внутренний

внешний

подписание кода

Разрабатывать стратегии, стандарты, меры и руководящие принципы

Управление рисками

безопасность персонала

Обучение по вопросам безопасности

Внедрять и поддерживать логические механизмы контроля доступа.

Управление паролями и ресурсами

Методы идентификации и аутентификации

спасательное оборудование

Меры по контролю индивидуального доступа на объекты и в различные подразделения (контроль доступа, охрана, замки)

Защитный периметр (заборы, стены, освещение)

Физическое обнаружение вторжений

экологический контроль

Предотвращение (сдерживание), обнаружение, коррекция/восстановление (резервное копирование, BCP, DRP) Компенсация (Контроль)

контрольная среда

оценка риска

контрольная деятельность

Информация и коммуникация

монитор

Стратегия обслуживания

сервис-дизайн

переход службы

Сервисная операция

Постоянное улучшение сервиса

Начальный, повторяемый, определенный, управляемый, оптимизирующий

Начальный, управляемый, определенный, количественно управляемый, оптимизирующий

На основе результатов оценки рисков, законодательных и нормативных требований, а также организационной деятельности, Определить цели контроля и меры контроля на основе оперативных потребностей.

Внедрить выбранные меры безопасности.

В соответствии с политикой, процедурами, стандартами, законами и правилами, Проводить проверки соблюдения мер безопасности.

Принять контрмеры на основе результатов проверок для улучшения условий безопасности.

Самое общее заявление об информационной безопасности

Обязательство высшего руководства взять на себя ответственность за информационную безопасность

Опишите, что и цели защищать

Создать механизм обеспечения соблюдения политики

Подобно стандартам, методы повышения безопасности системы являются рекомендациями.

Соответствовать минимальному уровню требований безопасности, требуемому политикой.

Подробные шаги для выполнения конкретной задачи (конкретной)

Процедура представляет собой подробное описание (КАК) конкретных шагов по выполнению задачи защиты.

Бюджет на мероприятия по информационной безопасности

Разработка стратегий, процедур, базовых показателей, стандартов и руководств развития.

Разработать программу повышения осведомленности о безопасности

Участвовать в совещаниях руководства

Помощь в проведении внутреннего и внешнего аудита

Определить приемлемый уровень риска организации

Определить цели и стратегии безопасности

Решение задач бизнеса определяет приоритет охранной деятельности.

Просмотр отчетов об оценке рисков и аудите

Мониторинг влияния рисков безопасности на бизнес

Рассмотрение ядерных аварий, связанных с серьезными нарушениями безопасности

Утвердить любые существенные изменения в политиках и планах безопасности.

Целостность финансовой отчетности и финансовой информации компании.

Система внутреннего контроля компании

Наем и деятельность независимых аудиторов

Выполнение функции внутреннего аудита

Соблюдать требования законодательства и политики компании, связанные с этикой.

Долгосрочный план, например, 5 лет.

относительно стабильна, определяет цели и миссию организации

Среднесрочный план, например, 1 год.

Подробное описание задач и хода достижения целей, установленных в стратегическом плане, Например, планы занятости, бюджетные планы и т. д.

Краткосрочные, очень подробные планы, часто обновляемые

Ежемесячные или ежеквартальные обновления, такие как планы обучения, планы развертывания системы и т. д.

Отвечает за управление определенным бизнес-отделом и отвечает за защиту и применение конкретной информации.

Обязан проявлять «должную заботу»

Обязанности

Деловая роль, а не техническая роль

Роль отдела ИТ или безопасности

Обязанности

Отвечает за одну или несколько систем, каждая из которых может хранить и обрабатывать данные, принадлежащие разным владельцам данных.

Отвечает за интеграцию факторов безопасности в приложения и системы.

Обеспечить оценку уязвимостей системы

Примите адекватные меры безопасности для обеспечения безопасности системы.

Отвечает за внедрение, мониторинг и обеспечение соблюдения правил и политик безопасности.

Отчет Комитету безопасности и сотруднику информационной безопасности

Проверьте систему, чтобы определить, соблюдаются ли требования безопасности и эффективны ли меры безопасности.

Обеспечить независимую гарантию управления объектами безопасности

Помогите разработать политику, стандарты и руководящие принципы и установить контрольные показатели.

В основном на уровне проектирования, а не уровня реализации.

Иметь знания о безопасности приложений, соблюдать политики безопасности, использовать систему надлежащим образом и сообщать об инцидентах безопасности.

Снизьте риски, сократите затраты на подбор персонала и сократите текучесть кадров.

Защитите конфиденциальную информацию компании

Ни один человек не должен иметь полный контроль над деликатной, ценной или важной задачей от начала до конца.

Цель: меньше возможностей для мошенничества или ошибок.

Пример:

Минимальные разрешения, необходимые для распределения обязанностей

Не позволяйте одному человеку удерживать фиксированное положение слишком долго, чтобы избежать слишком большого контроля над другими людьми.

Настройте резервное копирование персонала для облегчения перекрестного обучения и выявления случаев мошенничества.

Принуждение ответственных сотрудников отдела к отпуску может эффективно выявить мошенничество, изменение данных, злоупотребление ресурсами и т. д.

Соглашения о конфиденциальности должны быть подписаны со сторонними организациями и частными лицами.

Контролировать всю рабочую деятельность третьих лиц

Убедитесь, что личность стороннего персонала проверена при доступе

На основании вышеуказанных мер проводятся дополнительные проверки биографических данных персонала.

Сторонний персонал покидает сайт, и ему необходимо забрать соответствующие разрешения.

Обеспечить специалистов по безопасности профессиональными навыками, необходимыми для работы.

Способ:

информация о безопасности

"Почему"

Обучение навыкам работы, связанным с безопасностью, в основном персоналу по управлению и техническому обслуживанию информационных систем.

Способ:

получать знания

"Как сделать"

Общая коллективная осведомленность сотрудников организации о важности безопасности и контроля.

Способ:

Отправить сообщение

"Что это такое"

Моделирование угроз (ШАГ)

Определить риски

Анализируйте риски

Оцените риск

Качественный подход RA с акцентом на ИТ-риски

1. Классификация системы 2. Идентификация слабых мест 3. Идентификация угроз; 4. Определение контрмер 5. Оценка возможности 6. Оценка воздействия; 7. Оценка риска. 8. Рекомендации по новым контрмерам. 9. Документальный отчет;

Спецификация автономной оценки рисков информационной безопасности, основанная на рисках информационных активов, В нем особое внимание уделяется активам, и он состоит из 3 этапов и 8 процессов.

Подход OCTAVE развертывает программы управления рисками в масштабах всей организации и интегрируется с планами безопасности.

Основные процессы: идентификация и оценка активов; оценка угроз и уязвимостей и рекомендации по противодействию;

Предварительный отбор, чтобы сосредоточиться только на тех системах, которые действительно требуют оценки, чтобы сократить затраты и время.

Ситуация с ограниченным бюджетом

Создайте дерево всех угроз, с которыми может столкнуться система. Ветви могут представлять собой такие вещи, как киберугрозы. Такие категории, как физические угрозы и сбои компонентов, требуют удаления неиспользуемых ветвей при выполнении RA.

Получено на основе анализа оборудования. Изучите потенциальный отказ каждого компонента или модуля и изучите последствия отказа.

Австралийский метод оценки риска, не используемый специально для обеспечения безопасности.

Определите владельца, хранителя и пользователя каждого актива.

Создайте список активов и определите информационные активы на основе бизнес-процессов.

Форма, в которой существуют информационные активы

Факторы оценки

Классифицировать активы по важности (воздействию или последствиям), Также рассмотрите возможные последствия нарушения конфиденциальности, целостности и доступности.

Актив может подвергаться множеству угроз, и угроза может затронуть несколько активов.

Определить источники угроз

При оценке вероятности угрозы учитываются мотивация и возможности источника угрозы.

Возможные уязвимости для каждого актива

путь идентификации

Методы обработки рисков

Стратегии выбора мер по контролю рисков

Риски, которые остаются или остаются после внедрения мер безопасности

Присвойте ценность активам

Оцените потенциальные потери для каждой угрозы

Выполните анализ угроз

Рассчитывается для каждого актива и угрозы Ожидание единого убытка (SLE)

Рассчитайте потенциальные годовые потери для каждой угрозы

Суждение, лучшие практики, интуиция и опыт

Методы группового принятия решений, Delphi

вопросы опроса

исследовать

Интервью

Использование компьютера в качестве средства содействия совершению преступления; Компьютеры не являются необходимым фактором преступности, но служат инструментом помощи преступникам.

Преступления против компьютеров, сетей и информации, хранящейся в этих системах.

Компьютер не обязательно является злоумышленником или жертвой. Просто случайно участвовал в нападении, когда оно произошло.

гражданский закон

уголовное право

административное право

Способность компании конкурировать или работать на рынке имеет решающее значение.

Неизвестно, компания вложила соответствующие ресурсы и усилия в развитие

Получите соответствующую защиту от компании от раскрытия или несанкционированного использования.

Пример:

Защищенные законом права публично публиковать, копировать, демонстрировать и изменять большинство произведений.

Он защищает не творчество произведения, а выражение творчества.

Пример:

Он защищает слова, имена, символы, формы, звуки и цвета, которые представляют имидж компании.

Товарные знаки обычно регистрируются в агентстве по регистрации товарных знаков.

Товарный знак — это знак качества и надежности, установленный компанией в ее деятельности на рынке.

Юридическое признание права собственности на патент владельцем патента или компанией, запрещающее несанкционированное использование другими лицами или компаниями.

Патент действителен в течение 20 лет.

Пример:

право быть оставленным в покое

Защита от необоснованных прав физических лиц

Право решать, какая личная информация может быть распространена и кому

Чтобы предотвратить необоснованные нарушения, основной задачей является информированное согласие и соответствующие защитные меры.

Чтобы предотвратить отсутствие соответствующих методов, сутью является «справедливость и справедливость» и существует механизм исправления ошибок.

Сбор персональных данных требует согласия субъекта данных и уведомления о цели.

Собирайте только данные, связанные с целью и использованием, и сохраняйте их только в течение периода, необходимого для этой цели.

Методы сбора данных Методы сбора данных

Принимать разумные меры, технические, управленческие и оперативные меры для предотвращения злонамеренного посягательства на личную информацию, Обеспечьте целостность и конфиденциальность данных, а также удалите устаревшие данные, чтобы предотвратить доступ к ним тех, кому не нужно выполнять соответствующую работу.

Просмотрите собранную информацию и исправьте ошибки.

Стихийные бедствия, такие как землетрясения, наводнения, природные пожары, извержения вулканов и суровая конвективная погода.

Системные/технические, такие как аппаратные, программные сбои, системные/программные ошибки.

Системы снабжения, перебои в связи, сбои в распределительных системах, разрывы труб

Искусственное воздействие, взрыв, пожар, вандализм, химическое загрязнение, вредный код

Политическая, террористическая деятельность, беспорядки, забастовки

Для организации все, что приводит к выполнению критически важных бизнес-функций, Катастрофами считаются события, которые невозможно осуществить в течение определенного периода времени.

Функции:

два элемента

Уменьшите последствия стихийных бедствий или перерывов в работе бизнеса

Примите необходимые меры для скорейшего восстановления ресурсов, людей и бизнес-процессов.

Убедитесь, что организация по-прежнему может поддерживать бизнес-операции в различных ситуациях.

Решать проблемы в долгосрочной перспективе, в основном предоставляя методы и меры для долгосрочных остановок производства и стихийных бедствий.

Обеспечить своевременное и адекватное реагирование в случае возникновения чрезвычайной ситуации.

Защитите жизни и обеспечьте безопасность

Уменьшить влияние на бизнес

Восстановите критически важные бизнес-функции

Уменьшите хаос во время стихийных бедствий

Обеспечить жизнеспособность бизнеса

Быстро приступить к работе после стихийного бедствия

Разработать стратегию (политику) планирования непрерывности

Провести анализ влияния на бизнес (BIA)

Определить методы профилактического контроля

Разработайте стратегию восстановления

Разработать ПБП

Тест ППГ

Поддерживать план обеспечения непрерывности бизнеса

Коммуникация и связь между командой разработки программы и руководством

Право на прямой контакт и общение со всеми участниками плана.

Полностью понимать влияние перерыва в работе бизнеса на бизнес организации.

Знание потребностей и деятельности организации, а также способность сбалансировать различные потребности соответствующих отделов организации.

Более легкий доступ к высшему руководству

Понять направление деятельности организации и намерения высшего руководства.

Возможность влиять на решения высшего руководства

цели, возможности, потребности

Основные принципы и рекомендации

Обязанности и ответственность

Основные требования к ключевым ссылкам

Качественный анализ для определения воздействия катастрофы или сбоя с точки зрения серьезности.

Количественный анализ воздействия катастрофы или сбоя в денежном выражении

Анализируйте последствия сбоев

Определите окна восстановления для каждой бизнес-функции.

Проблемы

Предложения по ответам

Качественные и количественные автоматизированные инструменты Помощь в интеграции и анализе информации.

Представитель бизнеса проверяет и подтверждает результаты анализа информации

Время восстановления работы относительно фиксировано

Прежде чем недоступность системы серьезно повлияет на организацию Максимальное время, разрешенное для употребления

Точка, в которой данные необходимо восстановить, чтобы продолжить обработку. То есть максимально допустимый объем потери данных