Должностные обязанности (должностные обязанности) относятся к конкретным рабочим задачам, которые сотрудники регулярно выполняют.

Должностные инструкции не являются специфичными для процесса найма и должны сохраняться на протяжении всей жизни организации.

Отбор кандидатов на конкретные должности основан на уровнях чувствительности и классификации, определенных должностной инструкцией.

Проверка анкетных данных включает в себя

Просматривая онлайн-информацию в социальной сети человека, можно быстро составить общую картину отношения, интеллекта, лояльности, здравого смысла, усердия, честности, уважения, последовательности и соблюдения социальных норм и/или корпоративной культуры человека.

Проводить собеседования с квалифицированными претендентами на работу

Как набрать удовлетворительных сотрудников, необходимо подробно описать должностные обязанности

Онбординг — это процесс добавления новых сотрудников в организацию.

Подписать трудовой договор

Соглашение о неразглашении (NDA)

Соглашение о неконкуренции (NCD)

Менеджеры должны периодически пересматривать или проверять должностные инструкции, должностные обязанности, привилегии и обязанности каждого сотрудника на протяжении всего периода его работы.

Аналитика поведения пользователей (UBA)

Аналитика поведения пользователей и объектов (UEBA)

Информация, собранная в ходе мониторинга UBA/UEBA, может быть использована для улучшения политики, процедур, обучения и соответствующих программ по надзору за безопасностью персонала.

Оффбординг — это процесс, противоположный адаптации, когда сотрудник покидает компанию, а его личность удаляется из системы IAM.

Полный процесс увольнения: Это может включать в себя отключение и/или удаление учетных записей пользователей, отзыв сертификатов, отзыв кодов доступа и прекращение других специально предоставленных привилегий. Обычно учетную запись бывшего сотрудника отключают, чтобы его личность сохранялась в течение нескольких месяцев в целях аудита.

В процессе увольнения важно иметь прочные отношения между отделом безопасности и отделом кадров (HR), чтобы поддерживать контроль и минимизировать риск.

Вопросы безопасности отставки

Уволен: время решает все

Соглашение об уровне обслуживания (SLA) — это метод, гарантирующий, что организация, предоставляющая услугу, поддерживает соответствующие уровни обслуживания на основе соглашения между поставщиком услуг, поставщиком или подрядчиком и организацией-заказчиком.

Соглашения об уровне обслуживания и меры контроля для поставщиков, консультантов и подрядчиков являются важной частью снижения и предотвращения рисков.

Система управления поставщиками (VMS): VMS — это программное решение, которое помогает управлять и закупать кадровые услуги, оборудование, программное обеспечение и другие необходимые продукты и услуги.

Аутсорсинг — это термин, который обычно относится к использованию сторонней третьей стороны, такой как поставщик, консультант или подрядчик, вместо выполнения задач или операций собственными силами. Аутсорсинг может быть вариантом реагирования на риск, известный как риск передачи или назначения.

Соблюдение требований — это акт соответствия или соблюдения правил, политики, положений, стандартов или требований.

Комплаенс — это административная или управленческая форма контроля безопасности.

Обеспечение соблюдения требований относится к санкциям или последствиям, налагаемым за несоблюдение политик, обучения, передового опыта и/или правил.

Соблюдение требований также является вопросом регулирования.

Некоторые определения конфиденциальности

Персональная информация (PII)

Общий регламент ЕС по защите данных (GDPR) (Регламент [ЕС] 2016/679)

Законы и правила США о конфиденциальности

Управление рисками — это детальный процесс

Основная цель управления рисками – снизить риск до приемлемого уровня.

Риски для ИТ-инфраструктуры связаны не только с компьютерами

Два основных элемента управления рисками

Осведомленность о рисках — это работа, проводимая для повышения осведомленности о рисках внутри организации. Осведомленность о рисках помогает организации понять важность соблюдения политик безопасности и последствия сбоев в обеспечении безопасности.

толерантность к риску

Актив: активом может быть что угодно, используемое в бизнес-процессе или задаче. Основная задача — защитить активы и обеспечить экономическую эффективность.

Оценка активов: Оценка активов — это денежная стоимость, присвоенная активу на основе ряда факторов, включая важность для организации, использование в ключевых процессах, фактическую стоимость и неденежные затраты, такие как время, внимание, производительность, НИОКР и т. д. ).

Угроза: любое потенциальное событие, которое может произойти и вызвать неблагоприятные или неожиданные последствия для организации или конкретного актива, представляет собой угрозу.

Агент/агент угрозы: агент угрозы или субъект угрозы целенаправленно использует уязвимость.

Инциденты угроз. Инциденты угроз представляют собой случайное и преднамеренное использование уязвимостей.

Вектор угрозы: вектор угрозы или вектор атаки относится к пути или средствам, используемым атакой или злоумышленником для доступа к цели с целью причинения вреда. Внешние невозможно устранить, например, сами хакеры не могут это контролировать.

Уязвимость: Уязвимость — это слабость актива, слабость мер защиты или контроля или отсутствие мер безопасности или контроля/контроля, внутренних, и часто создающих ответственность (техническую или управленческую).

Подверженность: Подверженность — это вероятность того, что угроза нанесет ущерб активу.

Риск: Риск — это вероятность или вероятность того, что угроза воспользуется уязвимостью, чтобы нанести ущерб активу, а также серьезность ущерба, который может быть причинен.

Защитная мера: Защитная мера, контроль безопасности, механизм защиты или контроль — это все, что устраняет или уменьшает уязвимость или защищает от одной или нескольких конкретных угроз.

Атака. Под атакой подразумевается злоумышленник, намеренно пытающийся использовать уязвимость, чтобы вызвать повреждение, потерю или утечку активов.

Нарушение: Нарушение, вторжение или проникновение происходит, когда механизм безопасности обходит или блокирует злоумышленник.

Анализ рисков начинается с инвентаризации всех активов организации. После завершения инвентаризации необходимо оценить каждый актив.

Годовые затраты на защитные меры < Ежегодные ожидания потерь производства

Методы оценки стоимости

Фундаментальной частью управления рисками является выявление и изучение угроз.

Это предполагает создание максимально полного списка угроз для выявленных активов организации. Список должен включать субъектов угроз, а также события угроз.

При составлении списка угроз обязательно учитывайте угрозы из различных источников.

Подробный и формальный список примеров, концепций и классификаций угроз.

В большинстве случаев оценку и анализ рисков выполняет команда.

Оценка/анализ рисков в первую очередь является обязанностью высшего руководства.

Старшее руководство несет ответственность за инициирование и поддержку анализа и оценки рисков путем определения объема и целей работы.

Риск индивидуален или, по крайней мере, специфичен для организации, в зависимости от ее активов, угроз, агентов угроз/субъектов угроз и их толерантности к риску.

методы оценки рисков

Целью оценки рисков является выявление рисков (на основе комбинаций активов и угроз) и их приоритетность по важности.

Смешение количественного и качественного анализа в окончательном процессе оценки рисков организации называется гибридной оценкой или гибридным анализом.

Качественные методы анализа рисков

Количественные методы анализа риска

Смягчение риска, смягчение, уменьшение (смягчение риска): снижение риска или смягчение риска относится к реализации защитных мер, мерам безопасности.

Передача риска. Передача риска или передача риска означает передачу убытков, вызванных рисками, на другое предприятие или организацию.

Сдерживание рисков: Сдерживание рисков – это процесс сдерживания потенциальных нарушителей безопасности и политики.

Уклонение от риска. Уклонение от риска — это процесс выбора альтернативных вариантов или действий, которые менее рискованны, чем вариант по умолчанию, общий, целесообразный или дешевый вариант. Например, выбор лететь до места назначения (а не ехать туда) — это способ избежать риска.

Принятие риска: Принятие риска или толерантность к риску является результатом анализа затрат и выгод, показывающего, что стоимость мер контроля превысит потенциальные потери, вызванные риском.

Отказ от риска. Реакция на неприемлемый, но возможный риск заключается в его отклонении или игнорировании.

Неотъемлемый риск (начальный/начальный риск): естественный, естественный или уровень риска по умолчанию, который существует в среде, системе или продукте до того, как будут предприняты какие-либо усилия по управлению рисками.

Остаточный риск: риск, который руководство предпочитает принять, а не смягчать.

Общий риск: относится к общему риску, с которым сталкивается организация без принятия защитных мер.

Пробел в контроле: относится к риску, уменьшенному за счет принятия защитных мер.

Для каждой комбинации актив-угроза (т. е. выявленного риска) необходимо составить список возможных и доступных защитных мер.

Факторы, влияющие на ежегодную стоимость защитных мероприятий (СКМ)

Формула расчета затрат/выгод для конкретных мер защиты от конкретных рисков для конкретных активов

Различные формулы, относящиеся к количественному анализу рисков

Средства контроля безопасности, контрмеры безопасности и защитные меры могут быть административными, логическими/техническими или физическими. Эти три механизма безопасности должны быть реализованы в рамках многоуровневой концепции и подхода глубокоэшелонированной защиты, чтобы обеспечить максимальные преимущества (см. Рисунок 2.4). Трехсторонний подход

Административный контроль: политики и процедуры, определенные в соответствии с политикой безопасности организации и другими правилами или требованиями.

Логический/технический контроль. Меры включают аппаратные или программные механизмы, которые управляют доступом и обеспечивают безопасность ИТ-ресурсов и систем.

Физический контроль: механизмы безопасности, предназначенные для защиты объектов и объектов реального мира.

«Контроль безопасности» означает выполнение различных задач контроля.

Превентивный контроль: заблаговременное развертывание превентивного контроля для предотвращения или предотвращения непреднамеренных или несанкционированных действий.

Сдерживающие меры: заранее разверните сдерживающие меры для предотвращения нарушений политик безопасности.

Средства контроля обнаружения: развертывание элементов управления обнаружением для обнаружения или обнаружения непредвиденных или несанкционированных действий,

Компенсирующие элементы управления. Помогите улучшить и поддержать политики безопасности, предоставляя различные варианты других существующих элементов управления.

Корректирующие меры: небольшие события, которые изменяют среду для восстановления системы в нормальное состояние после возникновения непредвиденной или несанкционированной активности. после

Восстановительный контроль: расширение корректирующего контроля, но с более продвинутыми и сложными возможностями постфактум.

Контроль инструкций: используется для направления, ограничения или контроля поведения субъекта, чтобы заставить или побудить субъекта соблюдать политику безопасности.

Оценка мер безопасности (SCA): формальная оценка различных механизмов инфраструктуры безопасности, основанная на базовых показателях или ожиданиях надежности.

Целями SCA являются обеспечение эффективности механизмов безопасности, оценка качества и тщательности процессов управления рисками организации, а также формирование отчетов о сильных и слабых сторонах развернутой инфраструктуры безопасности.

Федеральные агентства внедряют SCA на основе NIST SP 800-53 Rev.5 «Контроль безопасности и конфиденциальности для информационных систем и организаций».

SCA определяется как государственный процесс

Выгоды, предоставляемые мерами безопасности, должны быть контролируемыми и измеримыми.

Отчетность о рисках: включает подготовку отчета о рисках и представление отчета заинтересованным сторонам.

Реестр рисков или журнал рисков: представляет собой документ инвентаризации рисков, в котором перечислены все выявленные риски внутри организации, системы или в рамках одного проекта.

Матрица рисков или тепловая карта рисков: это форма оценки риска, выполняемая на основе простого графика или диаграммы. Иногда это называют качественной оценкой риска.

Контрольные точки: какие стороны и аудитории следует учитывать?

Контрольные точки: рассмотрите содержание отчета, меры по улучшению или предложения по улучшению.

Безопасность постоянно меняется. Поэтому любое реализованное решение по обеспечению безопасности со временем необходимо будет обновлять.

Оцените программы управления рисками предприятия (ERM) с помощью модели зрелости рисков (RMM).

уровень РММ

Риски устаревшего оборудования

Структура рисков – это руководство или методология оценки, устранения и мониторинга рисков.

система управления рисками (RMF)

Моделирование угроз на этапе проектирования, безопасность задумана

Структура кибербезопасности (CSF)

Документ ISO/IEC 31000 «Управление рисками. Руководство».

Другие фреймворки

убедить кого-либо совершить несанкционированное действие

Убедите кого-нибудь раскрыть конфиденциальную информацию.

Обучите персонал атакам социальной инженерии и распознаванию типичных сигнатур атак.

Аутентификация требуется при выполнении действий для людей по телефону.

Определяет ограниченную информацию, которую никогда нельзя передавать посредством текстовых сообщений, таких как телефонные звонки или стандартная электронная почта.

Всегда проверяйте учетные данные обслуживающего персонала и проверяйте, действительно ли уполномоченное лицо совершило вызов в службу поддержки.

Никогда не следуйте инструкциям по электронной почте, не проверив информацию как минимум с двумя независимыми и надежными источниками.

Будьте осторожны при общении с кем-либо, кого вы не знаете или кто не знает вас, лично, по телефону или через Интернет/онлайн.

Наиболее важной мерой защиты от атак социальной инженерии является обучение пользователей и повышение осведомленности.

Авторитет: это эффективный метод, поскольку большинство людей склонны покорно реагировать на авторитет. Главное — убедить цель, что злоумышленник — это человек с действительными внутренними или внешними разрешениями.

Запугивание: иногда можно рассматривать как производное от принципа власти. При запугивании используются авторитет, доверие или даже угроза причинения вреда, чтобы подтолкнуть кого-либо к выполнению приказа или инструкции.

Консенсус: или социальное доказательство — это использование естественных склонностей человека. Люди склонны подражать тому, что другие делают или делали в прошлом.

Дефицит: метод, используемый для того, чтобы заставить кого-то оценить, что объект имеет более высокую ценность из-за его редкости. Это может быть связано с продуктами, которые производятся в небольших количествах или с ограниченными возможностями, или с немногими продуктами, которые остаются после продажи большей части запасов.

Знакомство: или симпатия — это принцип социальной инженерии, который пытается использовать врожденное доверие человека к знакомым вещам.

Доверие. Согласно этому принципу социальной инженерии, злоумышленник стремится построить отношения с жертвой.

Срочность: часто связана с дефицитом, поскольку дефицит представляет собой больший риск упустить выгоду, поэтому необходимость действовать быстро возрастает.

Получение информации — это деятельность по сбору или агрегированию информации от систем или людей.

Предлог — это термин, выражение или фраза, добавляемая в начало или заголовок другого сообщения. Предлоги часто используются для дальнейшего уточнения или создания предлога для спланированных атак, таких как спам, мистификации и фишинг.

Фишинг — это форма инженерной атаки, направленная на кражу учетных данных или личных данных у любой потенциальной цели.

Загрузки с диска. Когда пользователи посещают веб-сайт, вредоносное ПО устанавливается без их ведома. Загрузки с диска используют уязвимости в браузерах или плагинах.

Защитные меры против фишинга

Целенаправленный фишинг — это более целенаправленная форма фишинга, при которой сообщения создаются специально для определенной группы пользователей.

Защита от целевого фишинга

Китобойный промысел — это вариант целевого фишинга, нацеленный на конкретных ценных лиц (по должности, отрасли, сообщениям в СМИ и т. д.), таких как генеральные директора и другие руководители высшего звена. Менеджер, администратор или состоятельный клиент.

Фишинг или смишинг службы коротких сообщений (SMS) — это атака социальной инженерии, которая происходит в стандартных службах обмена текстовыми сообщениями или через них.

Вишинг (т. е. голосовой фишинг) или SplT (телефонный интернет-спам) — это фишинг, осуществляемый через любую телефонную или голосовую систему связи.

Способ

Спам – это любой тип нежелательной и/или нежелательной электронной почты.

Серфинг через плечо — это тип атаки социальной инженерии, которая обычно происходит в реальном мире или лицом к лицу.

Сёрфинг через плечо происходит, когда кто-то может видеть клавиатуру или монитор пользователя.

Мошенничество со счетами — это атака социальной инженерии, которая обычно включает в себя предоставление фальшивого счета и последующее сильное выманивание платежа в попытке украсть средства у организации или частного лица.

Мистификация — это форма социальной инженерии, предназначенная для того, чтобы заставить цель выполнить действия, которые вызовут проблемы или ухудшат ее ИТ-безопасность.

Олицетворение – это принятие чужой личности

Вы можете войти в систему через личный кабинет, телефон, электронную почту или счет лица или через любые другие средства связи. Выдачу себя за другое лицо также можно назвать маскировкой, обманом или даже мошенничеством с личными данными.

Слежение происходит, когда неавторизованная организация использует разрешение законного сотрудника для входа на объект без ведома сотрудника.

Проблема, похожая на хвостохранилище, - это контрейлерная перевозка. Совмещение происходит, когда неавторизованная организация получает согласие жертвы путем обмана и проникает в учреждение с разрешения законного персонала.

Приманками являются случаи, когда злоумышленники размещают USB-накопители, диски или даже кошельки в местах, где сотрудники могут с ними столкнуться.

Доступны двойные двери для предотвращения

Погружение в мусорные контейнеры — это копание в мусоре, брошенном оборудовании или заброшенных местах с целью получения информации о целевой организации или физическом лице.

Типичные коллекции включают старые календари, листы вызовов, рукописные протоколы встреч, бланки для утилизации, коробки с продуктами, руководства пользователя, стикеры, распечатанные отчеты или тестовые листы принтера.

Кража личных данных и мошенничество с личными данными относятся ко всем видам преступлений, которые связаны с незаконным получением и использованием личных данных другого лица мошенническим или вводящим в заблуждение способом, обычно с целью получения финансовой выгоды.

Мошенничество: Назвать что-то ложное правдой. Мошенничество с личными данными — это когда вы ложно выдаете себя за кого-то другого, используя информацию, украденную у жертвы.

Обман: относится к любому акту сокрытия действительной личности, Обычно это достигается с помощью другого удостоверения.

Опечатка — это практика захвата и перенаправления трафика, когда пользователь неправильно вводит доменное имя или 1P-адрес целевого ресурса.

Неправильное написание доменного имени

Взлом URL-адреса

Кампания влияния — это атака социальной инженерии, целью которой является направлять, формировать или изменять общественное мнение. Хакеры могут совершать такие атаки против отдельных лиц или организаций, но большинство кампаний влияния, похоже, проводятся национальными государствами против своих реальных или предполагаемых внешних врагов.

гибридная война

социальные медиа

Обязательным условием проведения обучения по технике безопасности является повышение осведомленности о технике безопасности. Цель повышения осведомленности о безопасности — заставить пользователей поставить безопасность на первое место и признать это.

Весь персонал должен полностью осознавать свои обязанности и обязанности по обеспечению безопасности. Они обучены знать, что делать, а чего не делать.

Под обучением подразумевается обучение сотрудников выполнению своих рабочих задач и соблюдению политик безопасности. Обучение обычно организуется организацией и ориентировано на группы сотрудников со схожими должностными функциями.

Обучение — это более детальная работа, в ходе которой учащиеся/пользователи узнают гораздо больше, чем им на самом деле необходимо знать для выполнения своих рабочих задач.

Измените фокус целей обучения. Иногда внимание сосредоточено на человеке, иногда на клиенте, иногда на организации.

Измените порядок или направленность тем обучения. Вы можете посвятить одно обучение социальной инженерии, следующее — мобильной безопасности, а следующее — безопасности дома и путешествий.

Используйте различные методы презентации, такие как живые презентации, предварительно записанные видеоролики, компьютерное программное обеспечение/программное обеспечение для моделирования, виртуальную реальность (VR), дистанционное обучение, интерактивные веб-сайты или назначенное чтение из подготовленных учебных программ или готовых книг.

В ходе ролевой игры участники играют нападающих и защитников, а разные люди могут высказывать идеи, связанные с защитой или ответом на нападение.

Важно, чтобы все учебные материалы регулярно проходили проверку содержания. Отзывы помогают обеспечить соответствие учебных материалов и презентаций бизнес-целям, миссии организации и целям безопасности.

Самый эффективный способ выявления и оценки социальной работы