1.1 Elements of Information Protect

1.1 Elements of Information Protection
Information protection should be based on eight major elements:
1. Information protection should support the business objectives or
mission of the enterprise. This idea cannot be stressed enough. All
too often, information security personnel lose track of their goals
and responsibilities. The position of ISSO (Information Systems
Security Officer) has been created to support the enterprise, not
the other way around.
2. Information protection is an integral element of due care. Senior
management is charged with two basic responsibilities: a duty of
loyalty — this means that whatever decisions they make must be
made in the best interest of the enterprise. They are also charged
with a duty of care — this means that senior management is
required to protect the assets of the enterprise and make informed
business decisions. An effective information protection program
will assist senior management in meeting these duties.
3. Information protection must be cost effective. Implementing controls
based on edicts is counter to the business climate. Before any
control can be proposed, it will be necessary to confirm that a
significant risk exists. Implementing a timely risk analysis process
can complete this. By identifying risks and then proposing appropriate
controls, the mission and business objectives of the enterprise
will be better met.
4. Information protection responsibilities and accountabilities should
be made explicit. For any program to be effective, it will be
necessary to publish an information protection policy statement
and a group mission statement. The policy should identify the roles
and responsibilities of all employees. To be completely effective,
the language of the policy must be incorporated into the purchase
agreements for all contract personnel and consultants.
5. System owners have information protection responsibilities outside
their own organization. Access to information will often extend
beyond the business unit or even the enterprise. It is the responsibility
of the information owner (normally the senior level manager
in the business that created the information or is the primary user
of the information). One of the main responsibilities is to monitor
usage to ensure that it complies with the level of authorization
granted to the user.
6. Information protection requires a comprehensive and integrated
approach. To be as effective as possible, it will be necessary for
information protection issues to be part of the system development
life cycle. During the initial or analysis phase, information protection
should receive as its deliverables a risk analysis, a business
impact analysis, and an information classification document. Additionally,
because information is resident in all departments throughout
the enterprise, each business unit should establish an individual
responsible for implementing an information protection program
to meet the specific business needs of the department.
7. Information protection should be periodically reassessed. As with
anything, time changes the needs and objectives. A good information
protection program will examine itself on a regular basis and
make changes wherever and whenever necessary. This is a dynamic
AU1957_C001.fm Page 2 Monday, September 20, 2004 3:21 PM
Copyright 2005 by CRC Press, LLC. All Rights R

Kết quả (Việt) 2:

1.1 Các yếu tố của thông tin Bảo vệ
thông tin bảo vệ nên được dựa trên tám yếu tố chính:
1. Bảo vệ thông tin cần hỗ trợ các mục tiêu kinh doanh,
nhiệm vụ của các doanh nghiệp. Ý tưởng này không thể được nhấn mạnh đủ. Tất cả các
quá thường xuyên, nhân viên an ninh thông tin bị mất theo dõi các mục tiêu của họ
và trách nhiệm. Vị trí của isso (Hệ thống thông tin
Security Officer) đã được tạo ra để hỗ trợ các doanh nghiệp, không phải
là cách khác xung quanh.
2. Bảo vệ thông tin là một yếu tố không thể thiếu trong việc chăm sóc do. Cấp
quản lý có trách nhiệm hai nhiệm vụ cơ bản: một nhiệm vụ của
lòng trung thành - điều này có nghĩa rằng bất cứ quyết định mà họ thực hiện phải được
thực hiện trong những lợi ích tốt nhất của doanh nghiệp. Họ cũng được tính phí
với một nhiệm vụ chăm sóc - điều này có nghĩa là quản lý cấp cao là
cần thiết để bảo vệ các tài sản của doanh nghiệp và thực hiện thông báo
quyết định kinh doanh. Một chương trình bảo vệ thông tin hiệu quả
sẽ giúp quản lý cấp cao trong việc đáp ứng các nhiệm vụ.
3. Bảo vệ thông tin phải được hiệu quả chi phí. Thực hiện điều khiển
dựa trên sắc lệnh đối lập với môi trường kinh doanh. Trước khi bất kỳ
điều khiển có thể được đề xuất, nó sẽ là cần thiết để xác nhận rằng một
nguy cơ đáng kể tồn tại. Triển khai thực hiện một quá trình phân tích rủi ro kịp thời
có thể hoàn thành này. Bằng cách xác định các rủi ro và sau đó đề xuất thích hợp
điều khiển, nhiệm vụ và mục tiêu kinh doanh của doanh nghiệp
sẽ được đáp ứng tốt hơn.
4. Trách nhiệm bảo vệ thông tin và trách nhiệm cần
phải được làm rõ. Đối với bất kỳ chương trình có hiệu quả, nó sẽ là
cần thiết để xuất bản một báo cáo chính sách bảo vệ thông tin
và tuyên bố nhiệm vụ nhóm. Các chính sách cần xác định vai trò
và trách nhiệm của tất cả các nhân viên. Để được hoàn toàn hiệu quả,
ngôn ngữ của chính sách phải được đưa vào việc mua
thỏa thuận cho tất cả nhân viên hợp đồng và tư vấn.
5. Chủ sở hữu hệ thống có trách nhiệm bảo vệ các thông tin bên ngoài
tổ chức của mình. Tiếp cận thông tin thường sẽ mở rộng
vượt ra ngoài đơn vị kinh doanh hoặc thậm chí các doanh nghiệp. Đây là trách nhiệm
của chủ sở hữu thông tin (thông thường các nhà quản lý cấp cao
trong kinh doanh đã tạo ra các thông tin hoặc là người dùng chính
của thông tin). Một trong những nhiệm vụ chính là giám sát
việc sử dụng để đảm bảo rằng nó phù hợp với mức độ uỷ quyền
cấp cho người sử dụng.
6. Bảo vệ thông tin đòi hỏi một cách toàn diện và tích hợp
phương pháp tiếp cận. Để có hiệu quả càng tốt, nó sẽ là cần thiết cho
vấn đề bảo vệ thông tin là một phần của hệ thống phát triển
vòng đời. Trong giai đoạn đầu hoặc phân tích, bảo vệ thông tin
sẽ nhận được như phân phôi của một phân tích rủi ro, một doanh nghiệp
phân tích tác động, và một tài liệu phân loại thông tin. Ngoài ra,
bởi vì thông tin là cư dân ở tất cả các phòng ban trong toàn
doanh nghiệp, mỗi đơn vị kinh doanh nên thiết lập một cá nhân
chịu trách nhiệm về việc thực hiện một chương trình bảo vệ thông tin
để đáp ứng các nhu cầu kinh doanh cụ thể của các bộ phận.
7. Bảo vệ thông tin cần được đánh giá lại theo định kỳ. Như với
bất cứ điều gì, thời gian thay đổi nhu cầu và mục tiêu. Một thông tin tốt
chương trình bảo vệ sẽ xem xét bản thân một cách thường xuyên và
thực hiện thay đổi bất cứ nơi nào và bất cứ khi nào cần thiết. Đây là một động
AU1957_C001.fm Trang 2 Thứ hai 20 Tháng 9, 2004 3:21
Bản quyền 2005 của CRC Press, LLC. Tất cả các quyền R