3.2.2. Information Security An orga

3.2.2. Information Security
An organisationally dispersed activity, this deals with the actual information assets
of the organisation, in whatever form they are kept (paper or electronic) and wherever
th ey are kept (archives, the computer “cloud”, an outsourcing company, an
employee’s home, etc.).
A requirement for confidentiality implies that the “owner” or “custodian” of the
information is the only party with the necessary knowledge to define what should be
confidential and under what conditions. The process for doing this is called Data
Classification.
There are many ways of classifying data and organisations have their own criteria
for doing so. This is fine, as long as these criteria are applied consistently and
Information security for non-technical managers
4
systematically. One “easy” (= lazy) way is to say: “Everything is confidential” and
accessible only to those specifically authorized to access a specific item. This may
sound tempting but the amount of data held by organisations is huge: intellectual
property, commercial, operational, legal, financial, HR, procurement and much
more…. In a large organisation, assigning access rights to individuals and maintaining
them as they change jobs is unrealistic.
At the other extreme, there are those who say “we are proud of our transparency
and have nothing to hide, so don’t classify anything”. This is naïve. Every
organisation, however simple or small has data it should not make public, for example
the address and bank information of an employee (for privacy reasons), details of
commercial proposals during a bidding process (commercially sensitive), valuable
proprietary information, and more.
There are several possible classification categories between “Top Secret” and
“Public”, such as Restricted to (a defined group), Embargoed until (a given date), etc.
Each category clearly defined and supported by clear rules. The right balance between
restrictions and openness may not be obvious but, without it, the organisation is either
tied up in knots or exposed.
There is an additional managerial challenge: every part of the organisation relies on
specific computer networks and applications. The management of the specific
business process and its tools needed to support them are accountable for ensuring that
the rights of individuals accessing these systems or “permissions” are consistent with
their roles and responsibilities.
For example, a bank employee working in a provincial branch would have no
reason to access data on clients at other locations. If access is enabled there is a need
to define that define what the person is allowed to do with the data (read only,
download, update, create, delete).
This is an onerous task which when not appropriately managed, may result in
people accumulating access rights (usually referred to as “permissions”) as they move
through the organisation as a result of promotion or reorganisation.
Information security for non-technical managers
5
In practice, it is hard to create a detailed and complete list of permissions when one
does not already exist. There are tools supposed to facilitate this process. Newer
enterprise systems include tools to define Role Based Access Controls (RBAC). These
controls and any temporary exceptions to them, , require management attention and
regular validation.

Kết quả (Việt) 1:

3.2.2. thông tin bảo mật Một hoạt động tổ chức gồm phân tán, điều này thoả thuận với tài sản thực tế thông tin của tổ chức, trong bất cứ hình thức họ được lưu giữ (giấy hoặc điện tử) và bất cứ nơi nào th ey được lưu giữ (lưu trữ, máy tính "đám mây", một công ty gia công phần mềm, một của nhân viên nhà, vv). Một yêu cầu cho bảo mật ngụ ý rằng "chủ sở hữu" hoặc "nuôi" của các thông tin là bên duy nhất với những kiến thức cần thiết để xác định những gì cần bí mật và theo những gì tiết. Quá trình này để làm điều này được gọi là dữ liệu Phân loại. Có rất nhiều cách phân loại dữ liệu và tổ chức có tiêu chuẩn riêng của họ để làm như vậy. Điều này là tốt, miễn là các tiêu chí này được áp dụng một cách nhất quán và Bảo mật thông tin cho người quản lý kỹ thuật 4 có hệ thống. Một "dễ dàng" (= lười biếng) cách là nói: "Tất cả mọi thứ được giữ bí mật" và có thể truy cập chỉ cho những người cụ thể uỷ quyền truy cập vào một mục cụ thể. Điều này có thể âm thanh hấp dẫn, nhưng số lượng dữ liệu được tổ chức bởi các tổ chức là rất lớn: sở hữu trí tuệ bất động sản, thương mại, hoạt động, Pháp lý, tài chính, nhân sự, Mua sắm và nhiều Thêm... Trong một tổ chức lớn, cách gán quyền truy cập cho cá nhân và duy trì họ như họ thay đổi công việc là không thực tế. Ở cực khác, có là những người nói "chúng tôi rất tự hào về tính minh bạch của chúng tôi "và không có gì để giấu, để không phân loại bất cứ điều gì". Đây là ngây thơ. Mỗi tổ chức, Tuy nhiên đơn giản hoặc nhỏ có dữ liệu nó sẽ không làm cho khu vực, ví dụ thông tin địa chỉ và ngân hàng của một nhân viên (vì lý do bảo mật), chi tiết của đề xuất thương mại trong một quá trình đấu thầu (thương mại nhạy cảm), có giá trị thông tin độc quyền, và nhiều hơn nữa. Có một số có thể phân loại danh mục giữa "Top Secret" và "Công chúng", chẳng hạn như các hạn chế (một nhóm được xác định), Embargoed cho đến khi (một ngày nhất định), vv. Mỗi thể loại rõ ràng được xác định và được hỗ trợ bởi quy tắc rõ ràng. Sự cân bằng quyền giữa hạn chế và cởi mở có thể không được rõ ràng, nhưng mà không có nó, các tổ chức là một trong hai gắn lên tại hải lý một giờ hoặc tiếp xúc. Đó là một thách thức quản lý bổ sung: tất cả các phần của tổ chức dựa vào mạng máy tính cụ thể và các ứng dụng. Quản lý cụ thể quá trình kinh doanh và các công cụ cần thiết để hỗ trợ họ có trách nhiệm đảm bảo rằng các quyền truy cập vào các hệ thống hoặc "quyền" cá nhân có phù hợp với vai trò và trách nhiệm của họ. Ví dụ, một nhân viên ngân hàng làm việc tại một chi nhánh tỉnh nào không có lý do để truy cập dữ liệu trên máy sử dụng tại những nơi khác. Nếu truy cập được kích hoạt có là một nhu cầu để xác định đó xác định những gì những người được cho phép để làm với các dữ liệu (đọc chỉ, tải về, Cập Nhật, tạo, xoá). Đây là một lựa chọn hợp lý công việc mà khi không một cách thích hợp quản lý, có thể dẫn đến người tích lũy quyền truy cập (thường được gọi là "quyền") khi họ di chuyển thông qua tổ chức là kết quả của chương trình khuyến mại hoặc tái. Bảo mật thông tin cho người quản lý kỹ thuật 5 Trong thực tế, nó là khó khăn để tạo ra một danh sách chi tiết và đầy đủ của quyền khi một không đã tồn tại. Có những công cụ phải tạo thuận lợi cho quá trình này. Mới hơn Hệ thống doanh nghiệp bao gồm các công cụ để xác định vai trò dựa trên truy cập điều khiển (RBAC). Đây bất kỳ trường hợp ngoại lệ tạm thời cho họ, và kiểm soát, đòi hỏi sự chú ý quản lý và thường xuyên xác nhận.

Kết quả (Việt) 2:

3.2.2. Bảo mật thông tin
Hoạt động organisationally phân tán, này giao dịch với các tài sản thực tế các thông tin
của tổ chức, trong bất cứ hình thức mà họ đang giữ (giấy hoặc điện tử) và bất cứ nơi nào
thứ ey được lưu giữ (tài liệu lưu trữ, máy tính "đám mây", một công ty gia công phần mềm, một
nhân viên của nhà, vv).
Một yêu cầu về bảo mật có nghĩa là "chủ sở hữu" hoặc "giám sát" của
thông tin là đảng duy nhất với các kiến thức cần thiết để xác định những gì cần được
giữ bí mật và điều kiện gì. Quá trình thực hiện này được gọi là dữ liệu
phân loại.
Có rất nhiều cách để phân loại dữ liệu và các tổ chức có tiêu chí riêng của họ
để làm như vậy. Điều này là tốt, miễn là những tiêu chí được áp dụng nhất quán và
an ninh thông tin cho các nhà quản lý không kỹ thuật
4
có hệ thống. Một "dễ dàng" (= lười biếng) là cách để nói: "Tất cả mọi thứ được giữ bí mật" và
chỉ có thể để những người đặc biệt có thẩm quyền để truy cập vào một mục cụ thể. Điều này có thể
âm thanh hấp dẫn nhưng số lượng dữ liệu được tổ chức bởi các tổ chức là rất lớn: trí tuệ
tài sản, thương mại, hoạt động, pháp lý, tài chính, nhân sự, mua sắm và nhiều
hơn nữa .... Trong một tổ chức lớn, gán quyền truy cập cho các cá nhân và duy trì
cho họ khi họ thay đổi công việc là không thực tế.
Ở thái cực khác, có những người nói "chúng tôi rất tự hào về sự minh bạch của chúng tôi
và không có gì để che giấu, do đó, không phân loại bất cứ điều gì" . Đây là ngây thơ. Mỗi
tổ chức, dù đơn giản hay nhỏ có dữ liệu mà nó không nên làm cho công chúng, ví dụ như
địa chỉ và ngân hàng thông tin của một nhân viên (vì lý do riêng tư), chi tiết của
đề xuất thương mại trong quá trình đấu thầu (thương mại nhạy cảm), có giá trị
thông tin độc quyền, và nhiều hơn nữa .
Có một số loại thông tin có thể có giữa "Top Secret" và
"Public", chẳng hạn như hạn chế tới (một nhóm được xác định), cấm vận cho đến khi (một ngày nhất định), vv
Mỗi loại được xác định rõ ràng và được hỗ trợ bởi các quy tắc rõ ràng. Sự cân bằng giữa
các giới hạn và sự cởi mở có thể không được rõ ràng, nhưng không có nó, tổ chức, hoặc
là. Trói trong hải lý hoặc tiếp xúc
Có một thách thức quản lý bổ sung: mỗi phần của tổ chức dựa trên
các mạng máy tính và các ứng dụng cụ thể. Việc quản lý cụ thể
quy trình kinh doanh và các công cụ cần thiết để hỗ trợ họ đều chịu trách nhiệm đảm bảo rằng
các quyền của cá nhân truy cập vào các hệ thống hoặc "quyền" là phù hợp với
vai trò và trách nhiệm của mình.
Ví dụ, một nhân viên ngân hàng làm việc tại một chi nhánh tỉnh sẽ không có
lý do gì để truy cập vào dữ liệu về khách hàng tại các địa điểm khác. Nếu truy cập được kích hoạt có một nhu cầu
để xác định đó xác định những người được phép làm với các dữ liệu (chỉ đọc,
download, cập nhật, tạo, xóa).
Đây là một nhiệm vụ nặng nề mà khi không được quản lý một cách thích hợp, có thể dẫn đến
mọi người tích lũy quyền truy cập (thường được gọi là "quyền") khi chúng di chuyển
thông qua các tổ chức như là một kết quả của việc quảng bá, tổ chức lại.
An ninh thông tin cho các nhà quản lý không kỹ thuật
5
Trong thực tế, rất khó để tạo ra một danh sách chi tiết và đầy đủ các điều khoản khi một
không tồn tại. Có những công cụ cho là hỗ trợ quá trình này. Mới hơn
hệ thống doanh nghiệp bao gồm các công cụ để xác định vai trò Dựa Kiểm soát Truy cập (RBAC). Những
điều khiển bất kỳ ngoại lệ tạm thời cho họ,, cần chú ý quản lý và
xác nhận thường xuyên.