Il Consiglio di governance è composto da dirigenti responsabili della gestione di tutti i rischi per l'organizzazione, con l'obiettivo primario di fornire supervisione alla funzione di sicurezza dell'organizzazione, garantendo al tempo stesso che la funzione di sicurezza continui a soddisfare le esigenze sia dell'organizzazione che dei suoi stakeholder. Esaminano i progetti in corso e pianificati, i parametri remoti e qualsiasi altra questione di sicurezza che possa riguardare l'intera azienda.

Ogni acquisizione comporta una serie unica di circostanze e gli esperti di sicurezza di entrambe le organizzazioni dovrebbero riunirsi per valutare i controlli di sicurezza di ciascuna organizzazione e capire come eliminare le ridondanze e garantire il contenimento del sistema.

Possibili punti di rischio:

Contromisure:

•Identificare e classificare tutti i beni coinvolti nella dismissione, compresi hardware, software e risorse informative;

•Disaccoppiare i sistemi interessati dall'infrastruttura rimanente.

•Rivedere tutti i diritti di accesso.

•Consultare i team legali e di conformità per assicurarsi di seguire tutti i requisiti normativi e di conformità necessari relativi alla conservazione, all'eliminazione dei dati, ecc.

Il responsabile della sicurezza delle informazioni è il dirigente senior responsabile della gestione complessiva e della supervisione del programma di sicurezza delle informazioni all'interno di un'organizzazione.

Il responsabile della sicurezza delle informazioni guida la strategia e la visione di sicurezza dell'organizzazione ed è il responsabile ultimo della sicurezza dei sistemi e delle informazioni dell'azienda.

Il CSO è un dirigente senior all'interno di un'organizzazione ed è generalmente responsabile di tutte le questioni relative alla sicurezza fisica e alla sicurezza del personale.

Molte organizzazioni hanno fuso le responsabilità del CSO nel ruolo del CISO

Sono misure di protezione tecniche, operative o amministrative utilizzate da un'organizzazione per prevenire, rilevare, ridurre o contrastare le minacce alla sicurezza.

Controlli tecnici: protezioni e contromisure basate sul sistema come firewall, I1DS/PS e prevenzione della perdita di dati (DLP) •

Controlli operativi: misure protettive e contromisure eseguite principalmente da esseri umani, come le guardie di sicurezza.

Controlli di gestione: includono politiche, procedure e altre contromisure per controllare i rischi per la sicurezza delle informazioni.

Il principio di cautela si riferisce a un comportamento ragionevole e prudente per proteggere la sicurezza delle informazioni, compreso il mantenimento della riservatezza, dell'integrità e della disponibilità delle informazioni, e si applica a tutte le persone. Questo principio si applica a qualsiasi persona o organizzazione, indipendentemente dal suo livello di esperienza nella sicurezza delle informazioni.

La due diligence si riferisce a una serie di misure adottate nella sicurezza delle informazioni per garantire che siano state implementate misure di sicurezza ragionevoli e funzionino in modo efficace. Questi includono lo sviluppo di un quadro di sicurezza formale, lo sviluppo di politiche di sicurezza, standard, linee di base, linee guida e procedure e altro ancora. A questo proposito, è responsabilità dell’alta direzione garantire che venga effettuata la due diligence.

Approvata dal Congresso degli Stati Uniti nel 1987, è stata rimossa e sostituita dalla FISMA.

Federal Information Security Management Act, tutte le agenzie governative federali e le organizzazioni non governative degli Stati Uniti che forniscono servizi di informazione a queste agenzie sono tenute a condurre valutazioni di sicurezza basate sul rischio in linea con il NIST Risk Management Framework (RMF)

La normativa relativa alla finanza delle società quotate

Normative per il settore delle carte di pagamento

Sta per controllo organizzativo e di sistema ed è un framework di audit con tre tipi di audit e reporting SOC comunemente utilizzati, denominati SOC1, SOC2 e SOC3.

SOC1: Audit relativo al bilancio

SOC2: rapporti dettagliati di audit e conformità, generalmente non aperti al pubblico.

SOC3: una versione semplificata di SOC2, disponibile al pubblico.

I requisiti sulla privacy si riferiscono alla protezione della sicurezza e alla riservatezza delle informazioni personali durante l'elaborazione delle informazioni e alla limitazione dell'accesso alle informazioni personali all'ambito di utilizzo autorizzato della parte autorizzata. In sostanza, la privacy si riferisce alla protezione delle informazioni di identificazione personale per proteggere il diritto alla privacy di un individuo.

1.4.2.1PII

La criminalità informatica si riferisce ad attività criminali che coinvolgono direttamente i computer o Internet, che includono principalmente:

Le violazioni dei dati sono un tipo speciale di crimine informatico in cui i criminali informatici accedono o rubano le informazioni senza autorizzazione. Le organizzazioni colpite da una violazione dei dati potrebbero dover affrontare danni alla reputazione, episodi di furto di identità, multe o perdita di proprietà intellettuale a causa di furto. La crittografia è un modo semplice per proteggere la tua organizzazione dalle violazioni dei dati.

Computer Fraud and Abuse Act (CFAA): la prima legge penale americana contro la criminalità informatica, che rende molti tipi di hacking un crimine federale. Gli emendamenti della CFAA hanno incontrato resistenza.

Electronic Communications Privacy Act (ECPA): impedisce al governo degli Stati Uniti di intercettare comunicazioni e archiviare informazioni e il governo deve soddisfare severi requisiti per ottenere un mandato di perquisizione per le comunicazioni elettroniche.

Legge sul furto di identità e sulla presunzione di deterrenza: rende il furto del valore di una persona un crimine federale.

Il software è una forma importante di proprietà intellettuale. Le organizzazioni investono ingenti risorse finanziarie e umane nello sviluppo del software e quindi nella protezione del software attraverso accordi di licenza. Esistono quattro tipi comuni di accordi di licenza:

Una responsabilità molto importante dei professionisti della sicurezza delle informazioni è proteggere la proprietà intellettuale appartenente alla propria organizzazione dall'uso o dalla divulgazione non autorizzata.

1.Diritto d'autore

2.Marchi

3.Brevetti

4. Segreti commerciali

Il Regolamento sul traffico di armi (TAR) è tutto ciò che riguarda gli articoli sulla difesa

Le norme sull'amministrazione delle esportazioni (EAR) coprono molte ampie categorie tecnologiche, tra cui elettronica e computer sensibili, laser, navigazione, tecnologia marina e altro ancora.

1. "Legge sulla Privacy"

2. Legge sulla portabilità e responsabilità dell'assicurazione sanitaria (HIPAA)

3. Legge sulla protezione della privacy online dei bambini (COPPA)

4. Legge sulla modernizzazione dei servizi finanziari (GLBA)

5. Legge sull'informatica sanitaria per la salute economica e clinica (HITECH).

1.《Direttiva sulla protezione dei dati (DPD)》

2. Regolamento generale sulla protezione dei dati (GDPR)

3. "Safe Harbor" e "Privacy Shield" sono accordi di protezione della privacy tra gli Stati Uniti e l'Unione Europea, ed entrambi sono scaduti.

Un'indagine all'interno di un'organizzazione per trovare la causa principale di un problema e risolverla in modo che l'azienda possa riprendere le normali operazioni.

Una politica di sicurezza è un insieme di dichiarazioni che descrivono molto attentamente le aspettative di sicurezza a lungo termine di un'organizzazione e identificano i principi e le regole che governano la protezione dei sistemi informativi e dei dati nell'organizzazione.

•Il rispetto delle politiche è obbligatorio e le politiche sono generalmente approvate dal livello più alto dell'organizzazione.

Alcune politiche di sicurezza comuni: politica di utilizzo accettabile, politica di controllo degli accessi, politica di gestione delle modifiche, politica di accesso remoto, politica di ripristino di emergenza

Gli standard di sicurezza specificano i dettagli specifici dei controlli di sicurezza che un'organizzazione deve seguire, come i protocolli di crittografia approvati dall'organizzazione, dove vengono archiviati i dati, i parametri di configurazione e altri dettagli tecnici e operativi. Quando si tratta di standard di configurazione complessi, spesso si fa riferimento a standard di settore, come la Guida alla configurazione della sicurezza fornita dal Center for Internet Security.

Il rispetto delle norme di sicurezza è obbligatorio. La linea di base di sicurezza è correlata agli standard che stabiliscono un livello di sicurezza minimo per un sistema, una rete o un dispositivo. Se i requisiti di base non vengono soddisfatti, non può andare online.

Le procedure di sicurezza sono istruzioni passo passo che i dipendenti possono seguire quando eseguono compiti di sicurezza specifici.

Le guide sono i luoghi in cui i professionisti della sicurezza forniscono consigli ad altri membri dell'organizzazione, comprese le migliori pratiche per la sicurezza delle informazioni. Il rispetto delle linee guida di sicurezza è facoltativo.

1. Inizia definendo il team di progetto, l'ambito e il budget del BC

2. Identificare le basi aziendali critiche (CBF) e altri elementi aziendali essenziali, tra cui

3. Condurre analisi del rischio sulle attività chiave:

1. Il tempo di inattività massimo tollerabile (MTD) o il tempo di inattività massimo accettabile (MAO) rappresenta il periodo di tempo totale in cui le funzioni aziendali critiche non sono disponibili. L'MTD deve essere determinato dal proprietario del sistema, che ha la responsabilità ultima del corretto funzionamento del CBF dell'organizzazione.

2. Recovery Time Objective (RTO) è il periodo di tempo massimo che l'azienda critica deve riprendere dopo un'interruzione per evitare conseguenze aziendali inaccettabili. L'RTO deve essere inferiore o uguale a MTD.

3. Recovery Point Objective (RPO) è una misurazione della perdita di dati tollerabile, espressa in periodi di tempo.

Un piano di continuità aziendale è progettato per proteggere le funzioni aziendali critiche e i clienti di un'organizzazione e garantire che l'organizzazione possa continuare a operare in modo efficace entro livelli di servizio e periodi di tempo specificati per soddisfare i requisiti legali e normativi, nonché i set MTD, RTO e RPO da parte dell'organizzazione.

Fase BCP del piano di continuità aziendale

funzioni aziendali critiche

Minacce, vulnerabilità e rischi

Piano di backup e ripristino dei dati

Personale correlato all'FBCP

piano di comunicazione

Requisiti dei test BCP

Garantire la sicurezza delle persone all'interno e all'esterno dell'organizzazione durante le emergenze è l'obiettivo primario di BCP. Fornire formazione e istruzione adeguate in modo che i dipendenti sappiano come agire in caso di emergenza.

Valutare le funzioni aziendali critiche e determinare le risorse necessarie in caso di disastro. Sviluppare piani di siti di backup per strutture e capacità di elaborazione dei dati critici per garantire la continuità delle operazioni.

Anticipare i guasti software e hardware e sviluppare controlli per ridurre i rischi. Implementare il backup dei dati e sistemi ridondanti, comprese infrastrutture quali energia, acqua, comunicazioni e connettività di rete.

Educazione di base

esperienza di lavoro

-cittadinanza

-Fedina penale

test antidroga

Grado

Storia creditizia e finanziaria

attività sui social media

Nota: le società straniere generalmente non prestano attenzione agli esami fisici (esami fisici ordinari)

Gli accordi più comuni tra i dipendenti sono gli accordi di non divulgazione (NDA) e gli accordi di non concorrenza (NCA).

1• Accordo di non divulgazione (NDA)

2 • Patto di Non Concorrenza (NCA)

Oltre alle NDA e alle NCA, ai dipendenti potrebbe essere richiesto di firmare altri requisiti dell'organizzazione, come una politica di utilizzo accettabile (AUP), un codice di condotta o una politica sul conflitto di interessi.

Dopo essere entrato in azienda, devi prima firmare un contratto di lavoro. A seconda della posizione, potrebbe essere necessario firmare un accordo di non divulgazione (NDA) e un accordo di non concorrenza (NCA). I ​​diritti di accesso al sistema vengono assegnati in base al dipendente posizione. Quindi, fornire formazione ai dipendenti, inclusa la cultura organizzativa, le strategie, i processi, le competenze, ecc.

I manager dovrebbero rivedere o valutare periodicamente la descrizione del lavoro, i compiti, le autorità e le responsabilità di ciascun dipendente per tutta la posizione di un dipendente per garantire che continuino a soddisfare i requisiti della posizione.

•Sviluppo dei privilegi (deriva dei privilegi): man mano che il contenuto lavorativo dei dipendenti aumenta, questi possono ottenere autorizzazioni che superano i requisiti della posizione.

•Ferie obbligatorie: richiedere ai dipendenti di assentarsi dal lavoro per 1-2 settimane e di essere sostituiti da altri dipendenti per individuare abusi, frodi o negligenze.

•Collusione: ridurre la probabilità che i dipendenti siano disposti a collaborare a uno schema illegale o abusivo attraverso misure quali la separazione dei compiti, il congedo forzato, la rotazione del lavoro e la formazione incrociata a causa del rischio maggiore di essere scoperti.

•Analisi del comportamento degli utenti e delle entità (UEBA): analisi di utenti ed entità per aiutare a ottimizzare i piani di gestione delle persone.

Quando i dipendenti si dimettono, dovrebbero prestare attenzione ai seguenti punti:

Accordi e controlli con fornitori, consulenti e appaltatori Il rischio multiparte esiste quando più entità o organizzazioni sono coinvolte in un progetto. L'accordo sul livello di servizio (SLA) garantisce che i prodotti o i livelli di servizio del fornitore soddisfino le aspettative. In caso contrario, sarà previsto un compenso per garantire la qualità del servizio. Fornitori, consulenti e appaltatori vengono talvolta definiti outsourcing. Le organizzazioni possono anche migliorare l'efficienza della gestione dell'outsourcing attraverso un sistema di gestione dei fornitori (VMS).

La gestione della sicurezza del personale deve soddisfare i requisiti legali e normativi, come PCI DSS.

La gestione della sicurezza del personale deve anche soddisfare i requisiti delle politiche sulla privacy, come il GDPR.

Ricordare ai dipendenti il ​​loro obbligo di proteggere le informazioni e proteggersi dalle minacce e di essere consapevoli che le loro azioni potrebbero essere esaminate attentamente.

Rimuovere i diritti di accesso che non sono più necessari in caso di riassegnazione e seguire il principio del privilegio minimo.

Le dimissioni si dividono in volontarie e involontarie. Quando un dipendente se ne va in buoni rapporti, è sufficiente sottoporsi alle procedure di separazione dell'organizzazione.

Se la separazione è involontaria, dovrebbero essere intraprese azioni appropriate per proteggere i beni dell'organizzazione

• Colloquio di uscita, promemoria della NDA firmata e altri accordi pertinenti

•Chiudere l'accesso al sistema informando i dipendenti del licenziamento e conducendo controlli sulla lista di controllo della separazione

•Informare i dipendenti rimanenti che il dipendente licenziato non sarà più ammesso all'interno dell'organizzazione

La checklist di separazione prevede: revoca dei diritti di accesso, recupero di chiavi, badge, attrezzature e documenti.

-Implementare il controllo degli accessi

Revisione orale dello scambio di documenti

Gestire e monitorare gli hook di manutenzione (backdoor)

Condurre una valutazione in loco

Rivedere processi e politiche

Sviluppare un accordo sul livello di servizio

•Formazione dei dipendenti: fornire formazione iniziale e periodica ai dipendenti e ad altro personale interessato per garantire la conformità alle politiche.

•Consapevolezza della sicurezza: migliorare l'attenzione e la comprensione della sicurezza delle informazioni.

•Formazione relativa al lavoro: fornire formazione specifica in base alle esigenze lavorative dei dipendenti.

•Rendere chiare le conseguenze della politica: indicare nella politica le potenziali conseguenze della non conformità, come azioni disciplinari, sospensione o licenziamento.

•Conformità alle leggi e ai regolamenti: garantisce che le politiche organizzative siano conformi alle leggi, ai regolamenti e agli altri obblighi legali applicabili.

• Coerenza della politica: i requisiti, i controlli e le procedure dell'organizzazione devono essere coerenti con la politica.

•Principio di minimizzazione: raccogliere solo le informazioni necessarie per completare il legittimo processo di assunzione.

•Accesso limitato: fornisce l'accesso solo a coloro che hanno bisogno di conoscere tali informazioni.

•Utilizzare la crittografia: utilizzare il più possibile la tecnologia di crittografia per impedire che le informazioni vengano lette attraverso canali anomali.

•I rischi intrinseci sono quelli che esistono prima dell'implementazione di qualsiasi misura di controllo

•Il rischio residuo è il livello di rischio che rimane dopo l'introduzione dei controlli

Una persona o entità che potrebbe violare intenzionalmente o involontariamente la sicurezza di una risorsa, come un hacker, un dipendente scontento o un disastro naturale.

Debolezze o vulnerabilità nel sistema possono creare rischi se sfruttate dagli autori delle minacce.

Una risorsa è qualsiasi cosa di valore, che può includere persone, proprietà e informazioni.

Il rischio è l’intersezione tra minacce, vulnerabilità e risorse. La valutazione del rischio è una serie di attività che includono l’identificazione di potenziali minacce e vulnerabilità e la determinazione dell’impatto e della probabilità che tali minacce sfruttino le vulnerabilità identificate.

1. Identificazione del rischio: identificare le risorse e il loro valore per l'organizzazione

2. Analisi del rischio: determinare la probabilità che una minaccia sfrutti una vulnerabilità

3. Valutazione del rischio: determinare l'impatto aziendale di queste potenziali minacce

4. Trattamento del rischio: fornire un equilibrio economico tra l'impatto della minaccia e il costo delle contromisure

Inizia identificando le risorse dell'organizzazione e determinando il valore di tali risorse, quindi identificando e descrivendo le vulnerabilità e le minacce che pongono rischi alle risorse.

L’analisi del rischio inizia con la valutazione della vulnerabilità e l’analisi delle minacce, calcolando la probabilità che si verifichino i rischi e classificandoli in base al loro impatto.

1.10.2.4.1 Analisi qualitativa del rischio

1.10.2.4.2 Analisi quantitativa del rischio

Eliminare i rischi identificati arrestando o rimuovendo le attività o le tecnologie che contribuiscono ai rischi.

Ridurre il danno che i rischi possono causare implementando misure politiche e tecniche.

Chiamata anche assegnazione del rischio (Risk Assignmen0), la responsabilità e le potenziali perdite legate ai rischi vengono trasferite a terzi.

Modo comune: acquistare un'assicurazione.

Accettare un rischio diventa un’opzione quando il costo per evitare, mitigare o trasferire il rischio supera le perdite attese derivanti dalla minaccia realizzata.

•Relativi al personale:

•Relativi alla gestione

•Relativo alla tecnologia:

•Relativi alla fisica:

Esaminare le percezioni dal punto di vista della prevenzione, rilevamento e correzione per garantire l’efficacia delle contromisure al rischio. Ad esempio, se la crittografia non è in grado di risolvere un rischio specifico, prova un altro approccio, ad esempio considerando il backup.

Assicurarsi che il costo delle misure di sicurezza sia commisurato al valore dei beni da proteggere.

Considerare se l’implementazione e l’uso delle contromisure sono troppo difficili per evitare l’aumento dei rischi dovuti ad un uso scorretto.

•Prevenzione: previene il verificarsi di incidenti, come firewall, backup di sistema, IPS.

•Rilevamento: identifica l'attività degli eventi e potenziali intrusi, come 1DS.

•Correzione: riparazione di un componente o sistema dopo che si è verificato un incidente, come l'applicazione di patch.

•Minacce: dissuadere potenziali aggressori, come recinzioni, cani poliziotto.

•Ripristino: ripristino dell'ambiente al normale stato operativo, come backup di dati e sistema, siti di ripristino di emergenza.

•Compensazione: fornire misure di controllo alternative.

•Ispezione: il valutatore richiede solitamente all'organizzazione di fornire un elenco di politiche di sicurezza, file di configurazione, ecc. per revisione, revisione, osservazione, ricerca o analisi e di formare un parere preliminare.

•Interviste: i valutatori incontrano le principali parti interessate per saperne di più sui controlli di sicurezza in atto e su come funzionano.

. Test: i test confermano che i controlli di sicurezza sono implementati come documentato, sono efficaci e funzionano come previsto.

Audit interno (ad esempio autovalutazione)

•Audit esterni (ad esempio autorità di regolamentazione o altri audit di terze parti)

• Cambiamenti significativi nel profilo di rischio dell'organizzazione

•Modifiche importanti ai controlli di sicurezza o privacy

• Violazioni della sicurezza correlate o confermate (o altri incidenti)

Solitamente contiene cinque livelli:

Le sei fasi del Risk Management Framework (RMF) nel NIST800-37Rev.2:

Quanto prima viene eseguita la modellazione delle minacce, tanto più conveniente risulta essere. Generalmente dai seguenti tre aspetti

1.

2.

3.

4. DREAD (deprecato, classificazione quantitativa del rischio delle vulnerabilità derivanti da danni, replicabilità, sfruttabilità, utenti interessati, rilevabilità)

5. Altri metodi di modellazione delle minacce

• Spoofing dell'identità

• Manomissione dei dati (manomissione dei dati)

•Ripudio

•Rivelazione di un 'informazione

•Negazione del servizio

•Elevazione dei privilegi

PASTA è un approccio basato sul rischio alla modellazione delle minacce che combina obiettivi aziendali con requisiti tecnici, rendendo il risultato più comprensibile al senior management. A differenza di STRIDE, l’approccio PASTA è strettamente un framework di identificazione delle minacce che fornisce un potente processo per identificare e mitigare le minacce.

Il processo PASTA si compone delle seguenti sette fasi:

Immagine di parti difettose o non conformi agli standard

Parti contraffatte o contraffatte

Immagine di un componente elettronico contenente malware a livello di firmware

È stato impiantato il cavallo di Troia

Sono presenti vulnerabilità nella libreria dei componenti utilizzata

perdita di dati

1.NIST IR 7622

2.ISO 28000

3. Orientamenti del Centro nazionale per la sicurezza informatica (NCSC) del Regno Unito

L'ingegneria sociale è una tattica di manipolazione in cui un utente malintenzionato finge di essere qualcun altro nel tentativo di ottenere informazioni sensibili.

Il phishing è la forma più comune di ingegneria sociale e una delle principali fonti di rischi per la sicurezza.

I campioni della sicurezza sono sostenitori delle migliori pratiche di sicurezza e si tratta di dipendenti che non fanno della sicurezza il loro lavoro principale.

La gamification è l’applicazione di elementi di gioco a situazioni non di gioco per coinvolgere ed educare un pubblico target.

Come il tasso di completamento della formazione, il numero di partecipanti e altri indicatori sintetici.

I quiz sono un modo efficace per valutare l'efficacia della formazione.

Le giornate di sensibilizzazione sulla sicurezza sono progettate per aumentare la consapevolezza sulla sicurezza raccogliendo opinioni e suggerimenti dei dipendenti sui programmi di sicurezza attraverso questionari anonimi.

I metodi di valutazione includono la raccolta degli aumenti o delle diminuzioni del numero di incidenti di sicurezza o di sospetti incidenti di phishing segnalati a seguito della formazione.