Информационная безопасность - Википедия - Information security

Информационная безопасность, иногда сокращается до информационная безопасность, это практика защиты информации путем снижения информационных рисков. Это часть управления информационными рисками. Обычно это включает предотвращение или, по крайней мере, снижение вероятности несанкционированного / несанкционированного доступа к данным или незаконного использования, раскрытия, нарушения, удаления, повреждения, модификации, проверки, записи или обесценивания информации.^[1] Сюда также входят действия, направленные на уменьшение неблагоприятных последствий таких инцидентов. Защищенная информация может принимать любую форму, например электронные или физические, материальные (например, документы) или нематериальные (например, знания). Основное внимание информационной безопасности уделяется сбалансированной защите конфиденциальности, целостности и доступности данных (также известной как триада ЦРУ) при сохранении акцента на эффективной реализации политики, и все это без снижения производительности организации. Это в значительной степени достигается за счет структурированного процесса управления рисками, который включает:

• Выявление информации и связанных активов, а также потенциальных угроз, уязвимостей и воздействий;
• Оценка рисков;
• Принятие решения о том, как устранять или обрабатывать риски, т.е. избегать, смягчать, разделять или принимать их;
• Если требуется снижение риска, выбор или разработка соответствующих мер безопасности и их внедрение;
• Мониторинг деятельности, внесение корректировок по мере необходимости для решения любых проблем, изменений и возможностей улучшения.

Чтобы стандартизировать эту дисциплину, ученые и профессионалы совместно предлагают рекомендации, политики и отраслевые стандарты в отношении паролей, антивирусного программного обеспечения, брандмауэра, программного обеспечения для шифрования, юридической ответственности, осведомленности о безопасности и обучения и т. Д. Эта стандартизация может дополнительно стимулироваться широким спектром законов и нормативных актов, которые влияют на доступ к данным, их обработку, хранение, передачу и уничтожение. Однако внедрение любых стандартов и руководств внутри организации может иметь ограниченный эффект, если не будет принята культура постоянного улучшения.

Определение

Атрибуты информационной безопасности: или качества, т.е. Конфиденциальность, Честность и Доступность (ЦРУ). Информационные системы состоят из трех основных частей, аппаратного обеспечения, программного обеспечения и средств связи, с целью помочь определить и применить отраслевые стандарты информационной безопасности в качестве механизмов защиты и предотвращения на трех уровнях или уровнях: физический, личный и организационный. По сути, процедуры или политики реализуются, чтобы сообщить администраторам, пользователям и операторам, как использовать продукты для обеспечения информационной безопасности в организациях.^[2]

Ниже предлагаются различные определения информационной безопасности, взятые из разных источников:

1. «Сохранение конфиденциальности, целостности и доступности информации. Примечание: Кроме того, могут быть задействованы другие свойства, такие как подлинность, подотчетность, неотказуемость и надежность». (ИСО / МЭК 27000: 2009)^[3]
2. «Защита информации и информационных систем от несанкционированного доступа, использования, раскрытия, нарушения, модификации или уничтожения с целью обеспечения конфиденциальности, целостности и доступности». (CNSS, 2010)^[4]
3. «Гарантирует, что только авторизованные пользователи (конфиденциальность) имеют доступ к точной и полной информации (целостность), когда это необходимо (доступность)». (ISACA, 2008)^[5]
4. «Информационная безопасность - это процесс защиты интеллектуальной собственности организации». (Пипкин, 2000)^[6]
5. «... информационная безопасность - это дисциплина управления рисками, задача которой - управлять стоимостью информационного риска для бизнеса». (Макдермотт и Гир, 2001)^[7]
6. «Хорошо информированное чувство уверенности в том, что информационные риски и средства контроля находятся в равновесии». (Андерсон, Дж., 2003 г.)^[8]
7. «Информационная безопасность - это защита информации, которая сводит к минимуму риск раскрытия информации неавторизованным сторонам». (Вентер и Элофф, 2003 г.)^[9]
8. «Информационная безопасность - это междисциплинарная область обучения и профессиональной деятельности, которая связана с разработкой и внедрением механизмов безопасности всех доступных типов (технических, организационных, ориентированных на человека и юридических), чтобы хранить информацию во всех ее точках (в пределах и за пределами периметра организации) и, следовательно, информационные системы, в которых информация создается, обрабатывается, хранится, передается и уничтожается, свободная от угроз. Угрозы для информации и информационных систем могут быть классифицированы, и соответствующая цель безопасности может быть определена для каждой категории Угрозы. Набор целей безопасности, определенных в результате анализа угроз, следует периодически пересматривать для обеспечения его адекватности и соответствия развивающейся среде. Актуальный в настоящее время набор целей безопасности может включать: конфиденциальность, целостность, доступность, конфиденциальность, подлинность и надежность, неотрекаемость, подотчетность и возможность аудита.»(Черданцева и Хилтон, 2013)^[2]
9. Безопасность информации и информационных ресурсов с использованием телекоммуникационных систем или устройств означает защиту информации, информационных систем или книг от несанкционированного доступа, повреждения, кражи или уничтожения (Kurose and Ross, 2010).

Обзор

В основе информационной безопасности лежит обеспечение информации, действие по поддержанию конфиденциальности, целостности и доступности (CIA) информации, гарантирующее, что Информация никоим образом не подвергается риску при возникновении критических проблем.^[10] Эти проблемы включают, помимо прочего, стихийные бедствия, неисправность компьютера / сервера и физическое воровство. Несмотря на то, что бизнес-операции на бумажных носителях по-прежнему распространены и требуют собственного набора методов защиты информации, все большее внимание уделяется корпоративным цифровым инициативам^[11][12] с обеспечением безопасности информации в настоящее время обычно занимаются специалисты по безопасности информационных технологий (ИТ). Эти специалисты применяют информационную безопасность к технологиям (чаще всего к компьютерным системам). Стоит отметить, что компьютер не обязательно означает домашний рабочий стол. Компьютер - это любое устройство с процессор и немного памяти. Такие устройства могут варьироваться от несетевых автономных устройств, таких как калькуляторы, до сетевых мобильных вычислительных устройств, таких как смартфоны и планшетные компьютеры. Специалисты по ИТ-безопасности почти всегда можно найти на любом крупном предприятии / учреждении из-за характера и ценности данных для крупных предприятий. Они несут ответственность за сохранение всех технологии внутри компании, защищенные от злонамеренных кибератак, которые часто пытаются получить важную конфиденциальную информацию или получить контроль над внутренними системами.

Сфера информационной безопасности за последние годы значительно выросла и эволюционировала. Он предлагает множество областей для специализации, в том числе обеспечение безопасности сетей и смежных инфраструктура, обеспечение Приложения и базы данных, тестирование безопасности, информационные системы аудиторская проверка, планирование непрерывности бизнеса, обнаружение электронных записей и цифровая криминалистика. Специалисты по информационной безопасности очень стабильны в своей работе. По состоянию на 2013 год^{[Обновить]} более 80 процентов профессионалов не меняли работодателя или места работы в течение года, и, по прогнозам, число профессионалов будет постоянно расти более чем на 11 процентов ежегодно с 2014 по 2019 год.^[13]

Угрозы

Информационная безопасность угрозы бывают разных форм. Некоторые из наиболее распространенных угроз сегодня - это атаки на программное обеспечение, кража интеллектуальной собственности, кража личных данных, кража оборудования или информации, саботаж и вымогательство информации. Большинство людей подвергалось тому или иному виду программных атак. Вирусы,^[14] черви, фишинговые атаки и троянские кони несколько распространенных примеров программных атак. В кража интеллектуальной собственности также является серьезной проблемой для многих предприятий в области информационных технологий (ИТ). Кража личных данных - это попытка действовать как кто-то еще, чтобы получить личную информацию этого человека или воспользоваться его доступом к жизненно важной информации с помощью социальной инженерии. Кража оборудования или информации становится все более распространенной сегодня в связи с тем, что большинство устройств сегодня являются мобильными,^[15] подвержены кражам и становятся гораздо более желательными по мере увеличения объема данных. Саботаж обычно заключается в уничтожении организации интернет сайт в попытке вызвать потерю доверия со стороны своих клиентов. Вымогательство информации представляет собой кражу собственности или информации компании в качестве попытки получить платеж в обмен на возвращение информации или собственности ее владельцу, как в случае с программа-вымогатель. Есть много способов защитить себя от некоторых из этих атак, но одна из наиболее функциональных мер предосторожности - это периодическое информирование пользователей. Угроза номер один для любой организации - это пользователи или внутренние сотрудники, их также называют внутренними угрозами.

Правительства, военный, корпорации, финансовые учреждения, больницы, некоммерческие организации и частные предприятия собирать большой объем конфиденциальной информации о своих сотрудниках, клиентах, продуктах, исследованиях и финансовом состоянии. Если конфиденциальная информация о клиентах или финансах компании или новой линейке продуктов попадет в руки конкурента или черная шляпа хакер, компания и ее клиенты могут понести масштабные непоправимые финансовые потери, а также нанести ущерб репутации компании. С точки зрения бизнеса, информационная безопасность должна быть сбалансирована с затратами; то Модель Гордона-Леба предлагает математический экономический подход для решения этой проблемы.^[16]

Для человека информационная безопасность имеет большое влияние на Конфиденциальность, который очень по-разному рассматривается в разных культуры.

Ответы на угрозы

Возможные ответы на угрозу безопасности или рисковать находятся:^[17]

• уменьшить / смягчить - внедрить меры безопасности и противодействия для устранения уязвимостей или блокировки угроз
• назначить / передать - переложить стоимость угрозы на другой субъект или организацию, например, приобрести страховку или передать на аутсорсинг
• принять - оценить, превышает ли стоимость контрмер возможную стоимость потерь из-за угрозы

История

С первых дней общения дипломаты и военное командование понимали, что необходимо предусмотреть какой-то механизм для защиты конфиденциальности переписки и иметь некоторые средства обнаружения вмешательство. Юлий Цезарь приписывают изобретение Шифр цезаря c. 50 г. до н.э., который был создан для того, чтобы его секретные сообщения не были прочитаны, если сообщение попадет в чужие руки. Однако по большей части защита была достигнута за счет применения процедурного контроля обработки.^[18][19] Конфиденциальная информация была помечена, чтобы указать, что она должна быть защищена и транспортирована доверенными лицами, охраняться и храниться в безопасной среде или сейфе. По мере расширения почтовых услуг правительства создавали официальные организации для перехвата, расшифровки, чтения и запечатывания писем (например, Секретный офис Великобритании, основанный в 1653 году.^[20]).

В середине девятнадцатого века более сложные системы классификации были разработаны, чтобы позволить правительствам управлять своей информацией в соответствии со степенью конфиденциальности. Например, британское правительство в некоторой степени кодифицировало это с публикацией Закон о государственной тайне в 1889 г.^[21] Раздел 1 закона касается шпионажа и незаконного раскрытия информации, а раздел 2 касается злоупотреблений служебным доверием. Вскоре была добавлена ​​защита общественных интересов для защиты раскрытия информации в интересах государства.^[22] Аналогичный закон был принят в Индии в 1889 году - «Закон о государственной тайне Индии», который был связан с британской колониальной эпохой и использовался для подавления газет, выступавших против политики Раджа. В 1923 году была принята новая версия, которая распространялась на все вопросы конфиденциальной или секретной информации для управления.^[23]

К моменту Первая мировая война, многоуровневые системы классификации использовались для передачи информации на различные фронты и от них, что способствовало более широкому использованию секций создания и взлома кода в дипломатических и военных штабах. Кодирование стало более изощренным в период между войнами, поскольку для шифрования и расшифровки информации использовались машины. Объем информации, предоставленной союзными странами во время Вторая мировая война потребовали формального согласования систем классификации и процедурного контроля. Появился целый ряд загадочных знаков, указывающих на то, кто может обращаться с документами (обычно это офицеры, а не рядовые войска) и где они должны храниться, поскольку были разработаны все более сложные сейфы и хранилища. В Энигма машина, который использовался немцами для шифрования данных войны и был успешно расшифрован Алан Тьюринг, можно рассматривать как яркий пример создания и использования защищенной информации.^[24] Были разработаны процедуры, обеспечивающие надлежащее уничтожение документов, и именно несоблюдение этих процедур привело к некоторым из величайших разведывательных переворотов войны (например, захвату U-570^[24]).

Конец двадцатого века и первые годы двадцать первого века ознаменовались быстрым прогрессом в телекоммуникации, вычисление аппаратное обеспечение и программного обеспечения, и данные шифрование. Доступность меньшего, более мощного и менее дорогого компьютерного оборудования. электронная обработка данных в пределах досягаемости малый бизнес и домашние пользователи.^{[нужна цитата ]} Создание протокола управления передачей / межсетевого протокола (TCP / IP) в начале 1980-х годов позволило различным типам компьютеров обмениваться данными.^[25] Эти компьютеры быстро стали взаимосвязаны через Интернет.

Быстрый рост и широкое распространение электронной обработки данных и электронный бизнес проводились через Интернет, наряду с многочисленными случаями международных терроризм, вызвало потребность в лучших методах защиты компьютеров и информации, которую они хранят, обрабатывают и передают.^[26] Учебные дисциплины компьютерная безопасность и обеспечение информации возникла вместе с многочисленными профессиональными организациями, разделяющими общие цели обеспечения безопасности и надежности информационные системы.

Основные принципы

Ключевые идеи

Плакат, продвигающий информационную безопасность со стороны России Министерство обороны

Триада ЦРУ - конфиденциальность, целостность и доступность - лежит в основе информационной безопасности.^[27] (Члены классической триады InfoSec - конфиденциальность, целостность и доступность - взаимозаменяемо называются в литературе атрибутами безопасности, свойствами, целями безопасности, фундаментальными аспектами, информационными критериями, критическими информационными характеристиками и базовыми строительными блоками.) Однако дебаты продолжаются. о том, достаточно ли этой триады ЦРУ для удовлетворения быстро меняющихся требований технологий и бизнеса, с рекомендациями рассмотреть возможность расширения пересечения между доступностью и конфиденциальностью, а также взаимосвязи между безопасностью и конфиденциальностью.^[10] Иногда предлагались другие принципы, такие как «подотчетность»; было указано, что такие проблемы, как неотречение не вписываются в три основные концепции.^[28]

Кажется, что триада впервые упоминается в NIST издание 1977 г.^[29]

В 1992 г. и пересмотренный в 2002 г. ОЭСР с Руководство по безопасности информационных систем и сетей^[30] предложил девять общепринятых принципов: осведомленность, ответственность, реагирование, этика, демократия, оценка рисков, проектирование и реализация безопасности, управление безопасностью и переоценка. Основываясь на этом, в 2004 г. NIST с Инженерные принципы безопасности информационных технологий^[28] предложил 33 принципа. На основе каждого из этих руководств и практик.

В 1998 г. Донн Паркер предложил альтернативную модель классической триады ЦРУ, которую он назвал шесть элементарных элементов информации. Элементы конфиденциальность, владение, честность, подлинность, доступность, и полезность. Достоинства Паркерская гексада являются предметом дискуссий среди профессионалов в области безопасности.^[31]

В 2011, Открытая группа опубликовал стандарт управления информационной безопасностью O-ISM3.^[32] Этот стандарт предлагал Рабочее определение ключевых концепций безопасности с элементами, называемыми «целями безопасности», относящимися к контроль доступа (9), доступность (3), Качество данных (1), согласие и технический (4). В 2009, DoD Инициатива по защите программного обеспечения выпустил Три принципа кибербезопасности к которым относятся уязвимость системы, доступ к уязвимости и возможность использования уязвимости.^[33][34][35] Ни одна из этих моделей не получила широкого распространения.

Конфиденциальность

В сфере информационной безопасности конфиденциальность «является тем свойством, что информация не предоставляется или не раскрывается неавторизованным лицам, организациям или процессам».^[36] Хотя эти два слова похожи на «конфиденциальность», они не взаимозаменяемы. Скорее, конфиденциальность - это компонент конфиденциальности, который обеспечивает защиту наших данных от неавторизованных посетителей. Примеры нарушения конфиденциальности электронных данных включают кражу ноутбука, кражу пароля или отправку конфиденциальных электронных писем не тем людям.^[37]

Честность

В информационной безопасности целостность данных означает поддержание и обеспечение точности и полноты данных на протяжении всего их жизненного цикла.^[38] Это означает, что данные не могут быть изменены несанкционированным или необнаруженным образом. Это не то же самое, что ссылочная целостность в базы данных, хотя его можно рассматривать как частный случай согласованности в понимании классической КИСЛОТА модель обработка транзакции. Системы информационной безопасности обычно обеспечивают целостность сообщений наряду с конфиденциальностью.

Доступность

Чтобы любая информационная система могла служить своей цели, информация должна быть имеется в наличии когда это необходимо. Это означает, что вычислительные системы, используемые для хранения и обработки информации, меры безопасности используется для его защиты, и каналы связи, используемые для доступа к нему, должны работать правильно. Высокая доступность системы стремятся оставаться доступными в любое время, предотвращая перебои в обслуживании из-за перебоев в подаче электроэнергии, отказов оборудования и обновлений системы. Обеспечение доступности также включает предотвращение атаки отказа в обслуживании, например, поток входящих сообщений в целевую систему, по сути вынуждающий ее выключиться.^[39]

В сфере информационной безопасности доступность часто можно рассматривать как одну из наиболее важных частей успешной программы информационной безопасности. В конечном итоге конечные пользователи должны иметь возможность выполнять рабочие функции; Обеспечивая доступность, организация способна соответствовать стандартам, которых ожидают заинтересованные стороны организации. Это может включать такие темы, как конфигурации прокси, внешний доступ в Интернет, возможность доступа к общим дискам и возможность отправки электронных писем. Руководители часто не понимают техническую сторону информационной безопасности и рассматривают доступность как простое решение, но это часто требует сотрудничества многих различных организационных групп, таких как сетевые операции, операции по разработке, реагирование на инциденты и управление политиками / изменениями. Успешная команда информационной безопасности включает в себя множество различных ключевых ролей, которые необходимо объединить и согласовать для эффективного обеспечения триады ЦРУ.

Безотказность

В законе, неотречение подразумевает намерение выполнить свои обязательства по контракту. Это также подразумевает, что одна сторона транзакции не может отрицать получение транзакции, а другая сторона не может отрицать отправку транзакции.^[40]

Важно отметить, что хотя такие технологии, как криптографические системы, могут помочь в усилиях по недопущению отказа от авторства, эта концепция по своей сути является правовой концепцией, выходящей за рамки области технологий. Например, недостаточно показать, что сообщение соответствует цифровой подписи, подписанной закрытым ключом отправителя, и, таким образом, только отправитель мог отправить сообщение, и никто другой не мог изменить его при передаче (целостность данных ). Предполагаемый отправитель может в свою очередь продемонстрировать, что алгоритм цифровой подписи уязвим или ошибочен, либо заявить или доказать, что его ключ подписи был скомпрометирован. Вина за эти нарушения может лежать или не лежать на отправителе, и такие утверждения могут или не могут освобождать отправителя от ответственности, но такое утверждение сделает недействительным утверждение о том, что подпись обязательно доказывает подлинность и целостность. Таким образом, отправитель может отклонить сообщение (поскольку аутентичность и целостность являются предпосылками неотказуемости).

Управление рисками

Вообще говоря, риск - это вероятность того, что произойдет что-то плохое, что нанесет ущерб информационному активу (или потеряет актив). Уязвимость - это слабое место, которое может быть использовано, чтобы поставить под угрозу или нанести вред информационному активу. Угроза - это что угодно (созданное руками человека или стихийное бедствие ), который может причинить вред. Вероятность того, что угроза будет использовать уязвимость для причинения вреда, создает риск. Когда угроза действительно использует уязвимость для нанесения вреда, она оказывает влияние. В контексте информационной безопасности последствиями являются потеря доступности, целостности и конфиденциальности, а также, возможно, другие потери (потерянный доход, гибель людей, потеря недвижимого имущества).^[41]

В Сертифицированный аудитор информационных систем (CISA) Обзорное руководство, 2006 г. определяет управление рисками как "процесс выявления уязвимости и угрозы к информационным ресурсам, используемым организацией для достижения бизнес-целей, и принятия решения о том, что контрмеры, если таковые имеются, принять меры по снижению риска до приемлемого уровня, исходя из ценности информационного ресурса для организации ».^[42]

В этом определении есть две вещи, которые могут потребовать некоторого пояснения. Во-первых, процесс управления рисками - это постоянный, повторяющийся процесс. Это нужно повторять бесконечно. Деловая среда постоянно меняется и обновляется. угрозы и уязвимости появляются каждый день. Во-вторых, выбор контрмеры (контроль ), используемые для управления рисками, должны обеспечивать баланс между производительностью, стоимостью, эффективностью контрмер и стоимостью защищаемого информационного актива. Кроме того, эти процессы имеют ограничения, поскольку нарушения безопасности обычно редки и возникают в конкретном контексте, который нелегко повторить. Таким образом, любой процесс и контрмеры должны быть оценены на предмет уязвимости.^[43] Невозможно идентифицировать все риски или исключить все риски. Остающийся риск называется «остаточным риском».

А оценка рисков выполняется командой людей, знающих конкретные области бизнеса. Состав команды может меняться с течением времени, поскольку оцениваются разные части бизнеса. Оценка может использовать субъективный качественный анализ, основанный на информированном мнении, или, если доступны надежные данные в долларах и историческая информация, анализ может использовать количественный анализ.

Исследования показали, что наиболее уязвимым местом в большинстве информационных систем является человек-пользователь, оператор, проектировщик или другой человек.^[44] В ISO / IEC 27002: 2005 Свод правил для управление информационной безопасностью рекомендует при оценке риска изучить следующее:

• политика безопасности,
• организация информационной безопасности,
• управление активами,
• человеческие ресурсы безопасность,
• физический и экологическая безопасность,
• коммуникации и управление операциями,
• контроль доступа,
• приобретение, разработка и обслуживание информационных систем,
• информационная безопасность управление происшествиями,
• управление непрерывностью бизнеса и
• соответствие нормативным требованиям.

В широком смысле процесс управления рисками состоит из:^[45][46]

1. Идентификация активов и оценка их стоимости. Включают: людей, здания, оборудование, программное обеспечение, данные (электронные, печатные, прочее), расходные материалы.
2. Провести оценка угрозы. Включая: стихийные бедствия, военные действия, несчастные случаи, злонамеренные действия, исходящие изнутри или вне организации.
3. Провести Оценка уязвимости, и для каждой уязвимости рассчитайте вероятность того, что она будет использована. Оценить политики, процедуры, стандарты, обучение, физическая охрана, контроль качества, техническая охрана.
4. Рассчитайте влияние каждой угрозы на каждый актив. Используйте качественный анализ или количественный анализ.
5. Определите, выберите и внедрите соответствующие средства контроля. Дайте пропорциональный ответ. Учитывайте производительность, экономическую эффективность и стоимость актива.
6. Оцените эффективность мер контроля. Убедитесь, что средства управления обеспечивают необходимую экономичную защиту без заметной потери производительности.

В отношении любого данного риска руководство может принять решение о принятии риска на основании относительной низкой стоимости актива, относительно низкой частоты возникновения и относительно низкого воздействия на бизнес. Или руководство может решить снизить риск, выбрав и реализовав соответствующие меры контроля для снижения риска. В некоторых случаях риск может быть передан другому бизнесу путем покупки страховки или передачи на аутсорсинг другому бизнесу.^[47] Реальность некоторых рисков может быть оспорена. В таких случаях руководство может отказаться от риска.

Контроль безопасности

Выбор и внедрение надлежащих мер безопасности на начальном этапе поможет организации снизить риск до приемлемого уровня. Выбор контроля должен быть последующим и должен основываться на оценке риска. Средства контроля могут различаться по своему характеру, но в основном это способы защиты конфиденциальности, целостности или доступности информации. ISO / IEC 27001 определил элементы управления в разных областях. Организации могут внедрить дополнительные средства управления в соответствии с требованиями организации.^[48] ISO / IEC 27002 предлагает руководство по стандартам информационной безопасности организации.

Административный

Административный контроль состоит из утвержденных письменных политик, процедур, стандартов и руководств. Административный контроль формирует основу для ведения бизнеса и управления людьми. Они информируют людей о том, как следует вести бизнес и как следует вести повседневные операции. Законы и постановления, создаваемые государственными органами, также являются разновидностью административного контроля, поскольку они информируют бизнес. В некоторых отраслях промышленности существуют политики, процедуры, стандарты и руководства, которым необходимо следовать - Стандарт безопасности данных индустрии платежных карт^[49] (PCI DSS) требуется Visa и MasterCard вот такой пример. Другие примеры административного контроля включают корпоративную политику безопасности, политика паролей, политика найма и дисциплинарная политика.

Административный контроль формирует основу для выбора и реализации логического и физического контроля. Логический и физический контроль - это проявления административного контроля, который имеет первостепенное значение.

Логический

Логические элементы управления (также называемые техническими элементами управления) используют программное обеспечение и данные для мониторинга и контроля доступа к информации и вычислительным системам. Пароли, сетевые и межсетевые экраны на основе хоста, сеть обнаружения вторжений системы, списки контроля доступа, и шифрование данных являются примерами логических элементов управления.

Важным логическим элементом управления, который часто упускается из виду, является принцип наименьших привилегий, который требует, чтобы отдельному человеку, программе или системному процессу не предоставлялось больше прав доступа, чем необходимо для выполнения задачи.^[50] Наглядным примером несоблюдения принципа минимальных привилегий является вход в Windows в качестве администратора для чтения электронной почты и просмотра веб-страниц. Нарушение этого принципа также может происходить, когда человек со временем собирает дополнительные права доступа. Это происходит при изменении должностных обязанностей сотрудников, переводе сотрудников на новую должность или переводе сотрудников в другой отдел. Привилегии доступа, требуемые их новыми обязанностями, часто добавляются к их уже существующим привилегиям доступа, которые могут больше не быть необходимыми или подходящими.

Физический

Физические средства контроля контролируют и контролируют среду на рабочем месте и вычислительных средствах. Они также контролируют и контролируют доступ к таким объектам и из них и включают двери, замки, отопление и кондиционирование воздуха, дымовую и пожарную сигнализацию, системы пожаротушения, камеры, баррикады, ограждения, охрану, кабельные замки и т. Д. Разделение сети и рабочего места В функциональные области также находятся физические средства управления.

Важным физическим контролем, который часто упускается из виду, является разделение обязанностей, которое гарантирует, что человек не сможет выполнить важную задачу самостоятельно. Например, сотрудник, который отправляет запрос на возмещение, также не должен иметь возможность авторизовать платеж или распечатать чек. Программист приложений также не должен быть администратор сервера или администратор базы данных; эти роли и обязанности должны быть отделены друг от друга.^[51]

Глубокая защита

В луковая модель глубокоэшелонированной защиты

Информационная безопасность должна защищать информацию на протяжении всего ее жизненного цикла, от первоначального создания информации до окончательного удаления информации. Информация должна быть защищена как в движении, так и в покое. В течение своего жизненного цикла информация может проходить через множество различных систем обработки информации и через множество различных частей систем обработки информации. Есть много разных способов, которыми может угрожать информация и информационные системы. Чтобы полностью защитить информацию в течение всего срока ее существования, каждый компонент системы обработки информации должен иметь свои собственные механизмы защиты. Наращивание, наложение и перекрытие мер безопасности называется «глубокоэшелонированной защитой». В отличие от металлической цепи, которая, как известно, настолько прочна, насколько сильна ее самое слабое звено, стратегия глубокоэшелонированной защиты нацелена на структуру, в которой в случае неудачи одной меры защиты другие меры будут продолжать обеспечивать защиту.^[52]

Вспомните предыдущее обсуждение административных элементов управления, логических элементов управления и физических элементов управления. Эти три типа контроля могут быть использованы для формирования основы для построения стратегии глубокоэшелонированной защиты. При таком подходе глубокоэшелонированная защита может быть концептуализирована как три отдельных слоя или плоскости, уложенных один поверх другого. Дополнительное понимание глубокоэшелонированной защиты можно получить, если подумать о ней как о формировании слоев луковицы, с данными в ядре луковицы, людьми в следующем внешнем слое лука и сетевая безопасность, безопасность на основе хоста и безопасность приложений формируя самые внешние слои лука. Обе точки зрения одинаково верны, и каждая дает ценную информацию о реализации хорошей стратегии глубокоэшелонированной защиты.

Классификация безопасности информации

Важным аспектом информационной безопасности и управления рисками является признание ценности информации и определение соответствующих процедур и требований к защите информации. Не вся информация одинакова, поэтому не вся информация требует одинаковой степени защиты. Это требует, чтобы информация была присвоена классификация безопасности. Первым шагом в классификации информации является определение члена высшего руководства как владельца конкретной информации, подлежащей классификации. Затем разработайте политику классификации. Политика должна описывать различные классификационные метки, определять критерии для информации, которой должна быть присвоена конкретная метка, и перечислять необходимые меры безопасности для каждой классификации.^[53]

Некоторые факторы, влияющие на то, какую классификационную информацию следует присвоить, включают, насколько эта информация имеет ценность для организации, сколько ей лет и устарела ли информация. Законы и другие нормативные требования также являются важными факторами при классификации информации. В Ассоциация аудита и контроля информационных систем (ISACA) и ее Бизнес-модель информационной безопасности также служит инструментом для специалистов по безопасности для изучения безопасности с точки зрения системы, создавая среду, в которой можно управлять безопасностью в целом, позволяя устранять реальные риски.^[54]

Тип выбранных и используемых классификационных меток информационной безопасности будет зависеть от характера организации, например:^[53]

• В деловом секторе такие ярлыки, как: Public, Sensitive, Private, Confidential.
• В государственном секторе такие ярлыки, как: Несекретно, Неофициально, Защищено, Конфиденциально, Секретно, Совершенно секретно и их неанглийские эквиваленты.
• В межотраслевых образованиях Протокол светофора, который состоит из: белого, зеленого, янтарного и красного.

Все сотрудники в организации, а также бизнес-партнеры должны быть обучены схеме классификации и понимать необходимые меры безопасности и процедуры обработки для каждой классификации. Классификацию конкретного информационного актива, который был назначен, следует периодически пересматривать, чтобы гарантировать, что классификация по-прежнему соответствует информации, и чтобы гарантировать, что меры безопасности, требуемые классификацией, существуют и соблюдаются в их правильных процедурах.

Контроль доступа

Доступ к защищенной информации должен быть ограничен людьми, имеющими право доступа к информации. Компьютерные программы и, во многих случаях, компьютеры, обрабатывающие информацию, также должны быть авторизованы. Для этого необходимо наличие механизмов контроля доступа к защищенной информации. Сложность механизмов управления доступом должна соответствовать ценности защищаемой информации; чем более конфиденциальная или ценная информация, тем сильнее должны быть механизмы контроля. The foundation on which access control mechanisms are built start with identification and аутентификация.

Access control is generally considered in three steps: identification, аутентификация, и разрешение.^[37]

Идентификация

Identification is an assertion of who someone is or what something is. If a person makes the statement "Hello, my name is Джон Доу " they are making a claim of who they are. However, their claim may or may not be true. Before John Doe can be granted access to protected information it will be necessary to verify that the person claiming to be John Doe really is John Doe. Typically the claim is in the form of a username. By entering that username you are claiming "I am the person the username belongs to".

Аутентификация

Authentication is the act of verifying a claim of identity. When John Doe goes into a bank to make a withdrawal, he tells the банковский кассир he is John Doe, a claim of identity. The bank teller asks to see a photo ID, so he hands the teller his водительские права. The bank teller checks the license to make sure it has John Doe printed on it and compares the photograph on the license against the person claiming to be John Doe. If the photo and name match the person, then the teller has authenticated that John Doe is who he claimed to be. Similarly, by entering the correct password, the user is providing evidence that he/she is the person the username belongs to.

There are three different types of information that can be used for authentication:

• Something you know: things such as a PIN, a пароль, or your mother's девичья фамилия
• Something you have: a driver's license or a magnetic swipe card
• Something you are: биометрия, включая palm prints, отпечатки пальцев, voice prints и retina (eye) scans

Strong authentication requires providing more than one type of authentication information (two-factor authentication). В имя пользователя is the most common form of identification on computer systems today and the password is the most common form of authentication. Usernames and passwords have served their purpose, but they are increasingly inadequate.^[55] Usernames and passwords are slowly being replaced or supplemented with more sophisticated authentication mechanisms such as Time-based One-time Password algorithms.

Авторизация

After a person, program or computer has successfully been identified and authenticated then it must be determined what informational resources they are permitted to access and what actions they will be allowed to perform (run, view, create, delete, or change). Это называется разрешение. Authorization to access information and other computing services begins with administrative policies and procedures. The policies prescribe what information and computing services can be accessed, by whom, and under what conditions. The access control mechanisms are then configured to enforce these policies. Different computing systems are equipped with different kinds of access control mechanisms. Some may even offer a choice of different access control mechanisms. The access control mechanism a system offers will be based upon one of three approaches to access control, or it may be derived from a combination of the three approaches.^[37]

The non-discretionary approach consolidates all access control under a centralized administration. The access to information and other resources is usually based on the individuals function (role) in the organization or the tasks the individual must perform. The discretionary approach gives the creator or owner of the information resource the ability to control access to those resources. In the mandatory access control approach, access is granted or denied basing upon the security classification assigned to the information resource.

Examples of common access control mechanisms in use today include role-based access control, available in many advanced database management systems; просто права доступа к файлам provided in the UNIX and Windows operating systems; Group Policy Objects provided in Windows network systems; и Kerberos, RADIUS, TACACS, and the simple access lists used in many брандмауэры и маршрутизаторы.

To be effective, policies and other security controls must be enforceable and upheld. Effective policies ensure that people are held accountable for their actions. В Казначейство США 's guidelines for systems processing sensitive or proprietary information, for example, states that all failed and successful authentication and access attempts must be logged, and all access to information must leave some type of контрольный журнал.^[56]

Also, the need-to-know principle needs to be in effect when talking about access control. This principle gives access rights to a person to perform their job functions. This principle is used in the government when dealing with difference clearances. Even though two employees in different departments have a top-secret clearance, they must have a need-to-know in order for information to be exchanged. Within the need-to-know principle, network administrators grant the employee the least amount of privilege to prevent employees from accessing more than what they are supposed to. Need-to-know helps to enforce the confidentiality-integrity-availability triad. Need-to-know directly impacts the confidential area of the triad.

Криптография

Information security uses криптография to transform usable information into a form that renders it unusable by anyone other than an authorized user; этот процесс называется шифрование. Information that has been encrypted (rendered unusable) can be transformed back into its original usable form by an authorized user who possesses the криптографический ключ, through the process of decryption. Cryptography is used in information security to protect information from unauthorized or accidental disclosure while the Информация is in transit (either electronically or physically) and while information is in storage.^[37]

Cryptography provides information security with other useful applications as well, including improved authentication methods, message digests, digital signatures, неотречение, and encrypted network communications. Older, less secure applications such as Telnet и протокол передачи файлов (FTP) are slowly being replaced with more secure applications such as Безопасная оболочка (SSH) that use encrypted network communications. Wireless communications can be encrypted using protocols such as WPA / WPA2 or the older (and less secure) WEP. Wired communications (such as ITU‑T G.hn ) are secured using AES for encryption and X.1035 for authentication and key exchange. Software applications such as GnuPG или же PGP can be used to encrypt data files and email.

Cryptography can introduce security problems when it is not implemented correctly. Cryptographic solutions need to be implemented using industry-accepted solutions that have undergone rigorous peer review by independent experts in cryptography. В length and strength of the encryption key is also an important consideration. A key that is слабый or too short will produce weak encryption. The keys used for encryption and decryption must be protected with the same degree of rigor as any other confidential information. They must be protected from unauthorized disclosure and destruction and they must be available when needed. Инфраструктура открытого ключа (PKI) solutions address many of the problems that surround key management.^[37]

Процесс

The terms "reasonable and prudent person," "due care " and "due diligence" have been used in the fields of finance, securities, and law for many years. In recent years these terms have found their way into the fields of computing and information security.^[46] НАС. Federal Sentencing Guidelines now make it possible to hold corporate officers liable for failing to exercise due care and due diligence in the management of their information systems.^[57]

In the business world, stockholders, customers, business partners and governments have the expectation that corporate officers will run the business in accordance with accepted business practices and in compliance with laws and other regulatory requirements. This is often described as the "reasonable and prudent person" rule. A prudent person takes due care to ensure that everything necessary is done to operate the business by sound business principles and in a legal, ethical manner. A prudent person is also diligent (mindful, attentive, ongoing) in their due care of the business.

In the field of information security, Harris^[58]offers the following definitions of due care and due diligence:

"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees." And, [Due diligence are the] "continual activities that make sure the protection mechanisms are continually maintained and operational."

Attention should be made to two important points in these definitions. First, in due care, steps are taken to show; this means that the steps can be verified, measured, or even produce tangible artifacts. Second, in due diligence, there are continual activities; this means that people are actually doing things to monitor and maintain the protection mechanisms, and these activities are ongoing.

Organizations have a responsibility with practicing duty of care when applying information security. The Duty of Care Risk Analysis Standard (DoCRA)^[59] provides principles and practices for evaluating risk. Он учитывает все стороны, которые могут быть затронуты этими рисками. DoCRA helps evaluate safeguards if they are appropriate in protecting others from harm while presenting a reasonable burden. With increased data breach litigation, companies must balance security controls, compliance, and its mission.

Security governance

В Институт программной инженерии в Университет Карнеги Меллон, in a publication titled Governing for Enterprise Security (GES) Implementation Guide, defines characteristics of effective security governance. К ним относятся:^[60]

• An enterprise-wide issue
• Leaders are accountable
• Viewed as a business requirement
• Risk-based
• Roles, responsibilities, and segregation of duties defined
• Addressed and enforced in policy
• Adequate resources committed
• Staff aware and trained
• A development life cycle requirement
• Planned, managed, measurable, and measured
• Reviewed and audited

Incident response plans

Эта секция нуждается в расширении. Вы можете помочь добавляя к этому. (Январь 2018)

An incident response plan is a group of policies that dictate an organizations reaction to a cyber attack. Once an security breach has been identified the plan is initiated. It is important to note that there can be legal implications to a data breach. Knowing local and federal laws is critical. Every plan is unique to the needs of the organization, and it can involve skill set that are not part of an IT team. For example, a lawyer may be included in the response plan to help navigate legal implications to a data breach.^[61]

As mentioned above every plan is unique but most plans will include the following:^[62]

Подготовка

Good preparation includes the development of an Incident Response Team (IRT). Skills need to be used by this team would be, penetration testing, computer forensics, network security, etc. This team should also keep track of trends in cybersecurity and modern attack strategies. A training program for end users is important as well as most modern attack strategies target users on the network.^[62]

Идентификация

This part of the incident response plan identifies if there was a security event. When an end user reports information or an admin notices irregularities, an investigation is launched. An incident log is a crucial part of this step. All of the members of the team should be updating this log to ensure that information flows as fast as possible. If it has been identified that a security breach has occurred the next step should be activated.^[63]

Сдерживание

In this phase, the IRT works to isolate the areas that the breach took place to limit the scope of the security event. During this phase it is important to preserve information forensically so it can be analyzed later in the process. Containment could be as simple as physically containing a server room or as complex as segmenting a network to not allow the spread of a virus.^[64]

Eradication

This is where the threat that was identified is removed from the affected systems. This could include using deleting malicious files, terminating compromised accounts, or deleting other components. Some events do not require this step, however it is important to fully understand the event before moving to this step. This will help to ensure that the threat is completely removed.^[64]

Восстановление

This stage is where the systems are restored back to original operation. This stage could include the recovery of data, changing user access information, or updating firewall rules or policies to prevent a breach in the future. Without executing this step, the system could still be vulnerable to future security threats.^[64]

Lessons Learned

In this step information that has been gathered during this process is used to make future decisions on security. This step is crucial to the ensure that future events are prevented. Using this information to further train admins is critical to the process. This step can also be used to process information that is distributed from other entities who have experienced a security event.^[65]

Управление изменениями

Change management is a formal process for directing and controlling alterations to the information processing environment. This includes alterations to desktop computers, the network, servers and software. The objectives of change management are to reduce the risks posed by changes to the information processing environment and improve the stability and reliability of the processing environment as changes are made. It is not the objective of change management to prevent or hinder necessary changes from being implemented.^[66]

Any change to the information processing environment introduces an element of risk. Even apparently simple changes can have unexpected effects. One of management's many responsibilities is the management of risk. Change management is a tool for managing the risks introduced by changes to the information processing environment. Part of the change management process ensures that changes are not implemented at inopportune times when they may disrupt critical business processes or interfere with other changes being implemented.

Not every change needs to be managed. Some kinds of changes are a part of the everyday routine of information processing and adhere to a predefined procedure, which reduces the overall level of risk to the processing environment. Creating a new user account or deploying a new desktop computer are examples of changes that do not generally require change management. However, relocating user file shares, or upgrading the Email server pose a much higher level of risk to the processing environment and are not a normal everyday activity. The critical first steps in change management are (a) defining change (and communicating that definition) and (b) defining the scope of the change system.

Change management is usually overseen by a change review board composed of representatives from key business areas, security, networking, systems administrators, database administration, application developers, desktop support and the help desk. The tasks of the change review board can be facilitated with the use of automated work flow application. The responsibility of the change review board is to ensure the organization's documented change management procedures are followed. The change management process is as follows^[67]

• Запрос: Anyone can request a change. The person making the change request may or may not be the same person that performs the analysis or implements the change. When a request for change is received, it may undergo a preliminary review to determine if the requested change is compatible with the organizations Бизнес модель and practices, and to determine the amount of resources needed to implement the change.
• Одобрить: Management runs the business and controls the allocation of resources therefore, management must approve requests for changes and assign a priority for every change. Management might choose to reject a change request if the change is not compatible with the business model, industry standards or best practices. Management might also choose to reject a change request if the change requires more resources than can be allocated for the change.
• Plan: Planning a change involves discovering the scope and impact of the proposed change; analyzing the complexity of the change; allocation of resources and, developing, testing and documenting both implementation and back-out plans. Need to define the criteria on which a decision to back out will be made.
• Тест: Every change must be tested in a safe test environment, which closely reflects the actual production environment, before the change is applied to the production environment. The backout plan must also be tested.
• График: Part of the change review board's responsibility is to assist in the scheduling of changes by reviewing the proposed implementation date for potential conflicts with other scheduled changes or critical business activities.
• Communicate: Once a change has been scheduled it must be communicated. The communication is to give others the opportunity to remind the change review board about other changes or critical business activities that might have been overlooked when scheduling the change. The communication also serves to make the help desk and users aware that a change is about to occur. Another responsibility of the change review board is to ensure that scheduled changes have been properly communicated to those who will be affected by the change or otherwise have an interest in the change.
• Implement: At the appointed date and time, the changes must be implemented. Part of the planning process was to develop an implementation plan, testing plan and, a back out plan. If the implementation of the change should fail or, the post implementation testing fails or, other "drop dead" criteria have been met, the back out plan should be implemented.
• Document: All changes must be documented. The documentation includes the initial request for change, its approval, the priority assigned to it, the implementation, testing and back out plans, the results of the change review board critique, the date/time the change was implemented, who implemented it, and whether the change was implemented successfully, failed or postponed.
• Post-change review: The change review board should hold a post-implementation review of changes. It is particularly important to review failed and backed out changes. The review board should try to understand the problems that were encountered, and look for areas for improvement.

Change management procedures that are simple to follow and easy to use can greatly reduce the overall risks created when changes are made to the information processing environment. Good change management procedures improve the overall quality and success of changes as they are implemented. This is accomplished through planning, peer review, documentation and communication.

ISO / IEC 20000, The Visible OPS Handbook: Implementing ITIL in 4 Practical and Auditable Steps^[68] (Full book summary),^[69] и ITIL all provide valuable guidance on implementing an efficient and effective change management program information security.

Непрерывность бизнеса

Business continuity management (BCM ) concerns arrangements aiming to protect an organization's critical business functions from interruption due to incidents, or at least minimize the effects. BCM is essential to any organization to keep technology and business in line with current threats to the continuation of business as usual. The BCM should be included in an organizations анализ риска plan to ensure that all of the necessary business functions have what they need to keep going in the event of any type of threat to any business function.^[70]

It encompasses:

• Analysis of requirements, e.g., identifying critical business functions, dependencies and potential failure points, potential threats and hence incidents or risks of concern to the organization;
• Specification, e.g., maximum tolerable outage periods; recovery point objectives (maximum acceptable periods of data loss);
• Architecture and design, e.g., an appropriate combination of approaches including resilience (e.g. engineering IT systems and processes for high availability, avoiding or preventing situations that might interrupt the business), incident and emergency management (e.g., evacuating premises, calling the emergency services, triage/situation assessment and invoking recovery plans), recovery (e.g., rebuilding) and contingency management (generic capabilities to deal positively with whatever occurs using whatever resources are available);
• Implementation, e.g., configuring and scheduling backups, data transfers, etc., duplicating and strengthening critical elements; contracting with service and equipment suppliers;
• Testing, e.g., business continuity exercises of various types, costs and assurance levels;
• Management, e.g., defining strategies, setting objectives and goals; planning and directing the work; allocating funds, people and other resources; prioritization relative to other activities; team building, leadership, control, motivation and coordination with other business functions and activities (e.g., IT, facilities, human resources, risk management, information risk and security, operations); monitoring the situation, checking and updating the arrangements when things change; maturing the approach through continuous improvement, learning and appropriate investment;
• Assurance, e.g., testing against specified requirements; measuring, analyzing and reporting key parameters; conducting additional tests, reviews and audits for greater confidence that the arrangements will go to plan if invoked.

Whereas BCM takes a broad approach to minimizing disaster-related risks by reducing both the probability and the severity of incidents, a План по ликвидации последствий катастрофы (DRP) focuses specifically on resuming business operations as quickly as possible after a disaster. A disaster recovery plan, invoked soon after a disaster occurs, lays out the steps necessary to recover critical information and communications technology (ICT) infrastructure. Disaster recovery planning includes establishing a planning group, performing risk assessment, establishing priorities, developing recovery strategies, preparing inventories and documentation of the plan, developing verification criteria and procedure, and lastly implementing the plan.^[71]

Законы и правила

Privacy International 2007 privacy ranking
green: Protections and safeguards
red: Endemic surveillance societies

Below is a partial listing of governmental laws and regulations in various parts of the world that have, had, or will have, a significant effect on data processing and information security. Important industry sector regulations have also been included when they have a significant impact on information security.

• Великобритания Закон о защите данных 1998 г. makes new provisions for the regulation of the processing of information relating to individuals, including the obtaining, holding, use or disclosure of such information. The European Union Data Protection Directive (EUDPD) requires that all E.U. members adopt national regulations to standardize the protection of конфиденциальность данных for citizens throughout the E.U.^[72]
• В Закон о неправомерном использовании компьютеров 1990 is an Act of the Парламент Великобритании making computer crime (e.g., hacking) a criminal offense. The act has become a model upon which several other countries, including Канада и Республика Ирландия, have drawn inspiration from when subsequently drafting their own information security laws.^[73]
• The E.U.'s Директива о хранении данных (annulled) required internet service providers and phone companies to keep data on every electronic message sent and phone call made for between six months and two years.^[74]
• В Family Educational Rights and Privacy Act (FERPA) (20 U.S.C.  § 1232 грамм; 34 CFR Part 99) is a U.S. Federal law that protects the privacy of student education records. The law applies to all schools that receive funds under an applicable program of the U.S. Department of Education. Generally, schools must have written permission from the parent or eligible student in order to release any information from a student's education record.^[75]
• The Federal Financial Institutions Examination Council's (FFIEC) security guidelines for auditors specifies requirements for online banking security.^[76]
• В Медицинское страхование Портативность и Акт об ответственности (HIPAA) of 1996 requires the adoption of national standards for electronic health care transactions and national identifiers for providers, health insurance plans, and employers. Additionally, it requires health care providers, insurance providers and employers to safeguard the security and privacy of health data.^[77]
• В Закон Грэмма – Лича – Блайли of 1999 (GLBA), also known as the Financial Services Modernization Act of 1999, protects the privacy and security of private financial information that financial institutions collect, hold, and process.^[78]
• Section 404 of the Sarbanes–Oxley Act of 2002 (SOX) requires publicly traded companies to assess the effectiveness of their internal controls for financial reporting in annual reports they submit at the end of each fiscal year. Chief information officers are responsible for the security, accuracy and the reliability of the systems that manage and report the financial data. The act also requires publicly traded companies to engage with independent auditors who must attest to, and report on, the validity of their assessments.^[79]
• В Стандарт безопасности данных индустрии платежных карт (PCI DSS) establishes comprehensive requirements for enhancing payment account data security. It was developed by the founding payment brands of the PCI Security Standards Council — including American Express, Откройте для себя финансовые услуги, JCB, MasterCard Worldwide and Visa International — to help facilitate the broad adoption of consistent безопасность данных measures on a global basis. The PCI DSS is a multifaceted security standard that includes requirements for security management, policies, procedures, сетевая архитектура, software design and other critical protective measures.^[80]
• Состояние security breach notification laws (California and many others) require businesses, nonprofits, and state institutions to notify consumers when unencrypted "personal information" may have been compromised, lost, or stolen.^[81]
• The Personal Information Protection and Electronics Document Act (PIPEDA ) of Canada supports and promotes electronic commerce by protecting personal information that is collected, used or disclosed in certain circumstances, by providing for the use of electronic means to communicate or record information or transactions and by amending the Canada Evidence Act, the Statutory Instruments Act and the Statute Revision Act.^[82]
• Greece's Hellenic Authority for Communication Security and Privacy (ADAE) (Law 165/2011) establishes and describes the minimum information security controls that should be deployed by every company which provides electronic communication networks and/or services in Greece in order to protect customers' confidentiality. These include both managerial and technical controls (e.g., log records should be stored for two years).^[83]
• Greece's Hellenic Authority for Communication Security and Privacy (ADAE) (Law 205/2013) concentrates around the protection of the integrity and availability of the services and data offered by Greek telecommunication companies. The law forces these and other related companies to build, deploy and test appropriate business continuity plans and redundant infrastructures.^[84]

Information security culture

Describing more than simply how security aware employees are, information security culture is the ideas, customs, and social behaviors of an organization that impact information security in both positive and negative ways.^[85] Cultural concepts can help different segments of the organization work effectively or work against effectiveness towards information security within an organization. The way employees think and feel about security and the actions they take can have a big impact on information security in organizations. Roer & Petric (2017) identify seven core dimensions of information security culture in organizations:^[86]

• Attitudes: Employees’ feelings and emotions about the various activities that pertain to the organizational security of information.
• Behaviors: Actual or intended activities and risk-taking actions of employees that have direct or indirect impact on information security.
• Cognition: Employees' awareness, verifiable knowledge, and beliefs regarding practices, activities, and self-efficacy relation that are related to information security.
• Communication: Ways employees communicate with each other, sense of belonging, support for security issues, and incident reporting.
• Compliance: Adherence to organizational security policies, awareness of the existence of such policies and the ability to recall the substance of such policies.
• Norms: Perceptions of security-related organizational conduct and practices that are informally deemed either normal or deviant by employees and their peers, e.g. hidden expectations regarding security behaviors and unwritten rules regarding uses of information-communication technologies.
• Responsibilities: Employees' understanding of the roles and responsibilities they have as a critical factor in sustaining or endangering the security of information, and thereby the organization.

Andersson and Reimers (2014) found that employees often do not see themselves as part of the organization Information Security "effort" and often take actions that ignore organizational information security best interests.^[87] Research shows information security culture needs to be improved continuously. В Information Security Culture from Analysis to Change, authors commented, "It's a never ending process, a cycle of evaluation and change or maintenance." To manage the information security culture, five steps should be taken: pre-evaluation, strategic planning, operative planning, implementation, and post-evaluation.^[88]

• Pre-Evaluation: to identify the awareness of information security within employees and to analyze current security policy
• Strategic Planning: to come up a better awareness-program, we need to set clear targets. Clustering people is helpful to achieve it
• Operative Planning: create a good security culture based on internal communication, management buy-in, security awareness and training programs
• Implementation: should feature commitment of management, communication with organizational members, courses for all organizational members, and commitment of the employees^[88]
• Post-evaluation: to better gauge the effectiveness of the prior steps and build on continuous improvement

Sources of standards

В Международная организация по стандартизации (ISO) is a consortium of national standards institutes from 157 countries, coordinated through a secretariat in Geneva, Switzerland. ISO is the world's largest developer of standards. ISO 15443: "Information technology – Security techniques – A framework for IT security assurance", ISO / IEC 27002: "Information technology – Security techniques – Code of practice for information security management", ISO-20000: "Information technology – Service management", and ISO / IEC 27001: "Information technology – Security techniques – Information security management systems – Requirements" are of particular interest to information security professionals.

Соединенные штаты Национальный институт стандартов и технологий (NIST) is a non-regulatory federal agency within the Министерство торговли США. The NIST Computer Security Divisiondevelops standards, metrics, tests and validation programs as well as publishes standards and guidelines to increase secure IT planning, implementation, management and operation. NIST is also the custodian of the U.S. Федеральный стандарт обработки информации publications (FIPS).

Интернет-общество is a professional membership society with more than 100 organizations and over 20,000 individual members in over 180 countries. It provides leadership in addressing issues that confront the future of the internet, and it is the organizational home for the groups responsible for internet infrastructure standards, including the Инженерная группа Интернета (IETF) и Совет по архитектуре Интернета (IAB). The ISOC hosts the Requests for Comments (RFCs) which includes the Official Internet Protocol Standards and the RFC-2196 Site Security Handbook.

В Information Security Forum (ISF) is a global nonprofit organization of several hundred leading organizations in financial services, manufacturing, telecommunications, consumer goods, government, and other areas. It undertakes research into information security practices and offers advice in its biannual Standard of Good Practice and more detailed advisories for members.

В Институт специалистов по информационной безопасности (IISP) - это независимая некоммерческая организация, управляемая ее членами, основная цель которой - повышение профессионализма специалистов по информационной безопасности и, следовательно, профессионализма отрасли в целом. The institute developed the IISP Skills Framework. This framework describes the range of competencies expected of information security and information assurance professionals in the effective performance of their roles. It was developed through collaboration between both private and public sector organizations and world-renowned academics and security leaders.^[89]

Немец Федеральное управление информационной безопасности (на немецком Bundesamt für Sicherheit in der Informationstechnik (BSI)) BSI-Standards 100-1 to 100-4 are a set of recommendations including "methods, processes, procedures, approaches and measures relating to information security".^[90] The BSI-Standard 100-2 IT-Grundschutz Methodology describes how information security management can be implemented and operated. The standard includes a very specific guide, the IT Baseline Protection Catalogs (also known as IT-Grundschutz Catalogs). Before 2005, the catalogs were formerly known as "IT Baseline Protection Manual". The Catalogs are a collection of documents useful for detecting and combating security-relevant weak points in the IT environment (IT cluster). The collection encompasses as of September 2013 over 4,400 pages with the introduction and catalogs. The IT-Grundschutz approach is aligned with to the ISO/IEC 2700x family.

В Европейский институт телекоммуникационных стандартов standardized a catalog of information security indicators, headed by the Industrial Specification Group (ISG) ISI.

Смотрите также

Рекомендации

дальнейшее чтение

• Андерсон, К. "Специалисты в области ИТ-безопасности должны развиваться в условиях меняющегося рынка ", Журнал SC, 12 октября 2006 г.
• Асейтуно В., "О парадигмах информационной безопасности", Журнал ISSA, Сентябрь 2005 г.
• Диллон, Г., Принципы безопасности информационных систем: текст и кейсы, Джон Уайли и сыновья, 2007.
• Исттом, К., Основы компьютерной безопасности (2-е издание) Pearson Education, 2011.
• Ламбо, Т., "ISO / IEC 27001: будущее сертификации информационной безопасности", Журнал ISSA, Ноябрь 2006 г.
• Дастин, Д. " Осведомленность о том, как используются ваши данные и что с этим делать »,« Блог CDR », май 2017.

Библиография

• Аллен, Джулия Х. (2001). Руководство CERT по методам обеспечения безопасности системы и сети. Бостон, Массачусетс: Аддисон-Уэсли. ISBN  978-0-201-73723-3.
• Krutz, Ronald L .; Рассел Дин Вайнс (2003). Руководство по подготовке к CISSP (Золотая ред.). Индианаполис, ИН: Wiley. ISBN  978-0-471-26802-4.
• Лейтон, Тимоти П. (2007). Информационная безопасность: проектирование, реализация, измерение и соответствие. Бока-Ратон, Флорида: публикации Ауэрбаха. ISBN  978-0-8493-7087-8.
• Макнаб, Крис (2004). Оценка сетевой безопасности. Севастополь, Калифорния: О'Рейли. ISBN  978-0-596-00611-2.
• Пельтье, Томас Р. (2001). Анализ рисков информационной безопасности. Бока-Ратон, Флорида: публикации Ауэрбаха. ISBN  978-0-8493-0880-2.
• Пельтье, Томас Р. (2002). Политики, процедуры и стандарты информационной безопасности: рекомендации по эффективному управлению информационной безопасностью. Бока-Ратон, Флорида: публикации Ауэрбаха. ISBN  978-0-8493-1137-6.
• Белый, Грегори (2003). Универсальное руководство по сертификационному экзамену Security +. Эмеривилл, Калифорния: Макгроу-Хилл / Осборн. ISBN  978-0-07-222633-1.
• Диллон, Гурприт (2007). Принципы безопасности информационных систем: текст и кейсы. Нью-Йорк: Джон Уайли и сыновья. ISBN  978-0-471-45056-6.

внешняя ссылка

• Схема политики DoD IA на веб-сайте аналитического центра информационных технологий Министерства обороны США.
• шаблоны и методы работы с безопасностью
• Открытая архитектура безопасности - элементы управления и шаблоны для защиты ИТ-систем
• IWS - Глава информационной безопасности
• Книга Росса Андерсона "Техника безопасности"