Політики ISMS у щоденній роботі
Пов'яжіть політики ISO 27001 зі своєю щоденною роботою.
Що таке Політики ISMS у щоденній роботі?
Система управління інформаційною безпекою — це спосіб, у який організація керує ризиками для інформаційної безпеки; зазвичай її узгоджують з ISO 27001. Ви надсилаєте постачальникові пакет передачі справ, який ніхто не зареєстрував як актив, тож він іде без класифікації як публічне посилання. Ви бачите, як сторонній забирає його й користується секретом спільного облікового запису, щоб потрапити всередину. Потім ви працюєте з ISMS: подаєте звіт про інцидент, реєструєте актив і ставите позначку, відкликаєте посилання, вимикаєте обліковий запис і переконуєтеся, що виправлення спрацювало.
Що ви дізнаєтесь у Політики ISMS у щоденній роботі
- Пояснюйте, як ISMS, узгоджена з ISO 27001, пов'язує керування активами, класифікацію, контроль доступу та керування інцидентами
- Розпізнавайте, як незареєстрований актив без класифікації обходить правила поводження, що мали б його захищати
- Повідомляйте про інцидент безпеки через ISMS, вказуючи те, що потрібно фахівцям із реагування: що витекло, коли і як
- Реєструйте актив і класифікуйте його за вмістом, перш ніж ділитися ним за межами організації
- Локалізуйте витік: відкличте публічне посилання й вимкніть спільний обліковий запис, секрет якого потрапив до сторонніх
Політики ISMS у щоденній роботі — Кроки навчання
-
Передача справ — сьогодні
Quantum Dynamics передає моніторинг програми Halberd постачальникові — компанії Solvane Operations. Керівниця програми хоче, щоб пакет передачі справ надіслали сьогодні. Прочитайте її прохання.
-
Відкрийте SecureTransfer
SecureTransfer — схвалений спосіб надсилати великі файли за межі Quantum Dynamics. Відкрийте його за посиланням у листі Прії.
-
Що шлюз знає про цей пакет
Перш ніж щось заповнювати, подивіться, що SecureTransfer уже «знає» про ці файли.
-
Надішліть пакет
Укажіть одержувачем скриньку Solvane для передачі справ і надішліть пакет. Саме цього й просили, і ніщо на цьому екрані вас не зупинить.
-
Надіслано як публічний
Пакет вирушив. Прочитайте три рядки, які шлюз вивів під посиланням: вони описують щось значно більше, ніж один лист.
-
Хто це вирішив?
-
Скринька, за якою ніхто не стежить
У постачальника Solvane Operations дванадцять працівників. Спільна скринька для передачі справ захищена одним паролем, без другого фактора, а пароль досі знають четверо колишніх працівників. Боб купив цей пароль три тижні тому й відтоді читає скриньку.
-
Без входу й без строку дії
Щоб це відкрити, пароль Solvane йому не знадобився. Знадобилося лише посилання, що лежало в їхній скриньці.
-
Заберіть пакет
Спостерігайте, як він забирає файли. Йому не потрібні жодні облікові дані, і жодне сповіщення не спрацьовує.
-
Що було всередині
Один лише перелік клієнтів коштує грошей. Третій файл коштує значно більше.
Охоплення стандартів безпеки
CIS Controls
- CIS 14.1 Establish and Maintain a Security Awareness Program
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind