interno

externo

firma de código

Desarrollar estrategias, estándares, medidas y directrices.

Gestión de riesgos

seguridad del personal

Capacitación en concientización sobre seguridad.

Implementar y mantener mecanismos lógicos de control de acceso.

Gestión de contraseñas y recursos.

Métodos de identificación y autenticación.

equipo de seguridad

Medidas para controlar el acceso individual a las instalaciones y a los diferentes departamentos (control de acceso, seguridad, cerraduras)

Perímetro de protección (vallas, muros, iluminación)

Detección física de intrusiones

control ambiental

Prevención (disuasión), detección, corrección/recuperación (copia de seguridad, BCP, DRP) Compensación (Control)

control medioambiental

Evaluación de riesgos

actividades de control

Información y comunicación

monitor

estrategia de servicio

diseño de servicio

transición de servicio

Operación de servicio

Mejora continua del servicio

Inicial, Repetible, Definido, Gestionado, Optimizando

Inicial, Gestionado, Definido, Gestionado Cuantitativamente, Optimizando

Con base en los resultados de la evaluación de riesgos, los requisitos legales y reglamentarios y el negocio organizacional, Determinar los objetivos de control y las medidas de control en función de las necesidades operativas.

Implementar controles de seguridad seleccionados.

De acuerdo con las políticas, procedimientos, normas y leyes y reglamentos, Realizar controles de cumplimiento sobre la implementación de medidas de seguridad.

Tomar contramedidas basadas en los resultados de la inspección para mejorar las condiciones de seguridad.

Declaración más general sobre seguridad de la información

Un compromiso de la alta dirección de asumir la responsabilidad de la seguridad de la información.

Describir qué y objetivos proteger

Establecer un mecanismo de cumplimiento para la implementación de políticas.

Al igual que los estándares, los métodos para fortalecer la seguridad del sistema son recomendaciones.

Cumplir con el nivel mínimo de requisitos de seguridad requeridos por la política.

Pasos detallados para realizar una tarea específica (específica)

El procedimiento es una descripción detallada (CÓMO) de los pasos específicos para realizar la tarea de protección.

Presupuesto para actividades de seguridad de la información.

Elaboración de estrategias de desarrollo, procedimientos, líneas base, estándares y lineamientos.

Desarrollar un programa de concientización sobre seguridad.

Participar en reuniones de gestión.

Ayudar con auditorías internas y externas.

Definir el nivel de riesgo aceptable de una organización.

Determinar objetivos y estrategias de seguridad.

Abordar las necesidades empresariales determina la prioridad de las actividades de seguridad

Revisar la evaluación de riesgos y los informes de auditoría.

Supervisar el impacto empresarial de los riesgos de seguridad

Examen de los accidentes nucleares que implican graves violaciones de la seguridad

Aprobar cualquier cambio significativo en las políticas y planes de seguridad.

La integridad de los estados financieros y la información financiera de la empresa.

El sistema de control interno de la empresa.

Empleo y desempeño de auditores independientes

Desempeño de la función de auditoría interna

Cumplir con los requisitos legales y políticas de la empresa relacionados con la ética.

Plan a largo plazo, por ejemplo 5 años.

, relativamente estable, define los objetivos y la misión de la organización

Plan a mediano plazo, por ejemplo 1 año

Una descripción detallada de las tareas y avances hacia el logro de las metas establecidas en el plan estratégico, Como planes de empleo, planes presupuestarios, etc.

Planes a corto plazo, muy detallados y actualizados con frecuencia.

Actualizaciones mensuales o trimestrales como planes de formación, planes de implementación de sistemas, etc.

Responsable de gestionar un determinado departamento comercial y responsable de la protección y aplicación de información específica.

Tener el deber de “debido cuidado”

Responsabilidades

Rol empresarial en lugar de rol técnico

El papel del departamento de TI o de seguridad

Responsabilidades

Responsable de uno o más sistemas, cada uno de los cuales puede contener y procesar datos propiedad de diferentes propietarios de datos.

Responsable de integrar factores de seguridad en aplicaciones y sistemas.

Garantizar que se evalúen las vulnerabilidades del sistema.

Adoptar medidas de seguridad adecuadas para garantizar la seguridad del sistema.

Responsable de implementar, monitorear y hacer cumplir las regulaciones y políticas de seguridad.

Informe al Comité de Seguridad y Oficial de Seguridad de la Información

Verificar el sistema para determinar si se cumplen los requisitos de seguridad y si los controles de seguridad son efectivos.

Proporcionar garantía independiente para la gestión de objetivos de seguridad.

Ayudar a desarrollar políticas, estándares y directrices y establecer puntos de referencia.

Principalmente a nivel de diseño, no a nivel de implementación.

Tener conciencia de seguridad de las aplicaciones, cumplir con las políticas de seguridad, utilizar el sistema de manera adecuada y reportar incidentes de seguridad.

Reduzca los riesgos, reduzca los costos de contratación y reduzca la rotación de empleados

Proteja la información confidencial de la empresa

Ninguna persona debería tener control total de una tarea sensible, valiosa o crítica de principio a fin.

Propósito: Menos oportunidades de fraude o error

Ejemplo:

Permisos mínimos necesarios para asignar responsabilidades

No permita que una persona mantenga una posición fija durante demasiado tiempo para evitar que las personas obtengan demasiado control.

Configurar respaldo de personal para facilitar la capacitación cruzada y detectar fraude

Obligar al personal sensible del departamento a tomar licencia puede detectar eficazmente fraude, modificación de datos, abuso de recursos, etc.

Se deben firmar acuerdos de confidencialidad con organizaciones e individuos de terceros.

Monitorear todas las actividades laborales de terceros.

Asegúrese de que la identidad del personal externo se verifique al acceder

Sobre la base de las medidas anteriores, se realizarán verificaciones adicionales de antecedentes del personal.

El personal externo abandona el sitio y necesita recuperar los permisos pertinentes.

Dotar a los profesionales de la seguridad de las competencias profesionales necesarias para trabajar.

Forma:

conocimientos de seguridad

"Por qué"

Enseñar habilidades laborales relacionadas con la seguridad, principalmente al personal de gestión y mantenimiento de sistemas de información.

Forma:

adquirir conocimientos

"Cómo hacer"

La conciencia colectiva general entre los empleados de una organización sobre la importancia de la seguridad y los controles.

Forma:

Enviar mensaje

"Qué es"

Modelado de amenazas (PASO)

Identificar riesgos

Analizar riesgos

Evaluar el riesgo

Enfoque cualitativo de RA, centrado en el riesgo de TI

1. Clasificación del sistema; 2. Identificación de debilidades; 3. Identificación de amenazas; 4. Identificación de contramedidas; 5. Evaluación de posibilidades; 6. Evaluación de impacto; 7. Evaluación de riesgos; 8. Recomendación de nuevas contramedidas; 9. Informe documental;

Una especificación autónoma de evaluación de riesgos de seguridad de la información basada en los riesgos de los activos de información. Hace hincapié en estar impulsado por activos y consta de 3 etapas y 8 procesos.

El enfoque OCTAVE implementa programas de gestión de riesgos en toda la organización y se integra con los planes de seguridad.

Procesos básicos: identificación y evaluación de activos; evaluación de amenazas y vulnerabilidades; selección y recomendaciones de contramedidas;

Preseleccionados para centrarse solo en aquellos sistemas que realmente requieren evaluación para reducir costos y tiempo.

Situación presupuestaria limitada

Cree un árbol de todas las amenazas que puede enfrentar un sistema. Las ramas pueden representar cosas como amenazas cibernéticas. Categorías como amenazas físicas y fallas de componentes requieren podar las ramas no utilizadas al realizar RA.

Derivado del análisis de hardware. Examinar el fallo potencial de cada componente o módulo y examinar el impacto del fallo.

Un método australiano de evaluación de riesgos que no se utiliza específicamente para fines de seguridad.

Identificar al propietario, custodio y usuario de cada activo.

Establecer una lista de activos e identificar activos de información basados ​​en procesos de negocio.

La forma en que existen los activos de información.

Factores de evaluación

Clasificar los activos según su importancia (impacto o consecuencias), Considere también las posibles consecuencias de comprometer la confidencialidad, integridad y disponibilidad.

Un activo puede enfrentar múltiples amenazas y una amenaza puede afectar múltiples activos.

Identificar fuentes de amenazas

La evaluación de la probabilidad de una amenaza tiene en cuenta la motivación y las capacidades de la fuente de la amenaza.

Posibles vulnerabilidades explotables para cada activo

vía de identificación

Métodos de tratamiento de riesgos.

Estrategias de selección de medidas de control de riesgos.

Riesgos que permanecen o permanecen después de implementar controles de seguridad

Asignar valor a los activos

Estimar las pérdidas potenciales para cada amenaza.

Realizar análisis de amenazas

Calculado para cada activo y amenaza. Expectativa de pérdida única (SLE) de

Calcule las pérdidas anuales potenciales para cada amenaza

Juicio, mejores prácticas, intuición y experiencia.

Métodos de toma de decisiones en grupo, Delphi.

preguntas de la encuesta

examinar

Entrevista

Uso de una computadora como herramienta para ayudar en la comisión de un delito; Las computadoras no son un factor necesario en la delincuencia, pero sirven como herramientas para ayudar a los delincuentes.

Delitos contra los ordenadores, las redes y la información almacenada en estos sistemas

La computadora no es necesariamente el atacante o la víctima, Simplemente estaba involucrado en el ataque cuando ocurrió.

ley civil

derecho penal

ley administrativa

La capacidad de la empresa para competir o comercializar es fundamental.

No muy conocida, la empresa invirtió recursos y esfuerzos relevantes para desarrollar

Recibir la protección adecuada de la empresa para evitar la divulgación o el uso no autorizado.

Ejemplo:

Derechos legalmente protegidos para publicar, copiar, exhibir y modificar públicamente la mayoría de las obras.

No protege la creatividad de la obra, sino la expresión de la creatividad.

Ejemplo:

Protege palabras, nombres, símbolos, formas, sonidos, colores que representan la imagen de la empresa.

Las marcas comerciales generalmente se registran en una agencia de registro de marcas.

Una marca registrada es una marca de calidad y credibilidad establecida por una empresa en sus operaciones de mercado.

Reconocimiento legal de la propiedad de una patente por parte de un solicitante de registro de patente o de una empresa, prohibiendo el uso no autorizado por parte de otros o empresas

La patente tiene una validez de 20 años.

Ejemplo:

derecho a ser dejado solo

Protección contra derechos irrazonables contra individuos

El derecho a decidir qué información personal se puede difundir y a quién.

Para evitar infracciones irrazonables, lo fundamental es el consentimiento informado y las medidas de protección adecuadas.

Para evitar la falta de métodos adecuados, lo fundamental es "imparcialidad y justicia" y existe un mecanismo de corrección de errores.

La recopilación de datos personales requiere el consentimiento del interesado y la notificación de la finalidad.

Solo recopile datos relacionados con el propósito y uso y guárdelos solo por el período requerido para el propósito.

Métodos de recopilación de datos Métodos para la finalidad de los datos

Tomar medidas razonables, técnicas, administrativas y operativas para evitar que la información personal sea infringida maliciosamente, Garantice la integridad y confidencialidad de los datos y borre los datos obsoletos para evitar el acceso de quienes no necesitan realizar un trabajo relevante.

Revisar la información recopilada y corregir errores.

Desastres naturales, como terremotos, inundaciones, incendios naturales, erupciones volcánicas y clima convectivo severo.

Sistema/técnico, como hardware, interrupciones de software, errores de sistema/programación

Sistemas de suministro, cortes de comunicaciones, fallas en el sistema de distribución, roturas de tuberías

Provocado por el hombre, explosión, incendio, vandalismo, contaminación química, código dañino

Actividades políticas, terroristas, disturbios, huelgas.

Para una organización, cualquier cosa que resulte en la ejecución de funciones comerciales críticas. Se consideran desastres los eventos que no pueden llevarse a cabo dentro de un período de tiempo determinado.

Características:

dos elementos

Reducir el impacto de un desastre o interrupción del negocio

Tome las medidas necesarias para garantizar que los recursos, las personas y los procesos comerciales se restablezcan lo más rápido posible.

Garantizar que la organización aún pueda mantener las operaciones comerciales frente a diversas situaciones.

Resolver problemas desde una perspectiva a más largo plazo, proporcionando principalmente métodos y medidas para paradas de producción a largo plazo y eventos de desastre.

Proporcionar una respuesta oportuna y adecuada en caso de emergencia.

Proteger vidas y garantizar la seguridad

Reducir el impacto en los negocios

Restaurar funciones comerciales críticas

Reducir el caos durante los desastres

Garantizar la viabilidad empresarial

Póngase en marcha rápidamente después de un desastre

Desarrollar una estrategia (política) de planificación de la continuidad.

Realizar análisis de impacto empresarial (BIA)

Determinar métodos de control preventivo.

Desarrollar una estrategia de recuperación.

Desarrollar BCP

Prueba BCP

Mantener el plan de continuidad del negocio.

Comunicación y enlace entre el equipo de desarrollo del programa y la dirección.

El derecho al contacto directo y la comunicación con todos los involucrados en el plan.

Comprender completamente el impacto de la interrupción del negocio en el negocio de la organización.

Familiarizado con las necesidades y operaciones de la organización y la capacidad de equilibrar las diferentes necesidades de los departamentos relevantes de la organización.

Acceso más fácil a la alta dirección

Comprender la dirección comercial de la organización y las intenciones de la alta dirección.

Capacidad para influir en las decisiones de la alta dirección.

objetivos, alcance, necesidades

Principios y directrices básicos

Deberes y responsabilidades

Requisitos básicos para enlaces clave

Análisis cualitativo para determinar el impacto de un desastre o evento de interrupción en términos de gravedad.

Análisis cuantitativo del impacto de un desastre o evento perturbador en términos monetarios

Analizar el impacto de las interrupciones

Determine las ventanas de recuperación para cada función empresarial

Problemas

Sugerencias de respuesta

Herramientas automatizadas cualitativas y cuantitativas. Ayudar en la integración y análisis de la información.

Representante de la empresa verifica y confirma los resultados del análisis de la información.

El tiempo de recuperación del trabajo es relativamente fijo.

Antes de que la indisponibilidad del sistema afecte gravemente a la organización El tiempo máximo permitido para ser consumido.

El punto en el que se deben recuperar los datos para continuar con el procesamiento. Es decir, la cantidad máxima de pérdida de datos permitida.