemplo, reguladores ou outras auditorias de terceiros)
•Mudanças significativas no perfil de risco da organização
•Grandes mudanças nos controles de segurança ou privacidade
•Violações de segurança relacionadas ou confirmadas (ou outros incidentes)
1.10.9. Melhoria contínua
À medida que as ameaças e vulnerabilidades mudam, o programa de segurança deve manter a melhoria contínua, reforçar os controlos e melhorar a postura geral de segurança da informação da organização. A gestão de risco empresarial (ERM) pode ser avaliada usando o modelo de maturidade de risco (RMM) para avaliar um processo de gestão de risco maduro, sustentável e repetível.
1.10.9.1 Modelo de Maturidade de Risco (RMM)
Geralmente contém cinco níveis:
. Ad hoc: Uso de práticas ad hoc com controle deficiente.
•Preliminar: Tentativa de seguir o processo de gerenciamento de riscos, mas cada departamento pode realizar avaliações de riscos de forma independente.
•Definido: Adote uma estrutura de risco comum ou padronizada em toda a organização.
•Integrado: As operações de gerenciamento de risco são integradas aos processos de negócios, usando métricas para coletar dados de eficácia e tratando o risco como um elemento de decisões estratégicas de negócios.
•Otimizado: Foco no gerenciamento de riscos para atingir metas, não apenas para responder a ameaças externas; Aumentar o planejamento estratégico para alcançar o sucesso do negócio, não apenas para evitar acidentes: Incorporar as lições aprendidas no processo de gerenciamento de riscos.
1.10.10. Estrutura de Risco
1.10.10.1 Estrutura de gerenciamento de riscos do NIST
Os seis estágios da Estrutura de Gerenciamento de Risco (RMF) no NIST800-37Rev.2:
•Categorizar:
Classifique todos os sistemas de informação com base no seu impacto potencial na organização em termos de confidencialidade, integridade e disponibilidade.
Selecione:
Selecione um conjunto básico de controles com base na classificação e no impacto.
•Implemento
Implementar controles selecionados.
•Avaliar:
Avalie se os controles são implementados corretamente, operam conforme planejado e produzem os resultados esperados de segurança exigidos.
•Autorizar:
Após a avaliação, a liderança organizacional decide se autoriza o uso do sistema, com base na capacidade dos controles de operar o sistema dentro da tolerância ao risco e na aceitação do risco residual.
•Monitor:
Monitore continuamente a eficácia dos controles para garantir que o sistema opere dentro da tolerância ao risco da organização. Se forem descobertos problemas graves, o ciclo pode recomeçar a partir do primeiro passo.
1.11. Compreender e aplicar conceitos e metodologias de modelação de ameaças.
1.11.1. Modelagem de Ameaças
1.11.1.1 Métodos de modelagem de ameaças
Quanto mais cedo a modelagem de ameaças for realizada, mais econômica ela será. Geralmente a partir dos três aspectos a seguir
•Focado no atacante
Determine características, conjuntos de habilidades e motivações de possíveis invasores e identifique invasores que podem realizar ataques específicos. Desenvolva uma estratégia de defesa.
•Foco em ativos:
Identifique ativos de valor para a organização e possíveis invasores e avalie como os invasores podem comprometer os ativos.
•Centrado em software:
Use diagramas de arquitetura (como diagramas de fluxo de dados ou diagramas de composição) para representar o sistema, avaliar possíveis ataques contra cada componente e determinar a necessidade, a presença e a eficácia dos controles de segurança.
1.11.1.2 Estrutura de modelagem de ameaças
1.
STRIDE (Microsoft)
2.
PASTA (Processo para Simulação de Ataque e Análise de Ameaças)
3.
NIST 800-154 (Diretrizes para modelagem de ameaças de sistemas centrados em dados)
4. DREAD (classificação de risco quantitativa obsoleta de vulnerabilidades de danos, replicabilidade, explorabilidade, usuários afetados, capacidade de descoberta)
5. Outros métodos de modelagem de ameaças
•OCTAVE: Concentra-se em risco operacional, controles de segurança e tecnologia de segurança nas organizações.
•Trike: é um método e ferramenta de modelagem de ameaças de código aberto que se concentra no uso de modelos de ameaças como ferramentas de gerenciamento de riscos.
•CORAS: Também de código aberto, depende principalmente da Linguagem de Modelagem Unificada (UML) para visualizar ameaças no front-end
•VAST: Modelagem de Ameaças Visual, Ágil e Simples, uma abordagem que aproveita conceitos ágeis
1.11.1.3 Explicação detalhada do STRIDE
• Falsificação de identidade
Um invasor obtém acesso não autorizado ao se passar pela identidade de outra pessoa para obter acesso a um aplicativo ou sistema
• Adulteração de dados (Adulteração de dados)
Um invasor tenta alterar ou corromper dados em um aplicativo ou sistema para causar resultados inesperados ou maliciosos
•Repúdio
O invasor nega certas operações ou transações realizadas no sistema para evitar responsabilidades ou causar disputas.
•Divulgação de informação
Os invasores podem roubar ou acessar informações confidenciais do sistema, incluindo senhas de usuários, informações de cartão de crédito, segredos da empresa e muito mais.
•Negação de serviço
Os invasores tentam impedir ou retardar o acesso normal do usuário a um sistema, tornando-o indisponível ou travando.
•Elevação de privilégio
Um invasor pode passar de usuário normal a administrador ou outro usuário privilegiado explorando uma vulnerabilidade de aplicativo ou sistema.
1.11.1.4 Explicação detalhada da MASSA
PASTA é uma abordagem baseada em risco para modelagem de ameaças que combina objetivos de negócios com requisitos técnicos, tornando o resultado mais compreensível para a alta administração. Ao contrário do STRIDE, a abordagem PASTA é estritamente uma estrutura de identificação de ameaças que fornece um processo poderoso para identificar e mitigar ameaças.
O processo PASTA consiste nas seguintes sete etapas:
1. Estabeleça metas
Os objetivos e necessidades de negócios são identificados para compreender melhor a tolerância geral ao risco da organização e os processos e ativos de negócios críticos que podem estar em risco.
2. Determine o escopo técnico
O escopo da tecnologia e a arquitetura da aplicação são definidos para entender os sistemas e componentes que podem estar vulneráveis a ataques
3. Decomposição do aplicativo
Os aplicativos são divididos em componentes menores para entender melhor a funcionalidade, o fluxo de dados e o fluxo de dados de cada componente.
4. Análise de ameaças
e relacionamentos com outros componentes. Isso ajuda a identificar possíveis caminhos de ataque e ameaças potenciais. Analise as ameaças que podem impactar sua organização, incluindo ameaças internas e externas. Isto pode incluir a identificação de potenciais atacantes, as suas motivações e capacidades, e possíveis meios de ataque.
5. Análise de vulnerabilidade
Conduza uma análise de vulnerabilidade do sistema para identificar possíveis pontos fracos e vulnerabilidades de segurança. Isso pode incluir revisões de código, testes de penetração e outros métodos de avaliação de segurança para encontrar e corrigir problemas de segurança.
6. Enumeração de ataques
De acordo com a análise anterior, Lieyang pode atacar o sistema. Isso ajuda a compreender melhor os vetores de ataque e os caminhos que os invasores podem explorar.
7. Análise de Risco e Impacto
Avalie o risco e o impacto de cada ameaça potencial para priorizar e desenvolver medidas de mitigação e políticas de segurança adequadas. Isto pode ajudar as organizações a alocar recursos de forma eficaz e a concentrar-se em áreas de foco, ao mesmo tempo que mitigam os riscos.
1.12 Aplicando Conceitos de Gerenciamento de Risco da Cadeia de Suprimentos (SCRM)
1.12.1 Riscos relacionados a hardware, software e serviços.
Os fornecedores desempenham um papel crítico nas operações de tecnologia da informação de uma organização. Eles são indispensáveis para os serviços de fábrica dos clientes, fornecendo hardware, software ou serviços de computação em nuvem. Os profissionais de segurança precisam prestar muita atenção às suas parcerias comerciais com fornecedores para proteger a confidencialidade, a integridade e a disponibilidade das informações e dos sistemas da organização. Esse processo, conhecido como due diligence do fornecedor, foi projetado para contornar questões relacionadas à aquisição de hardware, software e Riscos Relacionados aos Serviços.
1.12.1.1 Possíveis riscos de hardware:
Imagem de peças defeituosas ou que não atendem aos padrões
Peças falsificadas ou falsificadas
Imagem de um componente eletrônico contendo malware em nível de firmware
1.12.1.2 Possíveis riscos de software:
Cavalo de Tróia foi implantado
Existem vulnerabilidades na biblioteca de componentes usada
1.12.1.3 Possíveis riscos no serviço:
vazamento de dados
1.12.2. Avaliação e monitoramento de terceiros
As atividades de governança e supervisão devem incluir investigações de segurança no local, auditorias formais de segurança de sistemas de terceiros e testes de penetração, sempre que viável. Para novos parceiros terceirizados, é fundamental avaliá-los em relação aos requisitos de segurança da organização, e as lacunas devem ser documentadas e monitoradas de perto.
1.12.3. Requisitos mínimos de segurança
Semelhante às linhas de base, as organizações devem estabelecer requisitos mínimos de segurança (MSRS) para determinar os padrões de segurança mínimos aceitáveis que os fornecedores e outros participantes na cadeia de abastecimento devem cumprir.
A MSRS cobrirá todos os requisitos legais, contratuais ou regulamentares aplicáveis. Ao mesmo tempo, é fundamental auditar e avaliar o desempenho de terceiros no cumprimento das MSRS estabelecidas e comunicadas.
1.12.4. Requisitos de nível de serviço.
Um Acordo de Nível de Serviço (SLA) é um acordo contratual que estipula que um provedor de serviços garante um determinado nível de serviço, como:
Métricas de desempenho, disponibilidade de serviço, tempos de resposta e outros critérios de qualidade relevantes. Se os serviços não forem prestados nos níveis acordados, haverá consequências para o prestador de serviços (geralmente financeiras).
1.12.5.
1.12.5.1 Estrutura para lidar com os riscos da cadeia de abastecimento:
1.NISTIR 7622
Este documento descreve 10 práticas principais que devem ser consideradas ao lidar com riscos da cadeia de abastecimento.
2. ISO 28000
15028000.2007 é fortemente baseado no modelo de melhoria de processos Plan-Do-Check-Act (PDCA) para otimizar os sistemas de gestão de segurança e garantir a conformidade organizacional com as práticas de segurança.
3. Orientação do Centro Nacional de Segurança Cibernética do Reino Unido (NCSC)
Dividido em 4 etapas (incluindo 12 princípios)
• avaliar o risco
•Estabelecer controles
•Verificar os acordos existentes
•continuar melhorando
1.13. Estabelecer e manter um programa de conscientização, educação e treinamento em segurança.
1.13.1 Propor métodos e técnicas de conscientização e treinamento.
Um programa de conscientização de segurança é um programa formal projetado para educar os usuários a identificar e responder a ameaças potenciais às informações e sistemas de uma organização, normalmente incluindo treinamento de novos funcionários, palestras, treinamento assistido por computador e materiais impressos, e por meio de simulações de engenharia social, segurança defensores e gamificação para aumentar a atenção a questões críticas de segurança.
1.13.1.1 Engenharia Social
A engenharia social é uma tática de manipulação na qual um invasor finge ser outra pessoa na tentativa de obter informações confidenciais.
O phishing é a forma mais comum de engenharia social e uma importante fonte de riscos de segurança.
1.13.1.2 Guarda de Segurança
Os defensores da segurança são defensores das melhores práticas de segurança e são funcionários que não fazem da segurança o seu trabalho principal.
1.13.1.3 Gamificação
Gamificação é a aplicação de elementos de jogos a situações não relacionadas a jogos para envolver e educar um público-alvo.
1.13.2. Revisão regular de conteúdo.
A segurança da informação é um campo em evolução, com ameaças e vulnerabilidades em constante mudança. Portanto, para garantir que o conteúdo seja relevante, você precisa revisar e atualizar regularmente o conteúdo dos seus programas de conscientização, educação e treinamento em segurança. Recomenda-se que este seja revisto e atualizado pelo menos anualmente para evitar tecnologia e terminologia desatualizadas ou irrelevantes.
1.13.3. Avaliação da eficácia do programa
1.13.3.1 Indicadores de treinamento
Como taxa de conclusão do treinamento, número de participantes e outros indicadores breves.
1.13.3.2 Questionário
Os questionários são uma forma eficaz de avaliar a eficácia do treinamento.
1.13.3.3 Dia de Conscientização sobre Segurança
Os Dias de Conscientização sobre Segurança são projetados para aumentar a conscientização sobre segurança e, ao mesmo tempo, coletar opiniões e sugestões de funcionários sobre programas de segurança por meio de questionários anônimos.
1.13.3.4 Avaliação Interna
Os métodos de avaliação incluem a coleta de aumentos ou diminuições no número de incidentes de segurança ou suspeitas de incidentes de phishing relatados após o treinamento.
Exercícios principais
Você é responsável pelo programa de conscientização de segurança da sua organização. Devido a preocupações de que mudanças na tecnologia possam tornar o conteúdo obsoleto, quais controles podem ser implementados para evitar esse risco: Uma Gamificação B Treinamento baseado em computador Revisão de conteúdo C D Implementar treinamento
Resposta correta: C Avaliação da eficácia do livro didático Volume 1 P76
Froneme- é especialista em segurança de um provedor americano de serviços online. Recentemente, ela recebeu reclamações de proprietários de direitos autorais que armazenaram informações em seu serviço que infringiam direitos autorais de terceiros. Qual lei determina a ação que Francine deve tomar? A. Lei de Direitos Autorais B. Lei de Cordeiro C. Lei de Direitos Autorais do Milênio Digital D. Lei Gramm-Leach-Bulley
Resposta correta: C P115 Copyright e Digital Millennium Copyright Act, você precisa se lembrar do nome detalhado de cada lei
Só uma pergunta no momento
A FyAway Travel possui escritórios na União Europeia (UE) e nos Estados Unidos e transfere frequentemente informações pessoais entre esses escritórios. Recentemente, receberam um pedido de um cliente da UE para encerrar a sua conta. Que requisito para o tratamento de informações pessoais ao abrigo do Regulamento Geral de Proteção de Dados (RGPD) prevê que um indivíduo pode solicitar que os seus dados deixem de ser divulgados ou processados? A. Direitos de acesso B. Privacidade desde a concepção C. Direito ao esquecimento D. Direito à portabilidade dos dados
Resposta correta: C não encontrou
Remee está na sala de reuniões: explicando sua responsabilidade pela revisão dos controles de segurança cibernética, regra que responsabiliza pessoalmente os executivos seniores por questões de segurança da informação A. Regras de devida diligência B. Regras de Responsabilidade Pessoal C.Regra do homem prudente D. Regras do devido processo
Resposta correta: C não encontrou A regra do homem prudente responsabiliza os gestores seniores por garantir que a atenção adequada seja mantida no seu trabalho diário.
Zhang San recentemente ajudou um colega na preparação para o exame CISSP. Durante o processo, Zhang San vazou informações confidenciais sobre o exame, violando o Artigo 4 dos Padrões Éticos: Avanço e Proteção da Profissão. Quem pode registrar acusações éticas contra Zhang San? R Qualquer pessoa pode apresentar queixa. B Qualquer profissional que possua certificação ou licença pode registrar uma cobrança. C Somente o empregador de Zhang San pode apresentar queixa. D Somente o funcionário afetado pode apresentar uma contestação.
Resposta correta:B não encontrou
Yolanda é Diretora de Privacidade de uma instituição financeira e está pesquisando os requisitos privados e públicos relacionados às contas correntes dos clientes. Qual das seguintes leis tem maior probabilidade de se aplicar a esta situação? Lei AGLBA B. Lei SOX Lei C.HIPAA Lei D.FERPA
Resposta correta: UMA não encontrou A regra do homem prudente responsabiliza os gestores seniores por garantir que a atenção adequada seja mantida no seu trabalho diário.
Exportar quais tecnologias têm maior probabilidade de acionar leis e regulamentos de controle de exportação? A. Chip de memória B. Aplicações de produção de escritório Disco rígido C Software de criptografia D
Resposta correta: D P119
Depois de concluir seus esforços de planejamento de continuidade de negócios e decidir aceitar um dos riscos, você deverá relatar em seguida O que? A Implementar novos controles de segurança para reduzir os níveis de risco. B Elabore um plano de recuperação de desastres. C. Conduzir novamente a avaliação de impacto nos negócios. D Documente seu processo de tomada de decisão.
Resposta correta: D
Ao realizar uma revisão dos controles usados pelos recursos de armazenamento de mídia da sua organização, você deseja categorizar adequadamente cada controle atualmente em vigor. Qual das seguintes categorias de controle descreve com precisão a cerca ao redor de uma instalação? (Selecione tudo que se aplica.) A. Controle físico B. Controle de detecção C. Controle de dissuasão D. Controle preventivo
Resposta correta: DCC
Qual dos seguintes princípios impõe aos indivíduos um padrão de cuidado proporcional ao que uma pessoa razoável esperaria em circunstâncias específicas? A. Devida diligência B. Segregação de funções C. O devido cuidado D. Menor privilégio
Resposta correta: C
Kelly acredita que um funcionário usou recursos de computação para um projeto paralelo sem autorização. com gestão O que? Após consultas, decidiu iniciar um inquérito administrativo. O ônus da prova que ela deve cumprir nesta investigação é A. Preponderância das provas B. Além da dúvida razoável C. Sem dúvida D. Não existe um padrão
Resposta correta: D A investigação administrativa não é direito civil, criminal ou administrativo, portanto não existem padrões
A Keenan Systems desenvolveu recentemente um novo processo de fabricação de microprocessadores. A empresa espera licenciar a tecnologia para outras empresas, mas quer impedir o uso não autorizado da tecnologia. Que tipo de proteção à propriedade intelectual é mais adequada para esta situação fiscal? Uma patente B. Segredos comerciais C. Direitos autorais D.Marca Registrada
Resposta correta: UMA
Wike implementou recentemente um sistema de prevenção de invasões que teve impacto na prevenção de ataques cibernéticos comuns em sua organização. Que tipo de estratégia de gerenciamento de risco Mike está adotando? A. Aceitação de risco B. Evitar riscos C. Mitigação de riscos D. Transferência de risco
C
Carl é um agente federal que investiga um crime informático. Ele identificou um agressor que estava envolvido em conduta ilegal e queria abrir um processo contra o indivíduo que poderia levar a uma pena de prisão. Que padrão de prova Carl deve atender? R. Sem dúvida B. Preponderância das provas C. Além da dúvida razoável D. Preponderância de provas
C
As seguintes organizações que realizam transações eletrônicas não estão automaticamente sujeitas aos requisitos de privacidade e segurança da HIPAA: Um prestador de cuidados de saúde B Desenvolvedor de aplicativos de saúde e fitness Câmara de informações de saúde C Plano de saúde D
B Requer hospitais, médicos, companhias de seguros e outras organizações que processem ou armazenem informações médicas privadas Nenhum desenvolvedor de programa
A Acme Bridges está desenvolvendo novos controles para seu departamento de contabilidade. A administração estava preocupada que uma empresa de contabilidade corrupta pudesse criar um fornecedor falso e emitir um cheque a esse fornecedor como pagamento por serviços não executados. Qual controle de segurança ajudaria melhor a evitar que isso acontecesse? A. Licença obrigatória B. Segregação de funções C. Defesa em profundidade D. Rotação de cargos
A P35
Qual dos seguintes indivíduos é normalmente responsável por executar responsabilidades operacionais de proteção de dados delegadas pela alta administração, como verificar a integridade dos dados, testar o fornecimento e gerenciar políticas de segurança? A. Guardião de Dados B. Proprietário dos dados C.Usuário D. auditor
A P157
Alan trabalha para uma empresa de comércio eletrônico e recentemente teve conteúdo roubado de outro site e republicado sem permissão. O tipo polisemente de proteção à propriedade intelectual é a melhor forma de proteger a receita da empresa de Alen. A. Segredos comerciais B. Direitos autorais C.Marca Registrada D. Patente
B
Tom ativou um firewall de aplicativo de seu provedor de serviços de infraestrutura em nuvem, projetado para evitar muitos tipos de ataques a aplicativos. Do ponto de vista do gerenciamento de riscos, qual métrica Tom está tentando reduzir com essa contramedida? A.Influência B.RPO C. MTO D. Possibilidade
D
Beth, especialista em recursos humanos, está se preparando para auxiliar na demissão de um funcionário. Aqui estão algumas coisas que normalmente não fazem parte do processo de demissão: Uma entrevista de saída B Recuperação de bens Rescisão da conta C D Assinar um NCA (acordo de não concorrência)
D
Um funcionário de contabilidade das Indústrias Doolittle foi recentemente preso por sua participação em um esquema de peculato. O funcionário transferiu fundos de guerra para sua conta pessoal e depois transferiu fundos entre outras contas todos os dias para encobrir a fraude digital durante vários meses. Qual dos seguintes controles pode detectar melhor esta fraude antecipadamente? Uma segregação de funções B. Menor privilégio Profundidade defensiva C D licença compulsória
D
Quem em uma organização deve receber treinamento inicial em planejamento de continuidade de negócios? A. Executivo Sênior B. Pessoal em funções específicas de continuidade de negócios C. Todos na organização D. Pessoal de primeiros socorros
C
James está conduzindo uma avaliação de risco para sua organização e tentando atribuir um valor de ativo aos servidores no data center. A principal preocupação de uma organização é garantir que haja fundos suficientes disponíveis para reconstrução no caso de um data center ser danificado ou destruído. Qual dos seguintes métodos de avaliação de ativos seria mais apropriado nesta situação? A. Custo de compra B. Custo de depreciação C. Custo de substituição D. custo de oportunidade
C
A organização de Roger sofreu uma violação dos registros do cartão de crédito do cliente. Qual das seguintes organizações poderia optar por investigar este assunto sob os termos do PCIDSS? A. Federal Bureau of Investigation (FBI) B. Agências locais de aplicação da lei Banco C D PCI SSC
C
John convidou funcionários importantes de cada unidade de negócios e pediu-lhes que ajudassem em seu programa de conscientização sobre segurança. Eles são responsáveis por compartilhar informações de segurança com seus pares e responder perguntas relacionadas à segurança cibernética. Qual termo descreve melhor esse relacionamento? Um campeão de segurança Especialista em segurança B C. Resíduos de viagem D. Revisão por pares
A
Silanco descobriu um keylogger escondido no laptop do CEO da empresa. Qual princípio de segurança da informação o teclado provavelmente foi projetado para minar? Uma confidencialidade B. Completude C. Disponibilidade D. Negar
A
Alice está ajudando sua organização a se preparar para avaliar e adotar uma nova gestão de RH baseada na nuvem (HRM)) Provedor de sistema. Quais os padrões mínimos de segurança que melhor atendem às exigências de possíveis fornecedores? A Cumprir todas as leis e regulamentos B. Processar informações da mesma forma que a organização C. Elimine todos os riscos de segurança identificados D. Cumprir a política do próprio fornecedor
B
A .HAL Systems decidiu recentemente parar de fornecer serviços NTP públicos devido a preocupações de que seus servidores NTP pudessem ser usados para amplificar ataques DDOS em grande escala. Que tipo de abordagem de gerenciamento de risco a HAL adotou para seus serviços NTP? A. Mitigação de riscos B. Aceitação de risco C. Transferência de risco D. Evitar riscos
D A prevenção de riscos, um método de resposta ao risco, refere-se à eliminação de riscos ou às condições para a ocorrência de riscos através de mudanças nos planos para proteger os alvos do impacto dos riscos. Evitar riscos não significa eliminar completamente os riscos. O que queremos evitar são as perdas que os riscos podem nos causar. A mitigação do risco, o controlo das perdas de risco, consiste em reduzir o grau de perda, reduzindo a probabilidade de perda. Adotar medidas para reduzir a probabilidade de ocorrência de riscos, mitigar as consequências da ocorrência de riscos e reduzir a gravidade do risco a um nível aceitável
Qual dos seguintes componentes deve ser incluído nas diretrizes de resposta a emergências de uma organização? A. Lista de pessoal de emergência que deve ser notificado B. Acordo de continuidade de negócios de longo prazo C Inicie o processo de organização do site cold standby D Informações de contato para encomenda de equipamentos
A Guia de resposta a emergências: 1. Procedimentos correspondentes 2. Lista de pessoas notificadas do incidente (executivos, membros do BCP) 3. Procedimentos de resposta secundária para socorristas enquanto aguardam a reunião da equipe BCP
Becka assinou recentemente um contrato com uma instalação de processamento de dados de backup para fornecer espaço para sua empresa em caso de desastre. A instalação inclui circuitos HVAC, elétricos e de comunicação, mas nenhum equipamento de peças sobressalentes. Que tipo de instalação Becka usa? Um site de espera frio B. Site de espera quente C site de espera quente D Site de backup móvel
A
A empresa de Greg sofreu recentemente uma grande violação de dados envolvendo dados pessoais de muitos clientes. Quais regulamentos de violação eles deveriam analisar para garantir que as medidas apropriadas sejam tomadas? A Regulamentos de divulgação no estado onde estão sediados. B. Regulamentos de divulgação dos estados em que fazem negócios. C. Apenas regulamentos de divulgação federais. D. Os regulamentos sobre violações aplicam-se apenas a agências governamentais e não a empresas privadas.
B
Ben está procurando uma estrutura de objetivos de controle que seja amplamente aceita globalmente e focada em controles de segurança da informação. Qual das estruturas a seguir é mais adequada para atender às suas necessidades? A.ITIL B. ISO 27002 CMM D PMBOK
B Confusão entre CMM e RMM
O Código de Ética do ISC2 se aplica a todo o pessoal certificado cissP. Qual das alternativas a seguir não é um critério Um dos quatro códigos obrigatórios em? A. Proteger a sociedade, o interesse público, a confiança pública e as infra-estruturas necessárias. B. Divulgação de violações de privacidade, confiança e ética. C Fornecer serviços diligentes e competentes ao cliente. D. Promover e proteger a profissão.
B
Qual princípio de segurança da informação afirma que as organizações devem implementar controles de segurança sobrepostos sempre que possível? A O princípio do menor privilégio B Separação de funções C. Defesa em profundidade D. Segurança através de ofuscação
C
Ryan é um profissional de segurança cibernética certificado pelo CIssP e trabalha em organizações sem fins lucrativos. Quais das seguintes obrigações éticas se aplicam ao seu trabalho? (selecione tudo que se aplica) Código de Ética da A.(SC)2 B. Código de Ética da Organização C. Código Federal de Ética D. RFC 1087
AB
Ben é responsável por proteger a segurança das informações dos cartões de pagamento armazenadas no banco de dados. A política exigia que ele excluísse à força as informações do banco de dados, mas por razões operacionais ele não conseguiu fazê-lo. Ele obteve uma exceção à apólice e busca um controle compensatório adequado para mitigar o risco. Qual é a melhor opção dele? A. Adquirir seguro B. Criptografar o conteúdo do banco de dados C. Excluir dados D. Opor-se às exceções
B
Em sua função como desenvolvedora de serviços bancários on-line, Lisa teve que enviar seu código para teste e revisão. Após passar por esse processo e obter aprovação, outro funcionário move o código para produção. Que tipo de gerenciamento de segurança esta abreviação descreve? A. Teste de regressão B. Revisão de código C.Gestão de Mudanças D. Teste Fuzz
C
Qual das opções a seguir normalmente não é incluída no processo de triagem pré-contratação? A. Testes de drogas B. Verificação de antecedentes C. Censura nas redes sociais D. Avaliação de saúde
D Desafio de habilidades P34, teste de drogas, verificação de crédito, verificação de registro de direção e teste/avaliação de personalidade
Quais das opções a seguir são normalmente consideradas riscos da cadeia de suprimentos? (Selecione tudo que se aplica.) A. Adulteração de hardware pelo adversário antes da entrega ao cliente final B. Um adversário compromete o servidor web de uma organização em execução em um ambiente laas Os adversários C usaram ataques de engenharia social para atingir funcionários do fornecedor ompromisoa Saas para obter acesso às contas dos clientes D Adversários usam botnets para conduzir ataques de negação de serviço
AC