2017 yil iyul kirish eks xavfsizlik nazoratlari 4

Qo'shimcha boshqaruv/alternativ boshqaruv

Ma'lumotnomalar/Xavf haqida ma'lumot

NIST SP-800-53r4. AT-2, NIST SP-800-82 r2. 6.2.2, ISO/IEC 27002:2013 Nazorat 7.2.2

2. Rollarga asoslangan xavfsizlik treningi

Boshqaruv

Tashkilot, axborot tizimlariga ruxsat berish yoki ruxsat berishdan oldin yoki axborot tizimini o'zgartirish zarur bo'lganda, belgilangan xavfsizlik roli va mas'uliyatiga ega bo'lgan xodimlarga rolga asoslangan xavfsizlikni o'rgatadi.

Qo'llash bo'yicha qo'llanma

Tashkilot shaxslarning roli va mas'uliyati hamda tashkilotlar va xodimlarning kirishiga ruxsat beruvchi axborot tizimlarining o'ziga xos xavfsizlik talablari asosida xavfsizlik bo'yicha treningning tegishli mazmunini aniqlashi kerak. Bundan tashqari, tashkilot korporativ arxitektorlar, axborot tizimlarini ishlab chiquvchilari, dasturiy ta'minot ishlab chiqaruvchilari, sotib olish bo'yicha mansabdor shaxslar, axborot tizimi ma'murlari, tizim/tarmoq ma'murlari, konfiguratsiyani boshqarish va audit faoliyatini amalga oshiruvchi xodimlar, mustaqil tekshirish va tekshirish faoliyatini amalga oshiruvchi xodimlar, xavfsizlikni nazorat qilish baholovchilari va tizimni o'z ichiga oladi. -darajadagi dasturiy ta'minot.o'zlariga yuklangan vazifalarga muvofiq texnik tayyorgarlikdan o'tadigan boshqa xodimlarni ta'minlashi kerak.
EKSga xos siyosatlarni, standart operatsion protseduralarni , xavfsizlik tendentsiyalarini va zaifliklarni dastlabki va davriy ko'rib chiqishni o'z ichiga olishi kerak . EKS xavfsizlik bo'yicha o'quv dasturi tashkilot tomonidan o'rnatilgan xavfsizlik bo'yicha xabardorlik va o'qitish siyosati talablariga muvofiq bo'lishi kerak.
Boshqarish uskunalari:

1. 
   Atrof-muhit nazorati: Atrof-muhit nazorati yong'in o'chirish va aniqlash qurilmalari/tizimlari, purkagich tizimlari, qo'lda o't o'chirish moslamalari, qattiq yong'in shlanglari, tutun detektorlari , harorat/ namlik o'lchagichlari va joydagi quvvatni o'z ichiga oladi. Tashkilot maxsus tayyorgarlikni talab qiluvchi atrof-muhitni nazorat qilish bilan bog'liq muayyan rol va majburiyatlarga ega bo'lgan xodimlarni aniqlashi kerak.
   
2. 
   Jismoniy xavfsizlik nazorati: Jismoniy xavfsizlikni boshqarish vositalariga kirishni boshqarish vositalari, jismoniy hujum signallari, monitoring/kuzatuv uskunalari va qo'riqchilar (o'rnatish va ishlatish tartiblari) kiradi. Tashkilot jismoniy xavfsizlikni nazorat qilish bilan bog'liq bo'lgan maxsus rol va majburiyatlarga ega bo'lgan xodimlarni aniqlab olishi kerak, bu esa mutaxassislar tayyorlashni talab qiladi.
   
3. 
   ta'minotning umumiy zaifliklaridan foydalanadigan simulyatsiya qilingan kiberhujumlar yoki yuqori rahbarlar/menejerlarga qaratilgan nayzali fishing hujumlari kiradi . Ushbu amaliy mashg'ulotlar ishlab chiquvchilarga bunday zaifliklarning ta'sirini yaxshiroq tushunishga yordam beradi va xavfsizlik kodlash standartlari va jarayonlariga bo'lgan ehtiyojni qadrlaydi.
   
4. 
   Shubhali aloqalar va tizimning g'ayritabiiy xatti-harakati: Tashkilot o'z xodimlarini korporativ axborot tizimlarida shubhali aloqalar va anomal xatti-harakatlarni aniqlash uchun axborot xavfsizligi, zararli dasturlar va uning ta'siriga o'rgatishi kerak. Yaxshi o'qitilgan ishchi kuchi tashkilotlarni elektron pochta yoki veb-ilovalar orqali keladigan zararli kodlardan himoya qilish uchun keng qamrovli mudofaa strategiyasining bir qismi sifatida ishlatilishi mumkin bo'lgan boshqa tashkiliy himoyani taqdim etadi. Xodimlar shubhali elektron pochta xabarlari yoki veb-muloqotlarga qanday javob berishni o'rgatishlari kerak (masalan, qo'shimchalarni ochmaslik, o'rnatilgan veb-havolalarni bosmaslik va elektron pochta manzillari manbasini tekshirish). Ushbu jarayon samarali ishlashi uchun barcha tashkilot xodimlari shubhali muloqot nima ekanligini bilishga o'rgatilgan bo'lishi kerak. Xodimlarni tashkilot ichidagi axborot tizimlarida g'ayritabiiy xatti-harakatlarni tan olishga o'rgatish zararli kod mavjudligi haqida erta ogohlantirishni ta'minlaydi. Tashkilot xodimlari tomonidan bunday g'ayritabiiy xatti-harakatlarning tan olinishi tashkilotlar tomonidan qo'llaniladigan avtomatlashtirilgan zararli kodlarni aniqlash va himoya qilish vositalari va tizimlarini qo'llab-quvvatlashi mumkin .