Управление

Рамки управления

Рамки управления составляют основу стратегий кибербезопасности, обеспечивая структурированные рекомендации для управления и оптимизации предоставления ИТ-услуг. Ключевыми рамками являются COBIT, поддерживающий корпоративное управление ИТ, и рамка ITIL, представляющая собой набор лучших практик по управлению ИТ-услугами, соответствующих бизнес-потребностям. Кроме того, Рамка кибербезопасности NIST (CSF) предлагает политику компьютерной безопасности, предназначенную для того, чтобы организации частного сектора могли оценить и улучшить свои способности предотвращать, обнаруживать и реагировать на кибератаки. Модель FAIR (Факторный анализ информационного риска) количественно оценивает риск, тогда как стандарты ISO/IEC устанавливают рекомендации и общие принципы для инициирования, внедрения, поддержания и улучшения управления информационной безопасностью в организации. Рамка COSO фокусируется на внутренних контрольных механизмах, а матрица RACI помогает определить роли и обязанности в проекте.

Участие руководства

Управление кибербезопасностью требует участия руководства для эффективного надзора и стратегического выравнивания. В руководстве по кибербезопасности руководители поддерживают инициативы в области кибербезопасности и внедряют их в корпоративную культуру. Вовлечение на уровне совета директоров обеспечивает понимание советом директоров ландшафта киберрисков и позиции организации в области кибербезопасности. Стратегическое принятие решений включает согласование руководителями стратегий кибербезопасности с бизнес-целями. Распределение бюджета и поддержка ресурсов крайне важны для предоставления достаточных ресурсов для инициатив в области кибербезопасности. Участие в управлении кризисами готовит руководителей к реагированию на инциденты кибербезопасности, а взаимодействие с заинтересованными сторонами обеспечивает прозрачность и доверие.

Управление рисками

В контексте управления управление рисками включает выявление, анализ и смягчение рисков для защиты информационных активов организации. Идентификация риска - это процесс признания потенциальных рисков, которые могут повлиять на кибербезопасность организации. Анализ рисков оценивает потенциальное воздействие и вероятность выявленных рисков, тогда как смягчение рисков включает разработку стратегий минимизации уязвимостей. Непрерывный мониторинг рисков обеспечивает адаптацию организации к новым угрозам. Коммуникация о рисках включает распространение стратегий управления рисками среди заинтересованных сторон для обеспечения понимания и соблюдения обязательств.

Соответствие

Соответствие требованиям кибербезопасности обеспечивает соблюдение законов, регламентов и стандартов, применимых к операциям организации. Глобальные регламенты такие как GDPR, влияют на практики защиты данных по всему миру. Различные рамки и стандарты такие как ISO/IEC 27001, предоставляют надежные руководства для установления надежных практик безопасности. Организации обязаны учитывать отраслевое соответствие, которое обслуживает отраслевые регламенты. Аудит и отчетность о соблюдении подтверждают соблюдение требований, в то время как юридическое и договорное соответствие гарантирует выполнение договорных обязательств.

Политики и процедуры

Эффективные политики и процедуры обеспечивают единообразный подход к управлению по всей организации. Политики безопасности задают направление для позиции организации по безопасности, а процедуры безопасности предоставляют пошаговые инструкции по реализации этих политик. Организации создают стандарты и руководства для обеспечения последовательности. Регулярное управление и обзор обеспечивает актуальность политик и их эффективность в противодействии новым угрозам.

Конфиденциальность данных

Управление конфиденциальностью данных включает управление личными данными в соответствии с законами и регламентами о конфиденциальности. Процессы, такие как сбор и минимизация данных, обеспечивают сбор и хранение лишь необходимых данных. Политики хранения и уничтожения данных регулируют управление жизненным циклом данных. Классификация и маркировка данных организуют данные в зависимости от их чувствительности и ценности. Управление согласием пользователей уважает предпочтения пользователей. Конфиденциальность по задумкам и по умолчанию включает принципы конфиденциальности в системы с момента их создания, а доступ к данным и их обмен обеспечивает контролируемый доступ. Оценки воздействия на конфиденциальность оценивают риски, а такие техники, как анонимизация и псевдонимизация защищают идентичности. Трансграничные передачи данных соответствуют международным регламентам, а процессы уведомления о нарушении данных управляют отчетностью о нарушениях.

Осведомленность

Осведомленность о безопасности имеет жизненно важное значение для формирования культуры осведомленности о безопасности в рабочем месте. Обучение осведомленности о безопасности обучает сотрудников возможным угрозам и соответствующим реакциям. Имитации фишинговых атак проверяют готовность сотрудников к фишинговым атакам. Программы безопасности при внедрении сотрудников гарантируют, что новые сотрудники понимают протоколы безопасности. Программы осведомленности на уровне руководства вовлекают лидеров в понимание кибербезопасности. Адаптированные программы осведомленности удовлетворяют потребности конкретных команд, а сеть чемпионов безопасности расширяет полномочия адвокатов в департаментах. Оценка эффективности осведомленности предоставляет метрики для оценки воздействия программ.