С 1 июня 2022 года экзамен CISM меняется

С 1 июня 2022 года экзамен CISM меняется. Так давно гласит баннер в личном кабинете ISACA. Я долго думал, что же там может поменяться, поэтому, честно говоря, и поспешал со сдачей своего экзамена. У известного блогера из Индии Prabh Nair недавно появилось видео об этом. Я даю ссылку на него (https://www.youtube.com/watch?v=as8HsdOPEJw) и привожу скриншотами информацию об основных изменениях:

Как видим, из интересного добавляются DevOps и DevSecOps. Учитывая, что это действительно текущий тренд, надо самостоятельно позаниматься и изучить, что это такое с точки зрения общепризнанных в мире практик ИБ. Да и в вакансиях по ИБ эти направления встречаются уже часто. А значит появятся новые учебники, как официальный от ICASA, так и от сторонних авторов (Peter H. Gregory - сложный, Hemang Doshi - простой). Но нужно сказать, что сейчас во время всесторонних санкций, подходящее время гранит науки лишь грызть, а бежать сдаваться кому нужно придет время уже после разрядки ситуации.

Как оплачивать услуги в ISACA

Известно, что после всесторонних иностранных санкций от ISACA также поступило уведомление, что карточные переводы из России приостановлены. А значит стало проблематично оплачивать сборы за услуги. Я перепробовал следующие способы и все они оказались неработающими:

- оплата картой VISA/Mastercard/Union Pay российского банка, включая через VPN

- оплата картой VISA/Mastercard иностранного банка (стран СНГ), включая через VPN

Оказалось, что на сайте поддержки написано, что принимаются межбанковские платежи и даже даны реквизиты (https://isaca.force.com/support/s/article/Can-I-pay-for-my-membership-by-check-or-bank-wire-transfer-1597877229844).

Я написал в поддержку вопрос, что из-за санкций не могу оплатить картами, можно ли попросить банковские реквизиты. И получил ответ, что можно и вот они реквизиты. Реквизиты были точно такие, как и на сайте. Я начал искать подходящий банк.

CISM. Продолжение

По мере изучения материалов из учебника сделал для себя следующие заметки, которыми делюсь с коллегами через блогосферу:

1. Всегда нужно правильно перевести вопрос. Это иногда может быть проблемой в виду недостаточного знания английского языка и частого использования в вопросах синонимов.
2. Далее часто можно исключить явно неправильные ответы. Потом уже выбрать ответ, как 1 из 2, что повысит вероятность правильного ответа в 2 раза.
3. Отвечать на вопросы нужно с точки зрения бизнеса. Если есть 2 правильных ответа, правильный будет тот, который про бизнес.
4. Если в ответах говорится о безопасности человека, это будет правильным ответом.
5. Если в ответах говорится про культуру страны, то это часто будет правильным ответом.
6. Так называемые «лучшие практики» и другие международные стандарты - последнее, на что нужно обращать внимание при ответе. Как и фразы про привлечение внешних консультантов к решению ИБ задач.
7. Если в ответах есть выбор между соответствием требованиям регуляторов и бизнес требованиям – более важны последние.
8. Если говорится, что нужно разорвать бизнес-контракт – это всегда будет неправильным ответом.

Для себя отдельно проработал следующие темы, которые до изучения материалов знал слабовато. Вот они:

• Balanced scorecard
• Chain of custody
• KRI
• Outcomes IS governance
• Согласование IS governance и enterprise governance
• Post incident review
• Custodian and Owner
• Типы диаграмм для визуализации
• Централизация и децентрализация ИБ

Учебник Gregory прочитал от корки до корки, правда через автопереводчик.

CISM. Incident Management. Chapter Review

Переведено через Яндекс-Переводчик. Не пугайтесь :)

Управление инцидентами безопасности, планирование аварийного восстановления и планирование обеспечения непрерывности бизнеса - все это поддерживает центральную цель: устойчивость и быстрое восстановление при возникновении аварийных событий.

Инцидент безопасности - это событие, при котором конфиденциальность, целостность или доступность информации или информационных систем были или находятся под угрозой нарушения. Распространение подключенных устройств делает безопасность жизнедеятельности дополнительным фактором во многих организациях.

Этапы реагирования на инциденты включают планирование, обнаружение, инициирование, анализ, локализация, ликвидация, восстановление, восстановление, закрытие и анализ после инцидента. Планирование состоит из разработки политики реагирования на инциденты, ролей и обязанностей, процедур, а также тестирования и обучения.

CISM. Information Security Program. Chapter Review

Переведено через Яндекс-Переводчик. Не пугайтесь :)

Программа информационной безопасности состоит из мероприятий, используемых для выявления и устранения рисков. На тактическом и стратегическом уровнях все мероприятия в рамках программы выполняют эту цель. Программа обеспечения безопасности также основана на результатах; когда разрабатывается стратегия, целями стратегии являются желаемые конечные состояния или результаты. Задачи и проекты, выполняемые в рамках программы, приближают организацию к этим желаемым результатам.

Уставной документ определяет основные долгосрочные цели программы обеспечения безопасности, а также определяет роли и обязанности. Устав, как правило, будет определите объем программы — отделы, бизнес-подразделения и местоположения, которые будут подпадать под действие программы. Дорожная карта - это стратегический документ, в котором описываются шаги, которые необходимо предпринять для реализации ключевых целей.

CISM. Risk Management. Chapter Review

Переведено через Яндекс-Переводчик. Не пугайтесь :)

Управление рисками является основой программы информационной безопасности организации. Благодаря своим методам выявления рисков и понимания вероятности их возникновения и воздействия на организацию, управление рисками помогает организации расставлять приоритеты в отношении ограниченных ресурсов для наиболее эффективного снижения рисков. Правильное применение управления рисками помогает организации снизить частоту и влияние инцидентов безопасности за счет повышения устойчивости и подготовки.

При реализации программы управления рисками необходимо учитывать несколько характеристик организации, включая устойчивость к рискам, нормативные и юридические обязательства, структуру управления, поддержку исполнительного руководства и культуру.

Программа управления рисками должна включать несколько способов коммуникации, чтобы бизнес-лидеры и заинтересованные стороны понимали программу и то, как она интегрирована в организацию. Программа должна быть прозрачной в отношении ее процедур и практики.

CISM. Security Governance. Chapter Review

Переведено через Яндекс-Переводчик. Не пугайтесь :)

Управление информационной безопасностью - это нисходящее управление и контроль безопасности и управления рисками в организации. Управление обычно осуществляется через руководящий комитет, состоящий из руководителей со всей организации. Руководящий комитет отвечает за определение общего стратегического направления и политики, обеспечение соответствия стратегии безопасности ИТ- и бизнес-стратегии и целям организации. Пожелания руководящего комитета реализуются с помощью проектов и задач, которые направляют организацию безопасности к стратегическому цели. Руководящий комитет может отслеживать прогресс с помощью показателей и сбалансированной системы показателей.

Чтобы программа информационной безопасности была успешной, она должна соответствовать бизнесу и его общей миссии, целям и задачам, а также стратегии. Программа обеспечения безопасности должна учитывать представление организации о стоимости активов, культуре, терпимости/склонности к риску, юридических обязательствах и рыночных условиях. Успешная и согласованная программа обеспечения безопасности не руководит организацией, а позволяет и поддерживает ее в выполнении своей миссии и достижении своих целей.

CISM. Начало

Сейчас стало ясно, что пандемия Covid-19 захватила мир надолго и ситуация быстро не разрешится. Поэтому я решил не терять времени даром и начать подготовку к экзамену CISM. Я буду писать кратко, тезисно, зато по делу.

1. Зарегистрировался на сайте https://www.isaca.org/. Обратил внимание, что если при регистрации указать ID действующего члена организации, то не будет требоваться вступительный взнос $10. Стоимость годового членства составляет $135. Не оплачивал еще. 

 2. Стоимость официального учебника составляет $135/105, а стоимость доступа в базу с вопросами $399/299. Ничего официального пока не покупал.

3. Купил на Амазоне альтернативный учебник CISM Certified Information Security Manager Bundle 1st Edition. Стоимость с доставкой до Москвы составила $88. Жду доставку.

 4.       Купил неофициальную подборку вопросов около ~1600 штук за $40. Ссылку не даю, так как их много, где продают. Начал смотреть. Проблема с ними в том, что для половины вопросов отсутствуют объяснения, что наводит на мысли о правильности в них ответов вообще.

Очевидно, что позже потребуется покупать доступ к официальным и дорогим вопросам.

По мере изучения вопросов обратил внимание на следующие трудности:

• Главное правильно перевести и понять вопрос и предлагаемые варианты ответов. Понять общий смысл недостаточно, т.к. часто решающими для выбора правильного варианта ответа являются детали вопроса.
• Обычного ИТ английского недостаточно. Нужно неплохо владеть терминологией, используемой во всех разделах курса. Часто используются синонимы, которые не так хорошо всем известны.
• При выборе ответов лучше сразу вычеркивать те, которые совершенно не подходят. Да, бывают вопросы, в которых все ответы кажутся подходящими, но там требуется выбрать лучший из них.
• При выборе ответов нужно представлять себя на месте CISO в крупной организации, причем которая работает по международным практикам, а не "по понятиям", как это часто принято у нас в России.

На этом пока всё. Жду учебник и вникаю в вопросы. Продолжение следует.

Вопросы с 601 по 631 из CISM (перевод)

Это последняя часть перевода.

 

601. Административный пароль на БД, содержащую конфиденциальную информацию клиентов был похищен. Как менеджер ИБ мог получить информацию об этом?

А. По попыткам неверного входа;

Б. По ошибкам записи данных;

В. По одновременным входам;

Г. По логам МСЭ.

602. Что является примером корректирующего контроля?

А. Переадресация входящего трафика при обнаружении DDoS;

Б. Фильтрация сетевого трафика перед входом во внутреннюю сеть;

В. Проверка входящего трафика на вирусы;

Г. Логирование входящего трафика.

603. Для определения как произошел сетевой инцидент, менеджер ИБ просматривает логи различных устройств. Какой сервер ЛУЧШЕ подходит для этого?

А. Сервер БД;

Б. Сервер DNS;

В. Сервер времени;

Г. Прокси-сервер.

604. Организация переживает много сетевых атак, которые доходят до внутренней сети. Что ЛУЧШЕ предпринять в этом случае?

А. Требовать использование сложных паролей;

Б. Перейти на статическую IP адресацию;

В. Внедрить ПО для централизованного сбора логов;

Г. Внедрить IDS.

605. В МСЭ обнаружены серьезные уязвимости. Что нужно немедленно сделать менеджеру ИБ?

А. Установить на все ОС последние обновления;

Б. Блокировать входящий трафик пока не найдется решение;

В. Получить консультацию у производителя МСЭ;

Г. Провести тест на проникновение.

606. Организация хранит резервные копии серверов на удаленной площадке (WARM site). Какая САМАЯ подходящая мера, направленная на оперативное использование их в чрезвычайной ситуации?

А. Считать данные с лент на удаленной площадке;

Б. Перевести ленты с удаленной площадке на основную и считать данные;

В. Отправить резервное оборудование на удаленную площадку;

Г. Ежеквартально инспектировать удаленную площадку и наличие лент.

607. Какой процесс является КРИТИЧЕСКИМ для определения приоритетов действий в плане непрерывности бизнеса?

А. Анализ воздействия на бизнес;

Б. Оценка рисков;

В. Выявление и оценка уязвимостей;

Г. Составление карты бизнес процессов.

608. Что САМОЕ важное после резервных копий для размещения на удаленной площадке в случае чрезвычайно ситуации?

А. Копии критичных контрактов и SLA;

Б. Копии плана непрерывности бизнеса;

В. Лицензии на ПО для купленных систем;

Г. Список важных телефонов провайдеров услуг.

609. Организации стало известно о недостатках безопасности в другой компании, которая использует подобную технологию. Что должен сделать менеджер ПЕРВЫМ?

А. Оценить вероятности подобных инцидентов;

Б. Отказаться от использования подобной технологии;

В. Сообщить руководству, что организация не пострадает;

Г. Оповестить персонал о том, что никаких нарушений безопасности у них нет.

610. Что считается САМЫМ важным при работе со средствами массовой информации при чрезвычайном происшествии?

А. Сообщение в СМИ, используя согласованные с руководством шаблоны писем;

Б. Отказ от комментариев до восстановления работоспособности;

В. Донесение через СМИ до властей о проблемах;

Г. Сообщение о потерях и планов по восстановлению.

611. При оценке защищенности было обнаружено, что персональные данные, хранящиеся на сервере доступны всем работникам. Какой ПЕРВЫЙ шаг должен сделать менеджер ИБ?

А. Скопировать образцы файлов как доказательства;

Б. Убрать открытый для всех доступ к данным;

В. Оповестить о ситуации владельцев данных;

Г. Обучить персонал отдела кадров контролировать доступ.

612. Что должен сделать менеджер ИБ в ПЕРВУЮ очередь, если нужно для расследования инцидента привлечение правоохранительных органов?

А. Получить улики, какие только возможно;

Б. Сохранить целостность улик;

В. Отключить всё вовлеченное в инцидент оборудование;

Г. Реконструировать последовательность событий.

613. Что имеет НАИВЫСШИЙ приоритет при разработке плана реагирования в случае происшествий?

А. Критичные данные;

Б. Критичная инфраструктура;

В. Безопасность персонала;

Г. Жизненно важные сведения.

614. Какая ГЛАВНАЯ цель вовлечение внешней компании при расследовании инцидентов ИБ?

А. Независимая точка зрения на инцидент;

Б. Получение поддержки и опыта при расследовании инцидентов;

В. Перенимание опыта для будущего улучшения процессов ИБ;

Г. Возможность впоследствии купить и внедрить что-либо, относящееся к ИБ.

615. Какая САМАЯ важная цель изучения результатов расследования инцидентов ИБ?

А. Извлечь уроки, чтобы улучшить процесс;

Б. Непрерывное совершенствование процесса расследования;

В. Обосновать выделение денег на программу безопасности;

Г. Изучить новый инструментарий по управлению расследованием.

616. Какой ЛУЧШИЙ механизм для определения эффективности процесса реагирования на инциденты?

А. Метрики процесса;

Б. Периодический аудит процесса;

В. Запись действий и последующий пересмотр;

Г. Собрания по результатам расследования.

617. Какой должен быть ПЕРВЫЙ шаг в плане реагирования на инциденты?

А. Оповестить необходимых специалистов;

Б. Начать сдерживающие процедуры для снижения последствий инцидента;

В. Разработать план реагирования для систематических атак;

Г. Подтвердить инцидент.

618. В организации произошла утечка данных о клиентах. Что ПЕРВЫМ должен сделать менеджер ИБ в такой ситуации?

А. Поставить в известность руководство;

Б. Определить масштаб компрометации;

В. Сообщить об инциденте в правоохранительные органы;

Г. Сообщить об этом клиентам, чьи данные утекли.

619. Менеджером проекта в системе была выявлена возможная проблема безопасности. Что должен сделать ПЕРВЫМ менеджер по расследованию инцидентов?

А. Запустить сканирование системы на уязвимости;

Б. Отключить логин, под которым работает система;

В. Изучить логи системы;

Г. Подтвердить существование проблемы.

620. Что принимается в расчет ПЕРВЫМ, когда определяется время восстановления?

А. Законодательные требования;

Б. Требования бизнеса;

В. Уровень финансовых потерь;

Г. Доступность ИТ ресурсов.

621. Какая задача должна проводиться после того как инцидент ИБ был подтвержден?

А. Идентификация инцидента;

Б. Сдерживание инцидента;

В. Определение причины инцидента;

Г. Оценка уязвимостей.

622. Менеджер ИБ полагает, что файловый сервер был скомпрометирован хакерами. Какое действие нужно предпринять ПЕРВЫМ?

А. Сделать резервную копию данных с сервера;

Б. Выключить скомпрометируемый сервер;

В. Начать процесс реагирования на инцидент;

Г. Отключить сервер от сети.

623. Недопущенный пользователь получил доступ к БД продавца, содержащей информацию с кредитных карт заказчиков. Что нужно сделать ПЕРВЫМ, чтобы сохранить эти данные и предотвратить незаконную активность?

А. Выключить сервер с БД;

Б. Немедленно сделать дубликат жесткого диска сервера БД;

В. Изолировать сервер с БД;

Г. Скопировать лог сервера БД на защищенный сервер.

624. Что является ГЛАВНЫМ при разработке плана непрерывности бизнеса или плана восстановления работоспособности?

А. Резервное копирование на удаленную площадку;

Б. Обслуживание отказоустойчивых систем;

В. Сопоставление со временем восстановления;

Г. Частота резервного копирования.

625. Что ЛУЧШЕ всего подходит для сбора и сохранения данных для расследования?

А. Шифрование жестких дисков;

Б. Обычное ПО для аудита;

В. Утвержденные юридические процедуры;

Г. ПО для корреляции событий.

626. Какой НАИБОЛЕЕ важный аспект расследования инцидента с привлечением правоохранительных органов?

А. Независимость расследования;

Б. Своевременное вмешательство;

В. Идентификация преступника;

Г. Последовательность мероприятий.

627. При сборе данных для расследования было выявлено, что данные на носителе информации были случайно изменены. Что в этой ситуации нужно сделать ПЕРВЫМ, чтобы расследовать инцидент?

А. Сделать копию данных испорченного носителя на новый носитель;

Б. Сделать посекторную копию исходных данных на новый носитель;

В. Сделать копию всех файлов, относящихся к расследованию;

Г. Запустить программу проверки контрольных сумм на всех логических дисках сервера.

628. У какой стратегии восстановления САМАЯ большая вероятность сбоев?

А. Горячий сайт;

Б. Избыточный сайт;

В. Взаимное соглашение;

Г. Холодный сайт.

629. Для определения чего может быть использована точка восстановления?

А. Максимального периода недоступности данных;

Б. Максимального периода недоступности систем;

В. Базового времени отказоустойчивости;

Г. Времени восстановления из резервных копий.

630. Какая из техник тестирования для разработке плана восстановления работоспособности САМАЯ лучшая по критерию цена / эффективность?

А. Тесты готовности;

Б. Бумажное тестирование;

В. Полное операционное тестирование;

Г. Фактическое прерывание работы.

631. Когда хранимая в электронном виде информация требуется для проведения расследования, чему должен быть отдан приоритет?

А. Назначению ответственности за имеющиеся данные;

Б. Определению доступа к данным и обеспечению их целостности;

В. Предопределению мошеннического профиля данных;

Г. Поддержание цепочки из всех заинтересованных сторон.

Вопросы с 551 по 600 из CISM (перевод)

551. Что нужно сделать ПЕРВЫМ при наступлении инцидента ИБ?

А. Документировать;

Б. Наблюдать;

В. Восстанавливать;

Г. Сдерживать.

552. Что является НАИБОЛЕЕ важным для успешного проведения восстановления?

А. Наличие резервных копий на удаленной площадке;

Б. Восстановление прежнего режима безопасности и доступности;

В. Обеспечение доступности более одного горячего резерва;

Г. Создание альтернативных сетевых маршрутов.

553. Какой НАИБОЛЕЕ важный элемент успешного тестирования восстановления с использованием внешней горячей площадке?

А. Запланировать тест на выходные;

Б. Заранее выделить IP-адреса;

В. Идентичность оборудования здесь и там;

Г. Участие бизнеса в тестировании.

554. Что ВСЕГДА должно проводиться после завершения теста на восстановление с использованием внешней горячей площадке?

А. Уничтожение данных и программ;

Б. Проведение совещания по результатам тестирования;

В. Комплексная оценка провайдера услуг;

Г. Оценка результатов тестирования.

555. Что должен содержать план реагирования на инциденты?

А. Обновленный список контактов;

Б. Критерии эскалации инцидентов;

В. Шаблоны для пресс-релизов;

Г. Список критичных бекапов.

556. Что является ЛУЧШИМ действием при успешном проникновении злоумышленников в сеть организации?

А. Позволить бизнесу штатно работать;

Б. Команде реагирования оценить профиль атакующего;

В. Позволить продолжение атаки с целью определения её источника;

Г. Проверить, как работает процесс реагирования на инциденты.

557. Для чего должна собираться группа расследования после завершения расследования инцидента?

А. Для изучения электронных доказательств;

Б. Для извлечения уроков;

В. Для идентификации злоумышленника;

Г. Для определения пострадавшей области.

558. Организация, владеющая несколькими ЦОД, использует один из них в качестве горячего резерва. Какая САМАЯ важная забота в этом случае?

А. Ширина канала связи между ЦОД;

Б. Загрузка мощностей ЦОД;

В. Различия между логической структурой ЦОД;

Г. Синхронизация версий ПО в ЦОД.

559. Что САМОЕ важное для определения успешности проведенного теста на восстановление?

А. Использовались бизнес данные, расположенные на резервной площадке;

Б. ИТ персонал полностью восстановил инфраструктуру;

В. Критические бизнес процессы успешно дублировались;

Г. Все системы восстановились в установленное RTO время.

560. Что является САМЫМ важным при построении площадки горячего резервирования или заключения подобной услуги с внешней компанией?

А. Стоимость постройки площадки или заключения договора;

Б. Стоимость возможных потерь за день и время восстановления?

В. Сложность инфраструктуры и сложности бизнеса;

Г. Критические результаты анализа воздействия на бизнес.

561. Новый почтовый вирус, использует вложения и маскировку графическим файлом, быстро распространяется через интернет. Каким образом ЛУЧШЕ всего отреагировать на эту угрозу?

А. Переместить в карантин все картинки с файловых серверов;

Б. Блокировать пересылку картинок в качестве вложений;

В. Поместить в карантин все почтовые серверы, соединенные с интернет;

Г. Блокировать входящую почту, но разрешить исходящую.

562. В большой организации выявлены попытки изучения сетевой инфраструктуры. Что нужно сделать?

А. Перегрузить маршрутизатор соединяющий DMZ и МСЭ;

Б. Выключить все серверы, расположенные в DMZ;

В. Наблюдать за попытками и изолировать атакуемый сегмент;

Г. Включить логирование событий на серверах атакуемого сегмента.

563. Что необходимо включить в договор на оказание услуг по горячему резервированию, если вы продаете эту услугу?

А. Мощности могут быть разделены между разными организациями;

Б. Оборудование предоставляется только на время бедствия, а не на все время;

В. Принцип «кто первый обратился, тот первый обслужился»;

Г. Оборудование может быть предоставлено эквивалентное необходимому.

564. Что нужно сделать ПЕРВЫМ после завершения DDoS-атаки?

А. Восстановить серверы из резервных копий;

Б. Провести оценку и определить статусы систем;

В. Провести анализ нанесенного ущерба;

Г. Изолировать поврежденные системы.

565. Какой НАИБОЛЕЕ важный элемент для успешного восстановления бизнеса в чрезвычайной ситуации?

А. Детальный технический план использования горячего резерва;

Б. Избыточная сетевая инфраструктура и резервные провайдеры интернет;

В. Регулярная сертификация оборудования, размещенного в горячем резерве;

Г. Установление адекватных критериев чрезвычайной ситуации.

566. Что должна содержать политика непрерывности бизнеса?

А. Телефоны для экстренного оповещения;

Б. Критерии для восстановления;

В. Анализ воздействия на бизнес;

Г. Перечень критичных резервных копий.

567. Какая ГЛАВНАЯ цель использоваться IDS?

А. Идентификация слабости сетевой инфраструктуры;

Б. Идентификация подозрительных доступов;

В. Идентификация начала сетевой атаки;

Г. Идентификация потенциальных атак на внутреннюю сеть.

568. О чем в ПЕРВУЮ очередь должна заботиться организация, если она использует автоматический инструментарий для управления непрерывностью бизнеса?

А. Обеспечить доступность электронных версий планов восстановления;

Б. Контроль версий ПО и корректировка плана восстановления при их изменении;

В. Поддержание верных гиперссылок на ресурсы, задействованные в плане восстановления;

Г. Отслеживание изменений в персонале и ресурсах, которым необходимо обеспечить непрерывность.

569. Какой ЛУЧШИЙ путь удостовериться, что все критичные серверы содержат последние версии вирусных сигнатур?

А. Проверить даты файлов последних вирусных сигнатур;

Б. Использовать свежий вирус, который ловится только последними обновлениями;

В. Посмотреть в консоли управления антивирусом;

Г. Проверить несколько серверов на наличие обновленных сигнатур.

570. Какое действие должен предпринять менеджер ИБ при обнаружении злоумышленника изучающего сетевой периметр?

А. Перегрузить подключенный к МСЭ пограничный маршрутизатор;

Б. Проверить логи IDS и наблюдать за любыми активными атаками;

В. Обновить IDS самыми последними сигнатурами;

Г.  Включить логирование на серверах, расположенных в DMZ.

571. Какой САМЫЙ важный критерий при выборе антивирусного ПО?

А. Распространенность и годовая стоимость;

Б. Интерфейс для взаимодействия с IPS и МСЭ;

В. Наличие системы оповещения и оценки ущерба новых вирусов;

Г. Простота обслуживания и частота обновлений.

572. Какой САМЫЙ важный недостаток при настройке обновлений антивируса на каждую пятницу на 23:00?

А. Все новые вирусы начнут обнаруживаться после выходных;

Б. Технический персонал чаще не доступен в выходные дни;

В. Системы подвержены новым вирусам длительное время;

Г. Успешность или неуспешность обновлений станет известна только в понедельник.

573. Кто должен вычислять необходимое время восстановления и ожидаемую стоимость восстановления при проведении анализа воздействия на бизнес?

А. Координатор непрерывности бизнеса;

Б. Менеджер ИБ;

В. Владельцы бизнес процессов;

Г. Берутся референсные значения по отрасли.

574. Что ЛУЧШЕ всего ассоциируется с программой непрерывности бизнеса?

А. Подтверждение работоспособности существующего детального плана восстановления;

Б. Периодическое тестирование резервных возможностей сетей;

В. Ежеквартальное обновление оборудования для горячего резерва;

Г. Анализ времени восстановления для критичных функций.

575. Для какого приложения требуется НАИМЕНЬШЕЕ время восстановления?

А. Приложение, содержащее платежные ведомости контрагентов;

Б. Приложение по управлению изменениями;

В. Web-сайт электронной коммерции;

Г. Приложение, содержащее перечень информационных активов.

576. Какие документы в ПЕРВУЮ очередь должна иметь группа реагирования на инциденты ИБ?

А. Результаты оценки рисков;

Б. Критерии определения серьезности;

В. Телефоны для экстренного оповещения;

Г. Перечень критичных резервных копий.

577. В чем заключается ПЕРВООЧЕРЕДНАЯ цель проведения теста на проникновение, как из вне сети, так и изнутри, как часть программы реагирования на инциденты?

А. Идентификация слабых мест в сети и защищенности серверов;

Б. Понимание путей улучшения процесса реагирования;

В. Выявления потенциальных векторов атак;

Г. Оптимальное реагирование на внутренние атаки.

578. В каком случае может произойти мошенничество при расследовании инцидента с лентами резервных копий? Ленты были:

А. конфискованы для расследования;

Б. оставлены в библиотеке для последующего анализа;

В. сложены в конверт и помещены в сейф под двойной контроль;

Г. переданы для независимого расследования;

579. На что ЛУЧШЕ опираться менеджеру ИБ при идентификации недостатков безопасности?

А. План непрерывности бизнеса;

Б. План восстановления работоспособности;

В. План реагирования на инциденты;

Г. План управления уязвимостями.

580. Менеджер ИБ для расследования инцидента ИБ изолировал скомпрометированный ПК. Какой подходящий следующий шаг?

А. Запустить исследовательское ПО для получения данных;

Б. Перегрузить ПК, чтобы разорвать удаленные подключения;

В. Сделать копию системной памяти;

Г. Документировать подключения и открытые TCP/UDP порты.

581. Почему содержимое неразмеченных участков памяти на носителях информации также является частью расследования инцидентов?

А. Там могут находиться скрытые данные;

Б. Там могут находиться данные для аутентификации;

В. Область может быть зашифрована;

Г. Область можно использовать в качестве свободного места.

582. Какая ПЕРВООЧЕРЕДНАЯ цель совещания после расследования инцидента?

А. Корректировка бюджета на будущее;

Б. Сохранение данных, полученных при расследовании;

В. Улучшение процесса расследования;

Г. Полное документирование инцидента.

583. Что должен ПРЕИМУЩЕСТВЕННО учитывать детальный план непрерывности бизнеса?

А. Различные альтернативы;

Б. Менее дорогие решения;

В.  Стратегии подходящие для всех приложений;

Г. Стратегии одобренные руководством.

584. Web-сервер финансовой организации был скомпрометирован, действиями под правами суперпользователя, после чего он был изолирован для проведения расследования. Каким должен быть следующий шаг?

А. Развернуть сервер, используя последнюю проверенную резервную копию;

Б. Поместить сервер в карантин;

В. Принять организационное решение и выключить сервер;

Г. Развернуть сервер с оригинального дистрибутива и применить все подходящие обновления.

585. Данные полученные со скомпрометированного сервера будут использоваться для расследования. Какой источник данных ЛУЧШИЙ?

А. Посекторное копирование жестких дисков;

Б. Последняя проверенная резервная копия, хранящаяся на удаленной площадке;

В. Дамп данных из оперативной памяти;

Г. Последняя резервная копия сервера.

586. На что ЛУЧШЕ ссылаться, обращаясь в суд при расследовании инцидентов ИБ?

А. На международные стандарты;

Б. На локальные требования регуляторов;

В. На обычно принимаемые «лучшие практики»;

Г. На политики безопасности организации.

587. Чрезвычайные меры принимаются на ранней стадии бедствия с целью предотвращения
травм или гибели людей, а также для:

А. определения степени повреждения имущества;

Б. сохранения окружающей среды;

В. обеспечение точного выполнения плана восстановления;

Г. снижения степени оперативных ущербов.

588. Какое ПЕРВОЕ действие должен выполнить менеджер ИБ узнав об украденном ноутбуке сотрудника компании?

А. Оценить ущерб от потери информации;

Б. Обновить перечень ноутбуков компании;

В. Обеспечить соответствие с отчетностью;

Г. Немедленно заблокировать учетную запись сотрудника.

589. Какое ПЕРВОЕ действие должен выполнить менеджер ИБ, получив сообщение об инциденте ИБ?

А. Подтвердить инцидент;

Б. Определить ущерб;

В. Оповестить пострадавшую сторону;

Г. Изолировать область инцидента.

590. Какой ГЛАВНЫЙ фактор должен учитываться при разработке технического решения по созданию площадки горячего резерва?

А. Время работоспособности на горячем резерве;

Б. Время восстановления работоспособности в обычном режиме;

В. Время восстановления работоспособности;

Г. Максимально возможные потери.

591. На какой ГЛАВНЫЙ фактор нужно обратить внимание при разработке стратегии резервного копирования, которая будет частью плана восстановления при чрезвычайных ситуациях?

А. Объем конфиденциальных данных;

Б. Точка восстановления работоспособности;

В. Время восстановления работоспособности;

Г. Максимальное время неработоспособности.

592. IDS должна:

А. работать непрерывно;

Б. игнорировать аномалии;

В. требовать стабильного, редко меняющегося окружения;

Г. находиться в сети.

593. Какое действие должно быть ПРИОРИТЕТНЫМ при обнаружении инфицированного вирусом сервера?

А. Изолировать инфицированный сервер;

Б. Определить все потенциальные повреждения;

В. Обновить вирусные сигнатуры на сервере;

Г. Выявить недостатки конфигурирования на МСЭ.

594. Что является ЛУЧШИМ подтверждением того, что цели непрерывности бизнеса и плана восстановления работоспособности достигнуты?

А. Тестирование подтвердило, что время восстановления не превысило расчетное;

Б. Тестирование планов выполнялось последовательно;

В. Тестирование подтвердило, что точка восстановления была определена верно;

Г. Был правильно определен объем информационных активов и их собственники.

595. Какая ситуация должна БОЛЬШЕ всего беспокоить менеджера ИБ?

А. Аудит логов не производится с продуктовых серверов;

Б. Идентификатор входа уволенного системного аналитика до сих пор существует в системе;

В. Техническая поддержка получает сообщения о большом количестве фишинговых писем;

Г. На ноутбуке системного администратора был найден Троян.

596. БД номеров кредитных карт клиентов была похищена хакерами. Каким должен быть ПЕРВЫЙ шаг в этой ситуации?

А. Подтвердить инцидент;

Б. Оповестить руководство об инциденте;

В. Начать сдерживающие инцидент процедуры;

Г. Сообщить в правоохранительные органы.

597. Специализированный инструментарий использовался для перехвата получаемой информации одним сотрудником. Каким должен быть СЛЕДУЮЩИЙ шаг, чтобы обеспечить законность этой процедуры и возможность использовать перехваченную информацию для расследования?

А. Документировать, как происходила атака;

Б. Сообщить в правоохранительные органы;

В. Сделать копию носителей информации;

Г. Заблокировать учетную запись контролируемого сотрудника.

598. Что важно при сборе информации для проведения впоследствии расследования?

А. Обеспечить назначение квалифицированного персонала;

Б. Делать точные копии устройств, носителей информации;

В. Отключить и изолировать устройства от сети;

Г. Оповещать правоохранительные органы до собственного расследования.

599. Какой способ является ЛУЧШИМ для уменьшения потерь при DDoS атаках?

А. Устанавливать на все серверы последние обновления ОС;

Б. Настроить пакетную фильтрацию для отбрасывания подозрительных пакетов;

В. Настроить NAT, чтобы внутренние адреса не маршрутизировались;

Г. Внедрить балансировщик загрузок на системы, выставленные в интернет.

600. Что НАИБОЛЕЕ эффективно для оправдания создания группы управления инцидентами?

А. Оценить ущерб для бизнеса от последнего инцидента;

Б. Независимо оценить причины инцидентов;

В. Постоянно улучшать состояние ИБ;

Г. Показать бизнесу пользу от снижения потерь от инцидентов.

Вопросы с 501 по 550 из CISM (перевод)

501. Где должны быть прописаны требования к сотрудникам и клиентам компании в части ИБ, в т.ч. меры защиты конфиденциальной информации и мероприятия по наблюдению за персоналом и уровнем безопасности?

А. В политике;

Б. В стратегии;

В. В инструкции;

Г. В стандарте.

502. Менеджеру ИБ была поставлена задача выбрать консультанта для оценки уровня зрелости процессов ИБ. Какое САМОЕ важное требования для консультанта?

А. Рекомендации других организаций;

Б. Прошлый опыт работы;

В. Образцы работ;

Г. Используемая методология.

503. После проведения обновлений ПО несколько бизнес подразделений сообщили о проблемах. Какой ПЕРВЫЙ шаг нужно сделать для разрешения ситуации?

А. Оценить проблему и при необходимости откатиться назад;

Б. Отключить системы от сети до устранения неполадок;

В. Немедленно удалить обновления;

Г. Немедленно обратиться к вендору для информации о дальнейших шагах.

504. При разработке SLA, подразумевающего передачу конфиденциальной информации провайдеру услуг, какой индикатор соответствия использовать ЛУЧШЕ всего?

А. Матрицу контроля доступа;

Б. Надежное шифрование;

В. Механизмы аутентификации;

Г. Хранилище данных.

505. Какая ПЕРВООЧЕРЕДНАЯ причина включения подразделения ИБ во все стадии жизненного цикла ИС?

А. Идентификация уязвимостей в системах;

Б. Поддержание должного уровня ИБ в организации;

В. Защита от компрометации систем;

Г. Соблюдение принципа разделение обязанностей.

506. Когда целесообразно использовать непрерывный мониторинг за производительностью систем?

А. Когда инциденты происходят часто, и они приводят к большому ущербу;

Б. Когда имеются законодательные требования для этого;

В. Когда инциденты происходят не часто, но они приводят к большому ущербу;

Г. Когда электронная коммерция основное направление компании.

507. Внешняя компания была нанята для разработки бизнес приложения. Что ЛУЧШЕ сделать менеджеру ИБ, чтобы исключить существования backdoor?

А. Мониторить трафик между компаниями на сетевом уровне;

Б. Оценивать безопасность кода всего приложения;

В. Проводить реверс инжиниринг всего приложения;

Г. Исследовать приложение под административными правами на тестовом сервере.

508. О чем ПРЕЖДЕ ВСЕГО должен заботиться менеджер ИБ проводя анализ сетевых правил на МСЭ?

А. Об источниках трафика;

Б. О широковещательных доступах;

В. О незарегистрированных портах;

Г. О нестандартных протоколах.

509. Какое САМОЕ эффективное с т.з. стоимости решение для повышения осведомленности персонала в вопросах ИБ?

А. Система вознаграждения персонала;

Б. Обучение персонала;

В. Политика ИБ, содержащая строгие меры за нарушения;

Г. Сообщение о выявленных нарушениях.

510. Какое решение САМОЕ эффективное для предотвращения несанкционированного доступа методами «друг за другом», «верхом»?

А. Карты доступа;

Б. Идентификация по фото;

В. Биометрическая идентификация;

Г. Повышение осведомленности.

511. Как владелец данных должен определять, что доступ предоставлен тому, кому это необходимо?

А. Делегированием вопроса к хранителю данных;

Б. Клонированием учетных записей;

В. На основании иерархии прав доступа;

Г. Сопоставлением с требованиями бизнеса.

512. Что из перечисленного ЛУЧШЕ показывает эффективность программы повышения осведомленности в вопросах ИБ?

А. Увеличение сообщений об инцидентах ИБ;

Б. Уменьшение сообщений об инцидентах ИБ;

В. Уменьшение количества сбросов паролей;

Г. Увеличение количества выявленных уязвимостей.

513. Что из перечисленного ЛУЧШЕ всего подходит для включения в курс повышения осведомленности в вопросах ИБ для нового сотрудника?

А. Информация о разных моделях безопасности;

Б. Информация о методах выбора стойких паролей;

В. Информация о ролевой системе доступа;

Г. Информация о выявлении уязвимостей.

514. Какой критический элемент непрерывной программы повышения уровня ИБ в организации?

А. Оценка процессов, включая обратную связь;

Б. Разработка SLA для процессов безопасности;

В. Завязывание корпоративных стандартов на международные;

Г. Обеспечение соответствия требованиям регуляторов.

515. Руководство организации, в которой нет процессов ИБ решает задействовать ИТ менеджера для проведения оценки уровня ИБ.  Какая ГЛАВНАЯ задача в этом случае для ИТ менеджера?

А. Сообщить о рисках во всех департаментах;

Б. Получить поддержку всех департаментов;

В. Сообщить об обнаруженных рисках безопасности;

Г. Иметь знания о стандартах безопасности.

516. В организации планируется внедрение ERP системы для 500 пользователей из разных департаментов. Какой метод контроля доступа в этом случае САМЫЙ подходящий?

А. Основанный на правилах;

Б. Мандатный принцип доступа;

В. Дискреционный принцип доступа;

Г. Основанный на ролях.

517. Организация планирует привлечь внешнего провайдера для размещения своего сайта в Интернет. О чем должен позаботиться в ПЕРВУЮ очередь менеджер ИБ?

А. Провести аудит компании провайдера;

Б. Заключить договор, включающий NDA;

В. Заключить договор, включающий принятие политик ИБ;

Г. Провести внешнему провайдеру тест на проникновение.

518. Какая САМАЯ важная цель при проведении теста на проникновение внешней компанией?

А. Снизить технические риски;

Б. Иметь независимый сертификат по сетевой безопасности;

В. Получить независимую оценку безопасности;

Г. Получить полный список уязвимостей.

519. На МСЭ периметра требуется открыть новый порт. Какой нужно сделать ПЕРВЫЙ шаг до проведения изменений?

А. Понять на что это может повлиять;

Б. Провести тест на проникновение;

В. Получить согласование руководства;

Г. Сделать резервные копии конфигурации и правил МСЭ.

520. Организация планирует передать на аутсорсинг внешней компании собственную CRM. Что нужно сделать ПЕРВЫМ?

А. Запросить внешнюю компанию провести тестирование знаний своего персонала;

Б. Провести собственную оценку рисков для определения необходимых контролей;

В. Провести аудит внешней компании для определения необходимых контролей;

Г. Провести оценку безопасности с целью обнаружить уязвимости.

521. Как повысить осведомленность персонала в вопросах ИБ?

А. Сделать рассылку статистики по инцидентам безопасности;

Б. Отслеживать количество инцидентов;

В. Поощрять персонал за повышение сознательности;

Г. Регулярно доводить до сведения политики ИБ.

522. Какой САМЫЙ подходящий метод обеспечить нужную длину паролей в крупной организации?

А. Попытаться простым перебором выявить несколько паролей;

Б. Установить ПО для перехвата паролей;

В. Попросить пользователей предъявить свои пароли;

Г. Настроить парольные политики для каждой системы.

523. Какой САМЫЙ эффективный с т.з. цены метод идентификации новых уязвимостей?

А. Внешние источники уязвимостей;

Б. Оценка уязвимостей внешними консультантами;

В. С помощью собственного IPS;

Г. С помощью собственной обманной системы размещенной в DMZ.

524. Какой ЛУЧШИЙ способ улучшить управлением процессами ИБ?

А. Проводить периодические аудиты ИБ;

Б. Проводить периодические тесты на проникновение;

В. Определить и мониторить метрики ИБ;

Г. Взаимодействовать с бизнесом в качестве обратной связи.

525. Какой эффективный путь для защиты приложений от SQL-инъекций?

А. Проверка ввода на стороне клиента;

Б. Сканирование БД на уязвимости;

В. Нормализовать схему БД с использованием промежуточной формы;

Г. Обеспечить применение обновлений безопасности на ОС.

526. Какая основная причина успешности атак методом подделки запросов (XSRF) на приложение?

А. Использование нескольких перенаправлений для завершения транзакции;

Б. Использование cookies в качестве единственного механизма аутентификации;

В. Использование недействительного лицензионного ключа;

Г. Размещение на сервере среди других приложений.

527. Чем в ПЕРВУЮ очередь должно определяться время хранения бизнес данных?

А. Периодической оценкой уязвимостей;

Б. Законодательными и нормативными требованиями;

В. Емкостью и надежностью носителей информации;

Г. Судебными решениями.

528. Организация заключила соглашение для отправки внешней корреспонденции новым бизнес партнером. Какое САМОЕ важное действие должен предпринять менеджер ИБ в этой ситуации?

А. Провести оценку уровня безопасности бизнес партнера;

Б. Обеспечить бизнес партнером принятие плана непрерывности бизнеса;

В. Обеспечить бизнес партнером принятие требований ИБ;

Г. Переговорить с другими клиентами данного бизнес партнера в части его работы.

529. Организация, которая использует внешний платежный процессинг зависит от уровня защищенности внешней компании. Какое требование САМОЕ важное для внесения в договор с такой компанией?

А. Право аудита;

Б. Конфиденциальность;

В. Хороший МСЭ;

Г. Постоянный мониторинг уровня соответствия.

530. Какая САМАЯ критичная активность для обеспечения безопасности внешней компании, в которую переданы ИТ сервисы на аутсорсинг?

А. Повышение осведомленности в вопросах ИБ персонала внешней компании;

Б. Регулярная оценка уровня ИБ внешней компании;

В. Включение требований ИБ в договор с внешней компанией;

Г. Требования соблюдения внешней компанией политик ИБ.

531. Оператор банка кладет платежные файлы в общую сетевую папку, из которой они позднее отправляются в процессинг. Данная ручная операция будет автоматизирована только через несколько месяцев. Пока же нужно создать контроль по критерию цена/эффективность. Какое решение будет САМЫМ подходящим?

А. Провести обучение вовлеченного в процесс персонала вопросам ИБ;

Б. Предоставить к сетевой папке доступ на основе ролевой модели;

В. Разработать скрипт для сравнения отправленного в папку и полученного процессингом контента;

Г. Операторам процесса подписать обязательство с ответственностью за мошенничества.

532. Что из перечисленного ЛУЧШЕ обеспечивает переоценку рисков в случае модификации бизнес приложения?

А. Процесс управления проблемами;

Б. Постоянное наблюдение за приложением;

В. Процесс управления изменениями;

Г. Анализ воздействия на бизнес.

533. Какой путь ЛУЧШИЙ чтобы собрать, классифицировать, установить приоритеты и связать уязвимости с информационными системами?

А. Сканирование на уязвимости;

Б. Тест на проникновение;

В. Оценка программного кода;

Г. Аудит безопасности.

 534. На какой стадии жизненного цикла систем находится выбор способа контроля доступа и алгоритм шифрования?

А. Дизайн процедур;

Б. Дизайн архитектуры;

В. Дизайн спецификации системы;

Г. Разработка системы.

535. Что из перечисленного считается фундаментальным компонентом ИБ?

А. Система ролевого контроля доступа;

Б. Автоматическое предоставление доступа;

В. Повышение осведомленного персонала;

Г.  Система предотвращения атака.

536. Как руководство организации узнает, что новая программа управления ИБ эффективна?

А. Ключевые метрики показывают уменьшение ущерба в результате инцидентов;

Б. Руководство утвердило программу и поддерживает её;

В. Сотрудники восприняли произошедшие изменения;

Г. Количество инцидентов уменьшается.

537. В чем заключается преимущество теста на проникновение в режиме белого ящика по сравнению с режимом черного ящика?

А. Это симуляция реальной внешней атаки;

Б. Не требуется вмешательство персонала;

В. Время на исследование и получение информации уменьшится;

Г. Критическая информация об инфраструктуре не будет выявлена тестируемым.

538. Какой способ является ЛУЧШИМ, чтобы предотвратить пересылки сотрудниками рекламных писем или писем  «счастья»?

А. Ознакомление с правилами использования почты;

Б. Низкий лимит на размер ящика;

В. Обучение персонала;

Г. Дисциплинарные меры.

539. Как ЛУЧШЕ защитить пользовательские пароли от атак методом перебора?

А. Хранить пароли в зашифрованном виде;

Б. Проводить обучение персонала;

В. Установить сложность пароля и периодическую смену;

Г. Установить блокировки учетных записей.

540. Какая мера является САМЫМ эффективным сдерживающим фактором против злоупотребления своими привилегиями?

А. Многоуровневая защита;

Б. Мониторинг логов систем;

В. Подписание политик ИБ;

Г. Создание высокодоступных систем.

541. В чем заключается преимущество от использования стеганографии, по сравнению с криптографией?

А. Существование сообщения неизвестно;

Б. Маленькая длина ключей;

В. Трафик не может быть перехвачен;

Г. Легкость в передаче такой информации.

542. В динамично растущей организации обновление политик ИБ сложная задача. Что можно сделать еще для эффективного управления бизнес рисками, за исключением политик?

А. Получать консультации у владельцев информации;

Б. Утвердить должность высокого уровня;

В. Формально управлять структурой ИБ;

Г. Утвердить должность менеджера ИБ.

543. После обновления web-приложения возможно появления в нем backdoor. Каким способом это ЛУЧШЕ всего выявить?

А. Тест на проникновение в режиме черного ящика;

Б. Аудит безопасности;

В. Изучение программного кода;

Г. Скан на уязвимости.

544. Для мониторинга сетей часто используется протокол SNMP v2. Какая уязвимость в нем присутствует?

А. Удаленное переполнение буфера;

Б. Межсайтовый скриптинг;

В. Аутентификация открытый текстом;

Г. Атака «человек в середине».

545. Начиная с какой фазы жизненного цикла проекта должна присутствовать безопасность?

А. Дизайн;

Б. Разработка;

В. Тестирование безопасности;

Г. Анализ технической осуществимости.

546. Что должно быть определено ПЕРВЫМ при внедрении плана непрерывности бизнеса?

А. Стоимость постройки резервной площадки;

Б. Увеличение цены дневного простоя;

В. Местоположение и стоимость восстановления работоспособности;

Г. Стоимость владения группы восстановления.

547. Настольный компьютер был вовлечен в инцидент ИБ. Что нужно с ним сделать, чтобы гарантировать неизменность имеющейся на нем информации?

А. Отключить ПК от всех источников питания;

Б. Отключить все локальные учетные записи за исключением администратора;

В. Зашифровать пользовательские профили и скопировать архивы на сервер безопасности;

Г. Скопировать все файлы ОС на компакт диск.

548. Компания имеет дополнительные офисы, на которых локально размещены файловые, почтовые и принт- серверы. Каждым офисом заключен договор на услугу hot site. Какой ГЛАВНЫЙ недостаток может заключаться в такой реализации восстановления работоспособности?

А. Эксклюзивное использование площадки ограничено 6 месяцами;

Б. Площадка может быть разделена с другими организациями;

В. Декларированное время может зависеть от приоритета;

Г. Провайдер сервиса обслуживает все компании в данной области.

549. Что должна сделать компания, занимающаяся on-line продажами при обнаружении сетевой атаки на свои ресурсы?

А. Выключить все точки сетевого доступа;

Б. Скопировать все логи устройств на компакт диски;

В. Изолировать сегмент сети, подвергшийся атаке;

Г. Включить логирование на всех видов событий.

550. Какой ЛУЧШИЙ метод обнаружения хакерской атаки и наблюдения за ней, чтобы не подвергать информационные активы ненужным рискам?

А. Межсетевое экранирование;

Б. Устройства для обнаружения вторжений;

В. Системы-ловушки;

Г. Экранирование подсетей.