1. Bezpieczeństwo i zarządzanie ryzykiem [Security and risk management]

• Definiowanie celów i założeń bezpieczeństwa - Dzięki temu Organizacje mogą zmniejszyć ryzyko dla krytycznych zasobów i danych (PII czy dane osobowe)
• Procesy ograniczania ryzyka - posiadanie odpowiednich procedur i zasad, aby możliwie szybko ograniczyć skutki ryzyka takiego jak naruszenie
• zgodność [compilance] - podstawowa metoda stosowana do rozwijania wewnętrznych zasad organizacji polityki bezpieczeństwa, wymagań regulacyjnych i niezależnych standardów
• Plany ciągłości działania - zdolność organizacji do utrzymania codziennej produktywności poprzez ustanowienie planów odzyskiwania po awarii
• regulacje prawne - Przestrzeganie zasad i oczekiwań dotycących zachowania mającego na celu zminimalizowanie zaniedbań, nadużyć lub oszustw
• Etyka zwodowa i organizacja

Procesy projektowania bezpieczeńśtwa Informacji Infosec:

• Reagowanie na incydenty
• Zarządzanie podatnościami
• Bezpieczeństwo aplikacji
• Bezpieczeństwo w chmurze
• Bezpieczeństwo infrastruktury Zespół ds. bezpieczeńśtwa może potrzebować zmiany sposobu traktowania danych osobowych PII aby zachować zgodnośc z ogólnym rozporządzeniem Unii Europejskiej o ochronie danych (RODO)

2. Bezpieczeństwo aktywów [Asset Security]

• Zabezpieczanie zasobów cyfrowych i fizycznych
• przechowywanie, konserwacja, niszczenie danych Oznacza to że aktywami jak PII lub SPII należy obchodzić się w sposób bezpieczny niezależnie od tego, czy są
  • przechowywane na komputerze,
  • przesyłane w sieci takiej jak internet,
  • gromadzone fizycznie
• Konieczność posiadania zasad i procedur zapewniających że są odpowiednio przechowywane, utrzymywane, zachowywane i niszczone.
• Wiedza o tym jakie dane posiadasz i kto ma do nich dostęp jest niezbędna w celu utrzymania silnego poziomu bezpieczeńśtwa, ktory ogranicza ryzyko krytycznych zasobów danych. *Odpowiednia utylizacja dysków/danych - pewnośc że nie będzie można odzyskać z nich danych

3. Architektura i inżynieria bezpieczeństwa [Security architecture and engineering]

• Optymalizacja bezpieczeństwa danych poprzez zapewnienie skutecznych narzędzi
• istnieją systemy i procesy mające na celu ochronę aktywów i danych organizacji
• Wspólna odpowiedzialność oznacza, że osoby w organizacja odgrywają aktywną rolę w obniżaniu ryzyka i utrzymania bezpieczeństwa fizycznego i wirtualnego
• Zasady zgłaszania problemów związanych z bezpieczeństwem - szybkie i skuteczne rozwiązanie problemów

4. Bezpieczeństwo komunikacji i sieci [ Communication and network security]

• Zarządzanie i zabezpieczanie sieci fizycznych i komunikacji bezprzewodowej
• Bezpieczne sieci zapewniają bezpieczeńśtwo danych i komunikacji w organizacji
• Lokalnie, W chmurze, podczas łączenia się z usługami
• Np. ochrona dostępu podczas pracy zdalnej i łaczenia się z usługamiz sieci publicznej

5. Zarządzanie tożsamością i dostępem [Identity and access managment IAM]

• Dostęp i autoryzacja

• Upewnienie się że użytkownicy przestrzegają ustalonych zasad kontroli i zarządzania zasobami

• Ograniczenie dostępu użytkownikom jedynie do tego czego potrzebują.

• Np. Uzywanie tego samego loginu administratora - nie można sprawdzić kto ma dostęp do danych i cięzko rozróżnić normalnej aktywności od aktora.

  • Identyfikacja - użytkownik weryfikuje swoją tożsamośc poprzez podanie nazwy użytkownika, karty dostępu, danych biometrycznych
  • Uwierzytelnianie - proces weryfikacji mający na celu potwierdzenie tożsamości danej osoby (hasło lub pin)
  • Autoryzacja - następuje po potwierdzeniu tożsamości użytkownika - wiąże się z poziomem dostępu zależącego od roli w organizacji
  • Odpowiedzialność - monitorowanie i rejestrowanie dziłań użytkownikó, jak próby logowania, aby udowodnić, ze systemy i dane są wykorzytsywane prawidłowo

6. Ocena i testowanie bezpieczeństwa [Security assessment and testing]

• Przeprowadzanie testów kontroli bezpieczeńśtwa

• zbieranie i analizowanie danych

• przeprowadzanie audytów bezpieczeństwa w celu monitorowania ryzyka, zagrożeń i słabych punktów

  Testowanie kontroli bezpieczeństwa, mMoże pomóc organizacji zidentyfikować nowe lepsze sposoby łagodzenia zagrożeń, ryzyka itp. * zbadanie celów i zadań organizacji * Ocena czy stosowane kontrole faktycznie osiągają cele * Regularne zbieranie i analizowanie danych dotyczących bezpieczeństwa pomaga również zapobiegać zagrożeniom organizacji

7. Operacje bezpieczeństwa [Security operations]

• Koncentruje się na prowadzeniu dochodzeń i wdrażaniu środków zapobiegawczych Dochodzenie
  • Rozpoczyna się po zidentyfikowaniu incydentu związanego z bezpieczeństwem
  • Wymaga to zwiększonego poczucia pilności, aby zminimalizować potencjalne ryzyko dla organizacji. -W przypadku trwającego ataku, łagodzenie ataku i zapobieganie jego dalszej eskalacji -Ochrona informacji prywatnych przed atakującymi Po Neutralizacji zagrożenia:
  • Odbiór cyfrowy i fizyczny - dowody niezbędne do przeprowadzenia dochodzenia kryminalistycznego
  • W celu zidentyfikowania należy przeprowadzić cyfrowe dochodzenie kryminalistyczne (jak i dlaczego doszło do naruszenia)
  • Pomaga to zespołom ds. Bezpieczeństwa określić obszary wymagające poprawy oraz wprowadzić środki zapobiegawcze w celu złagodzenia przyszłych ataków

8. Bezpieczeństwo tworzenia oprogramowania [ SOftware development security ]

• koncentruje się na stosowaniu praktyk bezpiecznego kodowania.
• tworzenie bezpiecznych aplikacji i usług
• Cykl życia oprogramowania - Efktywny proces stosowany przez zespoły, gdzie każda faza przechodzi przeglądy bezpieczeńśtwa