Постоянная осведомленность персонала

Попался мне интересный вопрос о повышении осведомленности персонала. Привожу его здесь вместе с объяснением.

The MOST effective way to ensure network users are aware of their responsibilities to comply with an organization's security requirements is:

A. messages displayed at every logon.

B. periodic security-related e-mail messages.

C. an Intranet web site for information security.

D. circulating the information security policy.

Answer: A

Explanation:

Logon banners would appear every time the user logs on, and the user would be required to read and agree to the same before using the resources. Also, as the message is conveyed in writing and appears consistently, it can be easily enforceable in any organization. Security-related e-mail messages are frequently considered as "Spam" by network users and do not, by themselves, ensure that the user agrees to comply with security requirements. The existence of an Intranet web site does not force users to access it and read the information. Circulating the information security policy atone does not confirm that an individual user has read, understood and agreed to comply with its requirements unless it is associated with formal acknowledgment, such as a user's signature of acceptance.

И предлагаю соответствующую реализацию для Windows. Впрочем, где-то мне уже попадалась похожая идея, поэтому я не претендую на изобретение велосипеда.

30 вопросов из CISM. Часть 1/2. (перевод)

Некоторые вопросы повторяют предыдущие.

В1. Что из перечисленного должно быть ПЕРВЫМ шагом при разработке плана ИБ?

А. Проведение технической оценки уязвимостей;

Б. Анализ текущей бизнес стратегии;

В. Проведение анализа возможного ущерба для бизнеса;

Г. Оценка текущего уровня осведомленности персонала в вопросах ИБ.

В2. Руководство организации ЛУЧШЕ получит представление об ИБ, если будет:

А. использовать иллюстрированные примеры успешных атак;

Б. объяснять технические риски;

В. развивать организацию, учитывая лучшие практики;

Г. связывать риски безопасности с ключевыми бизнес целями.

В3. НАИБОЛЕЕ подходящая роль менеджмента  организации в вопросах поддержки ИБ заключается в:

А. оценке предлагаемых вендорами СЗИ;

Б. оценке рисков в организации;

В. утверждении политики ИБ и её финансировании;

Г. наблюдении за строгим соблюдением нормативных требований.

В4. Что из перечисленного обеспечит БОЛЬШИЙ успех по управлени ИБ в организации?

А. Управляющий комитет будет утверждать проекты ИБ;

Б. Со всеми менеджерами будет проводиться обучение по требованиям ИБ;

В. Обучение правилам ИБ будет доступно для всех сотрудников на внутреннем портале;

Г. Управляющий комитет будет требовать соответствия законам и нормативным требованиям.

В5. Управление ИБ в организации ПРЕИМУЩЕСТВЕННО определяется:

А. принуждением к использованию определенных технологий;

Б. нормативными требованиями;

В. возможными судебными процессами;

Г. бизнес стратегией.

В6. Что из перечисленного заслуживает ГЛАВНОГО внимания в требованиях по защите ПДн?

А. Отсутствие ограничений на использование ПДн;

Б. Идентификация утечек ПДн;

В. Права доступа к ПДн;

Г.  Принадлежность ПДн к субъектам ПДн.

В7. Инвестиции в технологии ИБ должны основываться на:

А. оценке уязвимостей;

Б. анализе количества защищаемых данных;

В. бизнес климате организации;

Г. рекомендациях аудиторов.

В8. Сохранение коммерческой информации ПРЕИМУЩЕСТВЕННО должно основываться на:

А. бизнес стратегии и направлении развития организации;

Б. законодательных и нормативных требованиях;

В. объемах носителей данных и времени их хранения;

Г. задачах и анализе количества данных.

В9. Какие из следующих характеристик занимают ЦЕНТРАЛЬНОЕ место в управлении ИБ?

А. Стоимость управления;

Б. Строгое соблюдение политик;

В. Большее пересечение с бизнес нуждами;

Г. Быстрое выполнение запросов.

В10. Успешное внедрение процесса управления ИБ в ПЕРВУЮ очередь требует:

А. обучения персонала для повышения осведомленности в вопросах ИБ.

Б. обновления политик ИБ;

В. работы группы управления инцидентами;

Г. архитектуры ИБ.

В11. Какая из следующих позиций будет являться БОЛЕЕ влиятельной для создания группы по управлению ИБ?

А. Менеджер ИБ;

Б. Исполнительный директор;

В. Аудитор;

Г. Юрист.

В12. НАИБОЛЕЕ важный компонент политики ПДн это:

А. уведомления;

Б. гарантии;

В. ответственность;

Г. географическая структура организации.

В13. Стоимость внедрения средств контроля ИБ не должна ПРЕВОСХОДИТЬ:

А. ожидаемого уровня ежегодных потерь;

Б. уровня потерь в результате инцидента;

В. стоимости информационного актива;

Г. стоимости внедрения защитных мер.

В14. Когда стандарты безопасности организации противоречат бизнес целям необходимо:

А. изменить стандарты безопасности;

Б. изменить бизнес цели;

В. провести анализ рисков;

Г. принять риски.

В15. МИНИМАЛЬНО стандарты безопасности технической инфраструктуры должны быть определены в:

А. стратегии ИБ;

Б. инструкциях ИБ;

В. модели ИБ;

Г. архитектуре ИБ.

Можно начинать отвечать.

Кому вопросы CISM?

Купил на данном ресурсе вопросник, посвященный курсу CISM - 631 вопрос. Соответсвенно, если кому нужно, могу поделиться за полцены.

Пишите.

Еще 10 вопросов из CISM (перевод)

В1. Руководство организации ЛУЧШЕ получит представление об ИБ, если будет:

А. использовать иллюстрированные примеры успешных атак;

Б. объяснять технические риски;

В. развивать организацию, учитывая лучшие практики;

Г. связывать риски безопасности с ключевыми бизнес целями.

В2. Какие из следующих характеристик занимают ЦЕНТРАЛЬНОЕ место в управлении ИБ?

А. Стоимость управления;

Б. Строгое соблюдение политик;

В. Большее пересечение с бизнес нуждами;

Г. Быстрое выполнение запросов.

В3. НАИБОЛЕЕ важный компонент политики ПДн это:

А. уведомления;

Б. гарантии;

В. ответственность;

Г. географическое покрытие.

В4. НАИБОЛЕЕ важно, когда архитектура ИБ сочетается с:

А. лучшими практиками по отрасли;

Б. планами ИТ;

В. лучшими практиками в области ИБ;

Г. бизнес целями и задачами.

В5. Технологии безопасности должны выбираться ПРЕИМУЩЕСТВЕННО на основе:

А. способности уменьшать бизнес риски;

Б. материалов публикаций;

В. появляющихся новых технологий;

Г. выигрыша в цене.

В6. Что оказывает ВАЖНЕЙШЕЕ воздействие на модель управления ИБ?

А. Количество сотрудников;

Б. Расстояния между территориальными площадками;

В. Сложность организационной структуры;

Г. Бюджет организации.

В7. ПЕРВИЧНАЯ цель разработки стратегии ИБ это:

А. установление метрик ИБ и других измерителей производительности;

Б. обучение владельцев бизнес процессов согласно их обязанностям;

В. обеспечение соответствия законам и нормативным документам;

Г. поддержка бизнес целей организации.

В8. Какая ПРЕИМУЩЕСТВЕННАЯ роль у менеджера ИБ в процессе классификации ИТ активов?

А. Определение и утверждение структуры классификации активов;

Б. Определение применимых уровней классификации;

В. Обеспечение безопасности активов в соответствии с классификацией;

Г. Проверка правильности уже классифицированных активов.

В9. Менеджер ИБ, работая в международной организации, которая подпадает под законодательные требования различных стран, должен довести до ВСЕХ территориальных площадок:

А. агрегированные требования всех законодательных норм;

Б. только основные стандарты и сделать дополнительные стандарты, кому потребуется;

В. требования, являющиеся лучшими практиками по отрасли;

Г. требования и обязать их исполнение всеми вне зависимости от юрисдикции.

В10. Какое действие ЛУЧШЕ описывает роль менеджера ИБ в международной организации, в связи с появлением новых нормативных требований по отношению к операционным рискам?

А. Удостоверение, что все ИТ риски определены.

Б. Оценка возможного ущерба от ИБ рисков;

В. Демонстрирование, что существующие контроли уменьшают ИТ риски;

Г. Предложение новых ИТ контролей для уменьшения операционных рисков.

Коллеги, просьба высказываться, через неделю приведу правильные ответы.

Первые вопросы из CISM (перевод)

Начал читать книгу CISM 2011 и первые 10 вопросов первой главы решил перевести для обозрения общественности, чтобы продемонстрировать какой подход проповедуется в ней с точки зрения менеджмента информационной безопасности.

В1. Стратегия ИБ важна для организации преимущественно тем, что она предоставляет:

А. Основу для определения лучшей логической архитектуры ИБ в организации.

Б. Утвержденное намерение и направление деятельности ИБ.

В. Пользователям инструкции о том, как безопасно выполнять свои повседневные обязанности.

Г. Помощь аудиторам для обеспечения соответствия требованиям.

В2. Наиболее важная причина обеспечить хорошее взаимодействие в области ИБ между подразделениями организации:

А. Сделать меры ИБ более приятными к сопротивляющимся сотрудникам.

Б. Человеческий фактор представляет самый большой риск.

В. Информировать бизнес подразделения о стратегии ИБ.

Г. Согласно требованиям законодательства все сотрудники должны информироваться о мерах ИБ.

В3. Законодательная база требует от многих организаций деятельности по ИБ. Что в этой связи наиболее важно для менеджера ИБ?

А. Обращаться к руководству организации для совета о применимости того или иного требования законодательства.

Б. Считать актуальными все требования законодательства и обращаться с запросами об их толковании.

В. Включать в оценку риски ИБ для всех департаментов организации подверженные им.

Г. Игнорировать большинство требований законодательства, т.к. наказания по многим из них отсутствуют.

В4. Что считается наиболее важным при разработке политик ИБ:

А. Они должны основываться на профилях угроз.

Б. Они должны быть полноценными, но без излишней детализации.

В. Они должны быть подписаны руководством.

Г. Все сотрудники должны прочитать их и понять.

В5. Первичная цель ИБ при разработке хороших процедур удостовериться, что:

А. Они выполняются, как и предполагалось.

Б. Они однозначно понимаются и соответствуют стандартам.

В. Они написаны простым языком и разосланы всем сотрудникам.

Г. Соответствие им может быть проверено.

В6. Назначение ролей и ответственности наиболее эффективно, если:

А. Есть поддержка руководства организации.

Б. Назначения основываются на опыте.

В. Назначения обеспечивают полный спектр ролей.

Г. Ответственность понимается и принимается добровольно.

В7. Первичная польза для организации получается в результате эффективного управления ИБ, когда обеспечивается:

А. Соответствие требованиям законодательства.

Б. Принятие уровней угроз.

В. Приоритет в восстановлении ресурсов.

Г. Максимальный возврат инвестиций.

В8. С точки зрения менеджера ИБ наиболее важным фактором защиты данных является:

А. Соответствие требованиям бизнеса и законодательства.

Б. Обеспечение целостности документов от повреждений.

В. Правильное использование носителей информации.

Г. Обеспечение конфиденциальности данных и их шифрование.

В9. Какая роль является лучшей для пересмотра прав доступа пользователей?

А. Владелец ресурса.

Б. Менеджер ИБ.

В. Администратор домена.

Г. Бизнес менеджер.

В10. В процессе внедрения процесса управления ИБ менеджер ИБ преимущественно отвечает за:

А. Разработку стратегии ИБ.

Б. Пересмотр стратегии ИБ.

В. Взаимодействие с другими подразделениями в рамках стратегии ИБ.

Г. Утверждение стратегии ИБ.

Коллеги, прошу по желанию отвечать на вопросы.