They reflect business needs rather

They reflect business needs rather than technical purity. Ideally, the
recommendations are linked to the organisation’s Business Impact Analysis and
Risk Register
• They are reached through formal established frameworks such as the Control
Objectives for Information Technology (COBIT), the General Technology Audit
Guidelines (GTAG) of the Institute of Internal Auditors and/or other guidelines.
Other valuable historical information are reports on investigations conducted after serious
security incidents. These should explain how the incident occurred and which vulnerabilities
were exploited.
All indicators that support comparison and trend analysis are valuable by definition. An
example of a useful metric would look like this:
Security awareness: % of employees that have satisfactorily completed a programme. The
definition of such a metric should be complemented with details of:
• What evidence is collected and what is the source of data
• The frequency of measurement
The portfolio of metrics should be large enough to be valuable but not so large that it
becomes a massive project in its own right and the output is too large to be manageable.
Topics that merit being supported by useful metrics should include those that support
reporting of changes and trends in:
• Policy Management review
• Implementation status of audit recommendations
• Human resources accountable for information security activities – for example:
Implementation status of Risk Register high impact mitigation measures Process
Maturity levels for information security related tasks
• Financial resources dedicated to information security activities Change and
Configuration management
• Tests of incident management and crisis management plans Extent of
implementation of Role Based Access Controls (RBAC)
7.2. Reporting information security metrics
Given that there are books dedicated to security metrics, this discussion will not go
further. The reality is that it is possible to collect huge amounts of data on information
security, most of which will not meet the characteristics listed above.

Kết quả (Việt) 1:

Họ phản ánh nhu cầu kinh doanh chứ không phải là kỹ thuật tinh khiết. Lý tưởng nhất, các khuyến nghị được liên kết với các tổ chức kinh doanh phân tích tác động và Đăng ký rủi ro • Họ đạt được thông qua khung chính thức được thành lập như bộ điều khiển Mục tiêu cho công nghệ thông tin (COBIT), tổng kiểm toán công nghệ Hướng dẫn (GTAG) của viện các kiểm toán viên nội bộ và/hoặc hướng dẫn khác. Thông tin lịch sử có giá trị khác là báo cáo về điều tra được tiến hành sau khi nghiêm trọng sự cố an ninh. Chúng cần giải thích làm thế nào sự cố xảy ra và lỗ hổng mà đã được khai thác. Tất cả các chỉ số hỗ trợ phân tích so sánh và xu hướng là có giá trị theo định nghĩa. Một Ví dụ về một số liệu hữu ích sẽ trông như thế này: Nhận thức về bảo mật: % nhân viên đáp ứng yêu cầu hoàn thành một chương trình. Các định nghĩa của một số liệu nên được bổ sung thêm chi tiết về: • Bằng chứng những gì được thu thập và những gì là nguồn gốc của dữ liệu • Tần số đo lường Danh mục đầu tư của số liệu nên đủ lớn để được có giá trị nhưng không lớn như vậy mà nó trở thành một dự án lớn ở bên phải của riêng mình và đầu ra là quá lớn để được quản lý. Chủ đề mà khen được hỗ trợ bởi số liệu hữu ích nên bao gồm những người hỗ trợ báo cáo thay đổi và các xu hướng trong: • Quản lý chính sách nhận xét • Thực hiện tình trạng của khuyến nghị kiểm toán • Nhân sự chịu trách nhiệm cho các hoạt động an ninh thông tin-ví dụ: Thực hiện tình trạng của rủi ro đăng ký giảm nhẹ tác động cao các biện pháp quá trình Kỳ hạn thanh toán mức cho bảo mật thông tin liên quan đến nhiệm vụ • Tài chính tài nguyên dành riêng cho các hoạt động an ninh thông tin biến đổi và Quản lý cấu hình • Xét nghiệm của incident management quản lý và quản lý khủng hoảng kế hoạch mức độ thực hiện của vai trò dựa trên truy cập điều khiển (RBAC) 7.2. báo cáo thông tin bảo mật số liệu Cho rằng có những cuốn sách dành riêng để bảo mật số liệu, cuộc thảo luận này sẽ không đi hơn nữa. Thực tế là nó là tốt để thu thập một lượng lớn các dữ liệu trên thông tin an ninh, hầu hết sẽ không đáp ứng các đặc tính được liệt kê ở trên.

Kết quả (Việt) 2:

Họ phản ánh nhu cầu kinh doanh chứ không phải là độ tinh khiết kỹ thuật. Lý tưởng nhất, các
kiến nghị có liên quan đến phân tích tác động kinh doanh của tổ chức và
rủi ro Đăng ký
• Họ đang đạt được thông qua các khuôn khổ thành lập chính thức như Control
Mục tiêu cho công nghệ thông tin (COBIT), công nghệ kiểm toán chung
Hướng dẫn (GTAG) của Viện Kiểm toán nội bộ và / hoặc các hướng dẫn khác.
thông tin lịch sử có giá trị khác là báo cáo về cuộc điều tra được tiến hành sau khi nghiêm trọng
sự cố an ninh. Những giải thích như thế nào nên vụ việc xảy ra và đó lỗ hổng
được khai thác.
Tất cả các chỉ số hỗ trợ so sánh và phân tích xu hướng là có giá trị theo định nghĩa. Một
ví dụ về một thước đo hữu ích sẽ trông như thế này:
nâng cao nhận thức bảo mật:% nhân viên đã hoàn thành tốt chương trình. Các
định nghĩa của một số liệu như vậy cần được bổ sung với các chi tiết về:
• Bằng chứng được thu thập và nguồn gốc của dữ liệu là gì
• Các tần số đo
các danh mục đầu tư của các số liệu cần phải đủ lớn để có giá trị nhưng không lớn đến mức nó
trở thành một đồ sộ dự án theo đúng nghĩa của nó và đầu ra là quá lớn để có thể quản lý được.
Các chủ đề có công đức được hỗ trợ bởi số liệu hữu ích nên bao gồm những hỗ trợ
báo cáo các thay đổi và xu hướng:
• Quản lý chính sách xem xét
tình trạng • Thực hiện các kiến nghị kiểm toán
• Nguồn nhân lực trách nhiệm về hoạt động an ninh thông tin - ví dụ:
tình trạng thực hiện của rủi ro Register tác động cao các biện pháp giảm thiểu trình
độ trưởng thành cho các nhiệm vụ liên quan đến an ninh thông tin
• Nguồn tài chính dành riêng cho các hoạt động an ninh thông tin Thay đổi và
quản lý cấu hình
• Các xét nghiệm của quản lý sự cố và quản lý khủng hoảng kế hoạch Mức độ
thực hiện các vai trò Điều khiển dựa Access (RBAC)
7.2. Các số liệu báo cáo an ninh thông tin
Cho rằng có những cuốn sách dành riêng cho các số liệu bảo mật, thảo luận này sẽ không đi
xa hơn. Thực tế là nó có thể thu thập một lượng lớn dữ liệu về thông tin
bảo mật, hầu hết trong số đó sẽ không đáp ứng các đặc điểm được liệt kê ở trên.