What needs to be done to strengthen

What needs to be done to strengthen security is well known but not done well
enough
This subtitle is a modification of the title of a report published by the U.S. General
Accountability Office (GAO) in December 2011. Managing information security
requires a focus on many disparate activities, in particular:
• Selecting and adopting standards, good practices and guidelines and ensuring
these are complied with (Chapter 4)
• Building awareness of information security issues among the workforce and
service providers (Chapter 4)
• Identifying the most critical information systems and data, their vulnerabilities
and the extent to which their risk exposures require mitigation actions
(Chapters 5 and 8)
• Defining the impact of security events on business processes and the
Information security for non-technical managers organisation as a whole (Chapter 8)
• Defining what the organization considers to be an acceptable risk (Chapter 8)
• Reviewing all of the above for their appropriateness.
2.4. Certifications
Information Security is not a regulated profession and therefore there is no
requirement for any form of certification. Where information security is critical, it
may be justified to require such certifications. These fall in three categories:
organisational, professional and personal.
Organizational certifications include, for example, compliance with ISO 27001
“Information Security Management System” and the U.S. Federal Information
Security Management Act (FISMA). Some may be optional (ISO 27001) while others
may be mandatory in specific fields of activity such as the Payment Card Industry
Data Security Standard (PCI-DSS).
Professional certifications are optional for individuals but employers may choose
to make them a requirement. There are several certifications, such as those from the
Information Systems Audit and
ControlAssociation(ISACA):CISA:CertifiedInformationSecurityAuditor,CISM:Certifi
edInformation Security Manager and CRISC: Certified in Risk and Information
System Control.
There are also those of the International Information Systems Security
Certification Consortium (ISC2), including CISSP: Certified Information Systems
Security Professional and CSSLP: Certified Secure Software Lifecycle Professional
and other. In addition, vendors and training companies also offer various
certifications.
Information security for non-technical managers
12
Figure 1: example of a personal certification
The third category is equivalent to a driving license and requires individuals to
complete a training or awareness programme and passa test.
Such certifications have been developed and tested over many years by several
organisations. One example is the Security in the Field certificate that the United
Nations requires those who travel to a field location to have. This particular
certification is valid for three years after which the course and test have to be retaken.

Kết quả (Việt) 1:

Những gì cần phải được thực hiện để tăng cường an ninh là nổi tiếng nhưng không thực hiện cũng đủ Phụ đề này là một sửa đổi của tiêu đề một báo cáo được đăng bởi tướng quân Hoa Kỳ Accountability Office (GAO) vào tháng 12 năm 2011. Quản lý an ninh thông tin yêu cầu một tập trung vào nhiều hoạt động khác nhau, đặc biệt: • Lựa chọn và áp dụng tiêu chuẩn, thực hành tốt và hướng dẫn và đảm bảo đây tuân thủ (chương 4) • Xây dựng nhận thức về thông tin bảo mật vấn đề trong số lực lượng lao động và nhà cung cấp dịch vụ (chương 4) • Xác định các hệ thống thông tin quan trọng nhất và dữ liệu, lỗ hổng của và trong phạm vi mà nguy cơ tiếp xúc của họ yêu cầu hành động giảm nhẹ (Chương 5 và 8) • Xác định tác động của sự kiện an ninh trên quy trình kinh doanh và các Bảo mật thông tin cho tổ chức phi kỹ thuật quản lý như một toàn thể (chương 8) • Xác định những gì tổ chức xem xét để là một nguy cơ thể chấp nhận được (chương 8) • Xem xét tất cả các bên trên cho thích hợp của họ. 2.4. chứng nhận Bảo mật thông tin không phải là một nghề quy định và do đó có là không có yêu cầu cho bất kỳ hình thức chứng nhận. Nơi bảo mật thông tin là rất quan trọng, nó có thể được chứng minh để yêu cầu chứng nhận như vậy. Những rơi vào ba loại: tổ chức, chuyên nghiệp và cá nhân. Chứng nhận tổ chức bao gồm, ví dụ, phù hợp với tiêu chuẩn ISO 27001 "Hệ thống quản lý an ninh thông tin" và các thông tin liên bang Hoa Kỳ Đạo luật quản lý an ninh (FISMA). Một số có thể tùy chọn (ISO 27001) trong khi những người khác có thể là bắt buộc trong các lĩnh vực cụ thể của các hoạt động như ngành công nghiệp thẻ thanh toán Tiêu chuẩn bảo mật dữ liệu (PCI DSS). Chứng chỉ chuyên nghiệp là tùy chọn cho các cá nhân nhưng nhà tuyển dụng có thể chọn để làm cho họ một yêu cầu. Có rất nhiều chứng chỉ, chẳng hạn như những người từ các Thông tin hệ thống kiểm toán và ControlAssociation (ISACA):CISA:CertifiedInformationSecurityAuditor, CISM:CertifiedInformation quản lý an ninh và CRISC: chứng nhận rủi ro và thông tin Hệ thống điều khiển. Cũng có những người trong bảo mật hệ thống thông tin quốc tế Chứng nhận Consortium (ISC2), trong đó có CISSP: chứng nhận hệ thống thông tin Bảo mật chuyên nghiệp và CSSLP: chứng nhận an toàn phần mềm chuyên nghiệp vòng đời và khác. Ngoài ra, nhà cung cấp và đào tạo công ty cũng cung cấp khác nhau chứng nhận. Bảo mật thông tin cho người quản lý kỹ thuật12 Hình 1: ví dụ về một chứng nhận cá nhân Các thể loại thứ ba là tương đương với một giấy phép lái xe và yêu cầu các cá nhân để hoàn tất một đào tạo hoặc nhận thức về chương trình và passa kiểm tra. Chứng nhận như vậy đã được phát triển và thử nghiệm trong nhiều năm qua bởi một số tổ chức. Một ví dụ là sự an toàn trong lĩnh vực chứng chỉ mà Hoa Kỳ Quốc gia yêu cầu những người đi du lịch đến một vị trí lĩnh vực phải. Điều này đặc biệt chứng nhận là hợp lệ cho 3 năm sau đó các khóa học và kiểm tra có thể được tái chiếm.

Kết quả (Việt) 2:

Những gì cần phải được thực hiện để tăng cường an ninh cũng được biết đến nhưng không được thực hiện
tốt, đủ
phụ đề này là một sửa đổi của tiêu đề của một báo cáo được công bố bởi các tướng Mỹ
Accountability Office (GAO) vào tháng Mười Hai năm 2011. Quản lý an ninh thông
tin, cần quan tâm trên nhiều tạp nham hoạt động, cụ thể:
• Lựa chọn và áp dụng tiêu chuẩn, thực hành tốt và các hướng dẫn và đảm bảo
chúng được tuân thủ (Chương 4)
• Xây dựng nhận thức về các vấn đề an ninh thông tin giữa các lực lượng lao động và
các nhà cung cấp dịch vụ (Chương 4)
• Xác định các hệ thống thông tin quan trọng nhất và dữ liệu, các lỗ hổng của họ
và mức độ mà mức độ rủi ro của họ đòi hỏi phải hành động giảm thiểu
(Chương 5 và 8)
• Xác định các tác động của sự kiện bảo mật trên các quy trình kinh doanh và
an ninh thông tin cho các tổ chức quản lý phi kỹ thuật như một toàn thể (Chương 8)
• Xác định điều mà tổ chức xem xét sẽ là một rủi ro chấp nhận được (Chương 8)
• Xem xét tất cả những điều trên cho phù hợp của họ.
2.4. Chứng chỉ
bảo mật thông tin không phải là một nghề có điều tiết và do đó không
yêu cầu bất kỳ hình thức xác nhận. Nơi an ninh thông tin là rất quan trọng, nó
có thể được biện minh để yêu cầu xác nhận như vậy. Những mùa thu trong ba
loại:. Tổ chức, chuyên nghiệp và cá nhân
xác nhận tổ chức bao gồm, ví dụ, phù hợp với tiêu chuẩn ISO 27001
"Hệ thống quản lý an ninh thông tin" và các thông tin liên bang Mỹ
Đạo luật quản lý an ninh (FISMA). Một số có thể được tùy chọn (ISO 27001), trong khi những người khác
có thể được bắt buộc trong các lĩnh vực cụ thể của hoạt động như thanh toán thẻ Công nghiệp
dữ liệu tiêu chuẩn an toàn (PCI-DSS).
Giấy xác nhận Professional là lựa chọn của cá nhân nhưng nhà tuyển dụng có thể chọn
để làm cho họ một yêu cầu. Có một số chứng nhận, chẳng hạn như những người từ
Kiểm toán Hệ thống thông tin và
ControlAssociation (ISACA): CISA: CertifiedInformationSecurityAuditor, CISM: Certifi
edInformation Security Manager và CRISC: chứng nhận về rủi ro và thông
tin. Hệ thống điều khiển
có cũng là của các hệ thống an ninh thông tin quốc tế
Chứng nhận Consortium (ISC2), bao gồm CISSP: Hệ thống thông tin Certified
Security Professional và CSSLP: Chứng nhận an toàn phần mềm Lifecycle chuyên nghiệp
và khác. Ngoài ra, các nhà cung cấp và các công ty đào tạo cũng cung cấp khác nhau
xác nhận.
An ninh thông tin cho các nhà quản lý không kỹ thuật
12
Hình 1: Ví dụ của một chứng thực cá nhân
Loại thứ ba là tương đương với một giấy phép lái xe và yêu cầu cá nhân để
hoàn thành chương trình đào tạo nâng cao nhận thức và kiểm tra Passa .
chứng nhận như vậy đã được phát triển và thử nghiệm trong nhiều năm qua bởi một số
tổ chức. Một ví dụ là an ninh trong giấy chứng nhận Dòng rằng Hoa
Quốc đòi hỏi những người đi du lịch đến một địa điểm trường để có. Điều này đặc biệt
xác nhận là hợp lệ trong ba năm sau khi mà các khóa học và kiểm tra phải được thực hiện lại.