interno

externo

assinatura de código

Desenvolver estratégias, padrões, medidas e diretrizes

Gerenciamento de riscos

segurança pessoal

Treinamento de conscientização de segurança

Implementar e manter mecanismos lógicos de controle de acesso

Gerenciamento de senhas e recursos

Métodos de identificação e autenticação

equipamento de segurança

Medidas para controlar o acesso individual às instalações e diferentes departamentos (controlo de acessos, segurança, fechaduras)

Perímetro de proteção (cercas, paredes, iluminação)

Detecção física de intrusões

controle ambiental

Prevenção (dissuasão), detecção, correção/recuperação (backup, BCP, DRP) Compensação (Controle)

ambiente de controle

avaliação de risco

atividades de controle

Informação e comunicação

monitor

Estratégia de serviço

design de serviço

transição de Serviço

Operação de serviço

Melhoria contínua do serviço

Inicial, repetível, definido, gerenciado, otimizado

Inicial, Gerenciado, Definido, Gerenciado Quantitativamente, Otimizando

Com base nos resultados da avaliação de riscos, nos requisitos legais e regulamentares e nos negócios organizacionais, Determinar objetivos e medidas de controle com base nas necessidades operacionais

Implemente controles de segurança selecionados.

De acordo com políticas, procedimentos, padrões e leis e regulamentos, Realizar verificações de conformidade na implementação de medidas de segurança

Tomar contramedidas com base nos resultados da inspeção para melhorar as condições de segurança

Declaração mais geral sobre segurança da informação

Um compromisso da alta administração de assumir a responsabilidade pela segurança da informação

Descrever o que e os objetivos proteger

Estabelecer um mecanismo de fiscalização para implementação de políticas

Semelhante aos padrões, os métodos para fortalecer a segurança do sistema são recomendações.

Atender ao nível mínimo de requisitos de segurança exigidos pela política

Etapas detalhadas para executar uma tarefa específica (específica)

O procedimento é uma descrição detalhada (COMO) das etapas específicas para executar a tarefa de proteção.

Orçamento para atividades de segurança da informação

Desenvolvimento de estratégias de desenvolvimento, procedimentos, linhas de base, padrões e diretrizes

Desenvolva um programa de conscientização sobre segurança

Participar de reuniões de gestão

Auxiliar em auditorias internas e externas

Definir o nível de risco aceitável de uma organização

Determine metas e estratégias de segurança

Atender às necessidades de negócios determina a prioridade das atividades de segurança

Revise a avaliação de risco e relatórios de auditoria

Monitore o impacto comercial dos riscos de segurança

Revisão de acidentes nucleares envolvendo graves violações de segurança

Aprovar quaisquer alterações significativas nas políticas e planos de segurança

A integridade das demonstrações financeiras e informações financeiras da empresa

Sistema de controle interno da empresa

Emprego e Desempenho de Auditores Independentes

Desempenho da função de auditoria interna

Cumprir os requisitos legais e as políticas da empresa relacionadas à ética

Plano de longo prazo, por exemplo, 5 anos

, relativamente estável, define os objetivos e a missão da organização

Plano de médio prazo, por exemplo, 1 ano

Uma descrição detalhada das tarefas e do progresso no sentido de atingir as metas estabelecidas no plano estratégico, Como planos de emprego, planos orçamentários, etc.

Planos de curto prazo altamente detalhados e atualizados com frequência

Atualizações mensais ou trimestrais, como planos de treinamento, planos de implantação de sistema, etc.

Responsável pela gestão de um determinado departamento de negócios e responsável pela proteção e aplicação de informações específicas

Tenha o dever de “devido cuidado”

Responsabilidades

Função empresarial em vez de função técnica

O papel do departamento de TI ou segurança

Responsabilidades

Responsável por um ou mais sistemas, cada um dos quais pode armazenar e processar dados pertencentes a diferentes proprietários de dados

Responsável por integrar fatores de segurança em aplicações e sistemas

Garantir que as vulnerabilidades do sistema sejam avaliadas

Adote medidas de segurança adequadas para garantir a segurança do sistema

Responsável por implementar, monitorar e fazer cumprir regulamentos e políticas de segurança

Reporte ao Comitê de Segurança e ao Diretor de Segurança da Informação

Verifique o sistema para determinar se os requisitos de segurança são atendidos e se os controles de segurança são eficazes

Fornece garantia independente para gerenciamento de metas de segurança

Ajudar a desenvolver políticas, padrões e diretrizes e definir padrões de referência

Principalmente no nível de design, não no nível de implementação

Ter consciência da segurança das aplicações, cumprir as políticas de segurança, usar o sistema adequadamente e relatar incidentes de segurança

Reduza riscos, reduza custos de recrutamento e reduza a rotatividade de funcionários

Proteja informações confidenciais da empresa

Ninguém deve ter controle total de uma tarefa sensível, valiosa ou crítica do início ao fim

Objetivo: Menos oportunidades para fraude ou erro

Exemplo:

Permissões mínimas necessárias para atribuir responsabilidades

Não permita que uma pessoa mantenha uma posição fixa por muito tempo para evitar que os indivíduos ganhem muito controle

Configure backup de pessoal para facilitar o treinamento cruzado e detectar fraudes

Forçar o pessoal sensível do departamento a se ausentar pode detectar efetivamente fraudes, modificação de dados, abuso de recursos, etc.

Acordos de confidencialidade devem ser assinados com organizações e indivíduos terceiros

Monitore todas as atividades de trabalho de terceiros

Garantir que a identidade do pessoal terceirizado seja verificada no momento do acesso

Com base nas medidas acima, verificações adicionais de antecedentes pessoais

Pessoal terceirizado sai do site e precisa recuperar as permissões relevantes

Dotar os profissionais de segurança das competências profissionais necessárias para trabalhar.

Caminho:

insights de segurança

"Por que"

Ensinar habilidades de trabalho relacionadas à segurança, principalmente para pessoal de gerenciamento e manutenção de sistemas de informação

Caminho:

adquirir conhecimento

"Como fazer"

A consciência coletiva geral entre os funcionários de uma organização sobre a importância da segurança e dos controles

Caminho:

Enviar mensagem

"O que é"

Modelagem de ameaças (PASSADA)

Identifique os riscos

Analise os riscos

Avalie o risco

Abordagem qualitativa de AR, com foco nos riscos de TI

1. Classificação do sistema; 2. Identificação de fraquezas; 3. Identificação de ameaças; 4. Identificação de contramedidas; 5. Avaliação de possibilidades; 6. Avaliação de impacto; 7. Avaliação de riscos; 8. Recomendação de novas contramedidas; 9. Relatório documental;

Uma especificação autônoma de avaliação de risco de segurança da informação baseada em riscos de ativos de informação, Enfatiza ser orientado por ativos e consiste em 3 etapas e 8 processos.

A abordagem OCTAVE implanta programas de gerenciamento de risco em toda a organização e integra-se aos planos de segurança

Processos básicos: identificação e avaliação de ativos; avaliação de ameaças e vulnerabilidades;

Pré-selecionado para focar apenas nos sistemas que realmente exigem avaliação para reduzir custos e tempo

Situação orçamentária limitada

Crie uma árvore de todas as ameaças que um sistema pode enfrentar. As ramificações podem representar coisas como ameaças cibernéticas. Categorias como ameaças físicas e falhas de componentes exigem a remoção de ramificações não utilizadas ao executar RA.

Derivado da análise de hardware. Examine a falha potencial de cada componente ou módulo e examine o impacto da falha

Um método australiano de avaliação de risco não usado especificamente para segurança

Identifique o proprietário, custodiante e usuário de cada ativo

Estabeleça uma lista de ativos e identifique ativos de informação com base nos processos de negócios

A forma em que existem ativos de informação

Fatores de avaliação

Classificar os ativos com base na importância (impacto ou consequências), Considere também as possíveis consequências do comprometimento da confidencialidade, integridade e disponibilidade.

Um ativo pode enfrentar múltiplas ameaças e uma ameaça pode afetar vários ativos.

Identifique fontes de ameaças

A avaliação da probabilidade da ameaça leva em consideração a motivação e as capacidades da fonte da ameaça

Possíveis vulnerabilidades exploráveis ​​para cada ativo

caminho de identificação

Métodos de tratamento de risco

Estratégias de seleção de medidas de controle de risco

Riscos que permanecem ou permanecem após a implementação de controles de segurança

Atribuir valor aos ativos

Estimar perdas potenciais para cada ameaça

Realize análises de ameaças

Calculado para cada ativo e ameaça Expectativa de Perda Única (SLE) de

Calcule as perdas anuais potenciais para cada ameaça

Julgamento, melhores práticas, intuição e experiência

Métodos de tomada de decisão em grupo, delphi

questões de pesquisa

examinar

Entrevista

Utilização do computador como ferramenta de auxílio na prática de um crime; Os computadores não são um factor necessário na criminalidade, mas servem como ferramentas para ajudar os criminosos.

Crimes contra computadores, redes e informações armazenadas nesses sistemas

O computador não é necessariamente o invasor ou a vítima, Aconteceu de estar envolvido no ataque quando aconteceu.

lei civil

lei criminal

Lei Administrativa

A capacidade da empresa de competir ou comercializar é crítica

Não muito conhecida, a empresa investiu recursos e esforços relevantes para desenvolver

Receber proteção adequada da empresa para evitar divulgação ou uso não autorizado

Exemplo:

Direitos legalmente protegidos para publicar, copiar, exibir e modificar publicamente a maioria das obras

Não protege a criatividade do trabalho, mas sim a expressão da criatividade.

Exemplo:

Protege palavras, nomes, símbolos, formas, sons, cores que representam a imagem da empresa

As marcas registradas geralmente são registradas em uma agência de registro de marcas

Uma marca é uma marca de qualidade e credibilidade estabelecida por uma empresa em sua atuação no mercado.

Reconhecimento legal da propriedade de patente por um registrante de patente ou empresa, proibindo o uso não autorizado por terceiros ou empresas

Patente é válida por 20 anos

Exemplo:

direito de ser deixado sozinho

Proteção contra direitos irracionais contra indivíduos

O direito de decidir quais informações pessoais podem ser divulgadas e para quem

Para evitar infrações injustificadas, o resultado final é o consentimento informado e medidas de proteção adequadas.

Para evitar a falta de métodos apropriados, o resultado final é “equidade e justiça” e existe um mecanismo de correção de erros.

A recolha de dados pessoais requer o consentimento do titular dos dados e a notificação da finalidade

Recolha apenas dados relacionados com a finalidade e utilização e guarde-os apenas pelo período necessário para a finalidade.

Métodos de coleta de dados Métodos para fins de coleta de dados

Tomar medidas razoáveis, técnicas, gerenciais e operacionais para evitar que informações pessoais sejam infringidas maliciosamente, Garantir a integridade e a confidencialidade dos dados e eliminar os dados desatualizados para impedir o acesso por parte daqueles que não precisam realizar trabalho relevante.

Revise as informações coletadas e corrija os erros

Desastres naturais, como terremotos, inundações, incêndios naturais, erupções vulcânicas e clima convectivo severo

Sistema/técnico, como hardware, interrupções de software, erros de sistema/programação

Sistemas de abastecimento, interrupções de comunicações, falhas no sistema de distribuição, rupturas de tubulações

Provocado pelo homem, explosão, incêndio, vandalismo, contaminação química, código prejudicial

Atividades políticas, terroristas, motins, greves

Para uma organização, qualquer coisa que resulte em funções críticas de negócios sendo Eventos que não podem ser realizados dentro de um determinado período de tempo são considerados desastres

Características:

dois elementos

Reduza o impacto de desastres ou interrupções nos negócios

Tomar as medidas necessárias para garantir que recursos, pessoas e processos de negócios sejam restaurados o mais rápido possível

Garantir que a organização ainda possa manter as operações comerciais diante de diversas situações

Resolver problemas a partir de uma perspectiva de longo prazo, principalmente fornecendo métodos e medidas para paralisações de produção e eventos de desastre a longo prazo

Fornecer resposta oportuna e apropriada em caso de emergência

Proteja vidas e garanta a segurança

Reduza o impacto nos negócios

Restaure funções críticas de negócios

Reduza o caos durante desastres

Garanta a viabilidade do negócio

Comece a funcionar rapidamente após um desastre

Desenvolver uma estratégia (política) de planejamento de continuidade

Realizar análise de impacto nos negócios (BIA)

Determinar métodos de controle preventivos

Desenvolva uma estratégia de recuperação

Desenvolver PCN

Teste BCP

Manter plano de continuidade de negócios

Comunicação e ligação entre a equipe de desenvolvimento do programa e a gestão

O direito de contato direto e comunicação com todos os envolvidos no plano

Compreender totalmente o impacto da interrupção de negócios nos negócios da organização

Familiarizado com as necessidades e operações da organização e com a capacidade de equilibrar as diferentes necessidades dos departamentos relevantes da organização

Acesso mais fácil à alta administração

Compreender a direção dos negócios da organização e as intenções da alta administração

Capacidade de influenciar decisões da alta administração

Objetivos, escopo, necessidades

Princípios e diretrizes básicas

Deveres e responsabilidades

Requisitos básicos para links principais

Análise qualitativa para determinar o impacto de um evento de desastre ou interrupção em termos de gravidade

Análise quantitativa do impacto de um desastre ou evento perturbador em termos monetários

Analise o impacto das interrupções

Determine janelas de recuperação para cada função de negócios

Problemas

Sugestões de resposta

Ferramentas automatizadas qualitativas e quantitativas Auxiliar na integração e análise de informações

Representante da empresa verifica e confirma os resultados da análise das informações

O tempo de recuperação do trabalho é relativamente fixo

Antes que a indisponibilidade do sistema afete seriamente a organização O tempo máximo permitido para ser consumido

O ponto em que os dados devem ser recuperados para continuar o processamento. Ou seja, a quantidade máxima de perda de dados permitida