2.4. Certifications Information Sec

2.4. Certifications Information Security is not a regulated profession and therefore there is no requirement for any form of certification. Where information security is critical, it may be justified to Information security for non-technical managers require such certifications. These fall in three categories: organisational, professional and personal. Organizational certifications include, for example, compliance with ISO 27001 “Information Security Management System” and the U.S. Federal Information Security Management Act (FISMA). Some may be optional (ISO 27001) while others may be mandatory in specific fields of activity such as the Payment Card Industry Data Security Standard (PCI-DSS). Professional certifications are optional for individuals but employers may choose to make them a requirement. There are several certifications, such as those from the Information Systems Audit and ControlAssociation(ISACA):CISA:CertifiedInformationSecurityAuditor,CISM:CertifiedInfor mation Security Manager and CRISC: Certified in Risk and Information System Control. There are also those of the International Information Systems Security Certification Consortium (ISC2), including CISSP: Certified Information Systems Security Professional and CSSLP: Certified Secure Software Lifecycle Professional and other. In addition, vendors and training companies also offer various certifications. Figure 1: example of a personal certification The third category is equivalent to a driving license and requires individuals to complete a training or awareness programme and pass a test. Such certifications have been developed and tested over many years by several organisations. One example is the Security in the Field certificate that the United Nations requires those who travel to a field location to have. This particular certification is valid for three years after which the course and test have to be retaken.
2.5. Asymmetries and consequences It should have become apparent that, when it comes to information insecurity, attackers have clear advantages: • No need to be physically present at the location to carry out an attack: Information security for non-technical managers • There are exceptions – e.g. when the target is not connected to a global network such as the Internet. This was the case in Natanz, Iran, where the systems controlling the enrichment centrifuges were isolated from the Internet and where the malware was introduced using a flash memory device. • No penalty for failure: every interaction with the defences of a computer network or system provides the attacker with insights that help prepare subsequent attacks. • No administrative obstacles to overcome: the attackers’ key resource is knowledge and their requirements for tools and technology are modest. Their acquisition process is certain to be simpler than corporate procurement, necessitating various levels of approval. • Those responsible for maintaining the security of information assets are often handicapped by other factors, notably: • Pressure to contain or reduce costs • Inability to develop strong business cases for expenditure and resources.

Kết quả (Việt) 1:

2.4. chứng nhận thông tin bảo mật không phải là một nghề quy định và do đó không có yêu cầu cho bất kỳ hình thức chứng nhận. Nơi bảo mật thông tin là rất quan trọng, nó có thể được chứng minh để bảo mật thông tin cho người quản lý kỹ thuật yêu cầu chứng nhận như vậy. Những rơi vào ba loại: tổ chức, chuyên nghiệp và cá nhân. Chứng nhận tổ chức bao gồm, ví dụ, phù hợp với tiêu chuẩn ISO 27001 "Hệ thống quản lý an ninh thông tin" và các Hoa Kỳ Liên bang thông tin bảo mật quản lý hành động (FISMA). Một số có thể tùy chọn (ISO 27001) trong khi những người khác có thể được bắt buộc trong các lĩnh vực cụ thể của các hoạt động như các thanh toán thẻ công nghiệp dữ liệu bảo mật tiêu chuẩn (PCI DSS). Chứng chỉ chuyên nghiệp là tùy chọn cho các cá nhân nhưng nhà tuyển dụng có thể chọn để làm cho họ một yêu cầu. Có rất nhiều chứng chỉ, chẳng hạn như thông tin hệ thống kiểm toán và ControlAssociation (ISACA):CISA:CertifiedInformationSecurityAuditor, CISM:CertifiedInfor mation quản lý an ninh và CRISC: chứng nhận rủi ro và thông tin hệ thống kiểm soát. Cũng là những người của quốc tế thông tin hệ thống bảo mật chứng nhận Consortium (ISC2), trong đó CISSP: chứng nhận chuyên gia an ninh hệ thống thông tin và CSSLP: chứng nhận an toàn phần mềm vòng đời Professional và khác. Ngoài ra, nhà cung cấp và đào tạo công ty cũng cung cấp chứng nhận khác nhau. Hình 1: ví dụ về một chứng nhận cá nhân các thể loại thứ ba là tương đương với một giấy phép lái xe và yêu cầu các cá nhân để hoàn thành một chương trình đào tạo hoặc nâng cao nhận thức và vượt qua một thử nghiệm. Chứng nhận như vậy đã được phát triển và thử nghiệm trong nhiều năm qua bởi một số tổ chức. Một ví dụ là sự an toàn trong lĩnh vực chứng chỉ liên hiệp quốc đòi hỏi những người đi du lịch đến một vị trí lĩnh vực để có. Chứng nhận đặc biệt này là hợp lệ cho 3 năm sau đó các khóa học và kiểm tra có thể được tái chiếm. 2.5. không cân xứng và hậu quả nó nên đã trở nên rõ ràng rằng, khi nói đến mất an ninh thông tin, kẻ tấn công có lợi thế rõ ràng: • không cần phải thể chất hiện nay ở vị trí để thực hiện một cuộc tấn công: bảo mật thông tin cho người quản lý kỹ thuật • không là ngoại lệ-ví dụ như khi mục tiêu không kết nối với một mạng lưới toàn cầu như Internet. Đây là trường hợp ở Natanz, Iran, nơi các hệ thống kiểm soát máy ly tâm dùng làm giàu bị cô lập từ Internet và phần mềm độc hại đã được giới thiệu bằng cách sử dụng một thiết bị bộ nhớ flash. • Không có hình phạt cho sự thất bại: mỗi tương tác với các hệ thống phòng thủ của một máy tính mạng hoặc hệ thống cung cấp những kẻ tấn công với những hiểu biết giúp chuẩn cho cuộc tấn công tiếp theo. • Không có trở ngại hành chính để khắc phục: những kẻ tấn công quan trọng tài nguyên là kiến thức và yêu cầu của họ cho công cụ và công nghệ được khiêm tốn. Quá trình mua lại của họ là nhất định để đơn giản hơn công ty mua sắm, Hải các mức độ khác nhau của phê duyệt. • Những người chịu trách nhiệm cho việc duy trì tính bảo mật của thông tin tài sản thường tàn tật bởi các yếu tố khác, đáng chú ý là: • áp lực để chứa hoặc làm giảm chi phí • không có khả năng phát triển các trường hợp kinh doanh mạnh mẽ cho chi tiêu và tài nguyên.

Kết quả (Việt) 2:

2.4. Bảo mật thông tin xác nhận không phải là một nghề nghiệp quy định và do đó không có yêu cầu đối với bất kỳ hình thức xác nhận. Nơi an ninh thông tin là rất quan trọng, nó có thể được biện minh về an ninh thông tin cho các nhà quản lý không kỹ thuật đòi hỏi phải xác nhận như vậy. Những rơi vào ba loại: tổ chức, chuyên nghiệp và cá nhân. Giấy xác nhận của tổ chức bao gồm, ví dụ, phù hợp với tiêu chuẩn ISO 27001 "Hệ thống quản lý an ninh thông tin" và Đạo luật Quản lý An ninh Thông tin Liên bang Mỹ (FISMA). Một số có thể được tùy chọn (ISO 27001), trong khi những người khác có thể được bắt buộc trong các lĩnh vực cụ thể của hoạt động như thanh toán thẻ Dữ liệu công nghiệp tiêu chuẩn bảo mật (PCI-DSS). Chứng chỉ chuyên môn là tùy chọn cho các cá nhân sử dụng lao động nhưng có thể chọn để làm cho họ một yêu cầu. Có một số chứng nhận, chẳng hạn như những người từ Kiểm toán Hệ thống thông tin và ControlAssociation (ISACA): CISA: CertifiedInformationSecurityAuditor, CISM: CertifiedInfor thông Security Manager và CRISC: chứng nhận về rủi ro và hệ thống thông tin điều khiển. Ngoài ra còn có những người của Certification Consortium an ninh hệ thống thông tin quốc tế (ISC2), bao gồm CISSP: Certified Information Systems Security Professional và CSSLP: Chứng nhận an toàn phần mềm Lifecycle chuyên nghiệp và khác. Ngoài ra, các nhà cung cấp và các công ty đào tạo cũng cung cấp xác nhận khác nhau. Hình 1: Ví dụ của một chứng thực cá nhân Loại thứ ba là tương đương với một giấy phép lái xe và yêu cầu cá nhân để hoàn thành một chương trình đào tạo nâng cao nhận thức và vượt qua một bài kiểm tra. Chứng nhận như vậy đã được phát triển và thử nghiệm trong nhiều năm qua bởi một số tổ chức. Một ví dụ là an ninh trong giấy chứng nhận Dòng rằng Liên Hiệp Quốc đòi hỏi những người đi du lịch đến một địa điểm trường để có. Cấp giấy chứng nhận đặc biệt này có giá trị trong ba năm sau khi mà các khóa học và kiểm tra phải được thực hiện lại.
2.5. Bất đối xứng và hậu quả đó nên đã trở nên rõ ràng rằng, khi nói đến thông tin bất an, kẻ tấn công có lợi thế rõ ràng: • Không cần phải là chất hiện diện tại vị trí để thực hiện một cuộc tấn công: An ninh thông tin cho các nhà quản lý không kỹ thuật • Có những ngoại lệ - ví dụ như khi mục tiêu không được kết nối với một mạng lưới toàn cầu như Internet. Đây là trường hợp ở Natanz, Iran, nơi mà các hệ thống kiểm soát các máy ly tâm làm giàu được phân lập từ Internet và các phần mềm độc hại mà đã được giới thiệu cách sử dụng một thiết bị bộ nhớ flash. • Không có hình phạt cho thất bại: mọi tương tác với hệ thống phòng thủ của một mạng máy tính hoặc hệ thống cung cấp cho các kẻ tấn công với những hiểu biết đó giúp chuẩn bị các cuộc tấn công tiếp theo. • Không có trở ngại hành chính để vượt qua: tài nguyên quan trọng của kẻ tấn công là kiến thức và yêu cầu của họ cho các công cụ và công nghệ là khiêm tốn. Quá trình mua lại của họ chắc chắn sẽ được đơn giản hơn so với việc mua sắm của công ty, cần phải có mức độ khác nhau của chính. • Những người chịu trách nhiệm cho việc duy trì sự an toàn của tài sản thông tin thường bị trói tay bởi các yếu tố khác, đáng chú ý là: • Áp lực phải chứa hoặc giảm chi phí • Không có khả năng phát triển các trường hợp kinh doanh mạnh mẽ cho các chi phí và nguồn lực.