ContentsSecurity Program Components

Contents

Security Program Components

Security Program Development
Security Program Components




Common scenario: a CEO and board members

are forced to look at ¡nformation security. They

hire a consultant, who tells the CEO and board

that they need a security policy and a network

assessment. The company pays for both to be

done and then believes the company is secure.

However, this ¡s a false sense of security,

because the company still has no security

program


Security Program Components

The company then hires a security officer

(CSOICISO), delegates him or her all security

activities and responsibilities, but no real

authority or budget (sacrificial lamb)

CISO responsibilities:

strong understanding of the business

processes and objectives for the organization

communicate to senior management about the

risks

law and regulations


Security Program Components

CISO responsibilities:

report to management through meetings and

documentation

develop and provide security-awareness

programs

° develop the budget for activities

develop policies, procedures, baselines,

standards, and guidelines

evaluate of responses to security incidents

develop a security compliance program and

establishing security metrics


Security Program Development

Plan and organize

Implement

Operate and maintain

Monitor and evaluate


Security Program Development

Plan and organize

Establish management commitment and a

steering committee.

Assess business drivers.

Carry out a threat profile on the organization

and a risk assessment.

Develop security architectures at an

organizational, application, network, and

component level.

Identify solutions per architecture level.

Obtain management approval to move forward.


Security Program Development

Plan and organize

Establish management commitment and a

steering committee.

Assess business drivers.

Carry out a threat profile on the organization

and a risk assessment.

Develop security architectures at an

organizational, application, network, and

component level.

Identify solutions per architecture level.

Obtain management approval to move forward.


Security Program Development

Implement

Assign roles and responsibilities.

Develop and implement security policies,

procedures, standards, baselines, and

guidelines.

° Identify sensitive data at rest and ¡n transit.


Security Program Development

Implement

° Implement Blueprints:

Asset identification and management

Risk and vulnerability management

Compliance

Identity management and access control

Change control

Software development life cycle

Business continuity planning

Awareness and training

Physical security

Incident response


Security Program Development

Implement

° Implement Blueprints:

Asset identification and management

Risk and vulnerability management

Compliance

Identity management and access control

Change control

Software development life cycle

Business continuity planning

Awareness and training

Physical security

Incident response


Security Program Development

Operate and Maintain

Follow procedures to ensure all baselines are

met in each implemented blueprint.

Carry out internal and external audits.

Carry out tasks outlined per blueprint.

Manage service level agreements per blueprint.




Security Program Development

Operate and Maintain

Follow procedures to ensure all baselines are

met in each implemented blueprint.

Carry out internal and external audits.

Carry out tasks outlined per blueprint.

Manage service level agreements per blueprint.



Security Program Development

Monitor and Evaluate

u Review logs, audit results, collected metric

values, and SLAs per blueprint.

Assess goal accomplishments per blueprint.

Carry out quarterly meetings with steering

committees.

° Develop improvement steps and integrate into

the Plan and Organize phase.

Kết quả (Việt) 1:

Nội dungBảo mật chương trình thành phầnBảo mật chương trình phát triểnBảo mật chương trình thành phầnKịch bản phổ biến: một tổng giám đốc và thành viên hội đồngbuộc phải xem xét an ninh ¡nformation. Họthuê một nhà tư vấn, những người nói với tổng giám đốc và hội đồng quản trịrằng họ cần một chính sách bảo mật và mạngđánh giá. Công ty trả tiền cho cả hai phảithực hiện và sau đó tin rằng công ty là an toàn.Tuy nhiên, này ¡s một cảm giác sai về bảo mật,bởi vì công ty vẫn còn có không có an ninhchương trìnhBảo mật chương trình thành phầnCông ty sau đó thuê một sĩ quan an ninh(CSOICISO), đại biểu Anh ta hay của cô bảo mật tất cảhoạt động và trách nhiệm, nhưng không có bấtthẩm quyền hoặc ngân sách (hiến tế cừu)CISO trách nhiệm:sự hiểu biết mạnh mẽ của doanh nghiệpquy trình và mục tiêu cho tổ chứcliên lạc với quản lý cấp cao về cácrủi ropháp luật và quy địnhBảo mật chương trình thành phầnCISO trách nhiệm:báo cáo để quản lý thông qua các cuộc họp vàtài liệuphát triển và cung cấp an ninh nâng cao nhận thứcchương trình° phát triển ngân sách cho các hoạt độngphát triển chính sách, thủ tục, đường cơ sở,tiêu chuẩn, và hướng dẫnđánh giá các phản ứng để sự cố an ninhphát triển một chương trình tuân thủ an ninh vàthiết lập bảo mật số liệuBảo mật chương trình phát triểnLập kế hoạch và tổ chứcThực hiệnHoạt động và duy trìGiám sát và đánh giáBảo mật chương trình phát triểnLập kế hoạch và tổ chứcThiết lập cam kết quản lý và mộtBan chỉ đạo.Đánh giá trình điều khiển kinh doanh.Thực hiện một cấu hình mối đe dọa trên tổ chứcvà một đánh giá rủi ro.Phát triển kiến trúc an ninh tại mộttổ chức, ứng dụng, mạng, vàthành phần cấp.Xác định các giải pháp cho mỗi cấp độ kiến trúc.Có được phê duyệt quản lý để di chuyển về phía trước.Bảo mật chương trình phát triểnLập kế hoạch và tổ chứcThiết lập cam kết quản lý và mộtBan chỉ đạo.Đánh giá trình điều khiển kinh doanh.Thực hiện một cấu hình mối đe dọa trên tổ chứcvà một đánh giá rủi ro.Phát triển kiến trúc an ninh tại mộttổ chức, ứng dụng, mạng, vàthành phần cấp.Xác định các giải pháp cho mỗi cấp độ kiến trúc.Có được phê duyệt quản lý để di chuyển về phía trước.Bảo mật chương trình phát triểnThực hiệnGán vai trò và trách nhiệm.Phát triển và thực hiện các chính sách bảo mật,thủ tục, tiêu chuẩn, đường cơ sở, vàhướng dẫn.° Xác định các dữ liệu nhạy cảm lúc nghỉ ngơi và ¡n quá cảnh.Bảo mật chương trình phát triểnThực hiện° Thực hiện kế hoạch chi tiết:Nhận dạng tài sản và quản lýQuản lý rủi ro và dễ bị tổn thươngTuân thủKiểm soát truy cập và quản lý danh tínhThay đổi quyền kiểm soátVòng đời phát triển phần mềmKế hoạch kinh doanh liên tụcNâng cao nhận thức và đào tạoBảo mật vật lýPhản ứng sự cốBảo mật chương trình phát triểnThực hiện° Thực hiện kế hoạch chi tiết:Nhận dạng tài sản và quản lýQuản lý rủi ro và dễ bị tổn thươngTuân thủKiểm soát truy cập và quản lý danh tínhThay đổi quyền kiểm soátVòng đời phát triển phần mềmKế hoạch kinh doanh liên tụcNâng cao nhận thức và đào tạoBảo mật vật lýPhản ứng sự cốBảo mật chương trình phát triểnHoạt động và duy trìLàm theo các thủ tục để đảm bảo tất cả các đường cơ sởgặp trong mỗi kế hoạch triển khai thực hiện.Thực hiện kiểm toán nội bộ và bên ngoài.Thực hiện nhiệm vụ vạch ra một kế hoạch chi tiết.Quản lý các thỏa thuận cấp dịch vụ cho một kế hoạch chi tiết.Bảo mật chương trình phát triểnHoạt động và duy trìLàm theo các thủ tục để đảm bảo tất cả các đường cơ sởgặp trong mỗi kế hoạch triển khai thực hiện.Thực hiện kiểm toán nội bộ và bên ngoài.Thực hiện nhiệm vụ vạch ra một kế hoạch chi tiết.Quản lý các thỏa thuận cấp dịch vụ cho một kế hoạch chi tiết.Bảo mật chương trình phát triểnGiám sát và đánh giáu xem xét Nhật ký, kiểm toán kết quả, thu thập số liệugiá trị, và SLAs một kế hoạch chi tiết.Đánh giá mục tiêu thành tựu cho một kế hoạch chi tiết.Thực hiện các cuộc họp hàng quý với chỉ đạoỦy ban.° Phát triển cải tiến bước và tích hợp vàogiai đoạn kế hoạch và tổ chức.

Kết quả (Việt) 2:

Nội dung Chương trình An ninh Components Security Development Program Chương trình An ninh Linh kiện kịch bản thông thường: một giám đốc điều hành và hội đồng thành viên buộc phải nhìn vào ¡thông tin chảy an ninh. Họ thuê một nhà tư vấn, người đã nói với các giám đốc điều hành và hội đồng quản trị mà họ cần có một chính sách an ninh và một mạng lưới giám định. Công ty trả cho cả hai được thực hiện và sau đó tin rằng công ty là an toàn. Tuy nhiên, điều này ¡sa cảm giác an toàn giả tạo, bởi vì công ty vẫn không có bảo mật chương trình Chương trình An ninh Linh kiện Công ty sau đó đã thuê một nhân viên an ninh (CSOICISO), các đại biểu anh mình bảo đảm tất cả các hoạt động và trách nhiệm, nhưng không có thực quyền hoặc ngân sách (con chiên hiến tế) trách nhiệm CISO: sự hiểu biết mạnh mẽ của các doanh nghiệp quy trình và mục tiêu cho tổ chức giao tiếp với quản lý cấp trên về các rủi ro pháp luật và các quy định Chương trình An ninh thành phần trách nhiệm CISO: báo cáo quản lý thông qua các cuộc họp và tài liệu hướng dẫn phát triển và cung cấp bảo mật cao nhận thức các chương trình phát triển ° ngân sách cho các hoạt động phát triển các chính sách, thủ tục, cơ sở, tiêu chuẩn, hướng dẫn và đánh giá các phản ứng với các sự cố an ninh phát triển một chương trình tuân thủ an ninh và bảo mật số liệu xây dựng Phát triển Chương trình An ninh Kế hoạch và tổ chức Thực hiện vận hành và duy trì giám sát và đánh giá phát triển Chương trình An ninh Kế hoạch và tổ chức lập cam kết quản lý và một ban chỉ đạo. Đánh giá các điều khiển kinh doanh. Thực hiện một hồ sơ mối đe dọa về tổ chức và đánh giá rủi ro. Phát triển kiến trúc an ninh tại một tổ chức, ứng dụng, mạng, và thành phần cấp. Xác định các giải pháp cho mỗi cấp độ kiến trúc. Có được chính quản lý để di chuyển về phía trước. Phát triển Chương trình An ninh Kế hoạch và tổ chức lập cam kết quản lý và một ban chỉ đạo. Đánh giá các điều khiển kinh doanh. Thực hiện một hồ sơ mối đe dọa về tổ chức và đánh giá rủi ro. Phát triển kiến trúc an ninh tại một tổ chức, ứng dụng, mạng, và các thành phần cấp. Xác định các giải pháp cho mỗi cấp độ kiến trúc. Có được chính quản lý để di chuyển về phía trước. Phát triển Chương trình An ninh Thực hiện vai trò và trách nhiệm Assign. Xây dựng và thực hiện chính sách bảo mật, thủ tục, tiêu chuẩn, đường cơ sở, và hướng dẫn. ° Xác định các dữ liệu nhạy cảm ở phần còn lại và ¡n quá cảnh. Phát triển Chương trình An ninh Thực hiện ° Thực hiện Blueprints: xác định tài sản và quản lý rủi ro và quản lý rủi ro tuân thủ Nhận dạng quản lý và kiểm soát truy cập Thay đổi điều khiển phát triển phần mềm chu kỳ cuộc sống kinh doanh liên tục lập kế hoạch nâng cao nhận thức và đào tạo an ninh vật lý sự cố phản ứng Chương trình An ninh Phát triển Thực hiện ° Thực hiện Blueprints: xác định tài sản và quản lý rủi ro và quản lý rủi ro tuân thủ Nhận dạng quản lý và kiểm soát truy cập Thay đổi điều khiển phát triển phần mềm chu kỳ cuộc sống kinh doanh liên tục lập kế hoạch nâng cao nhận thức và đào tạo an ninh vật lý Incident Response Security Development Program Vận hành và Bảo trì thủ tục Follow để đảm bảo tất cả các đường cơ sở đang gặp trong mỗi kế hoạch chi tiết thực hiện. Thực hiện kiểm toán nội bộ và bên ngoài. Thực hiện nhiệm vụ vạch ra kế hoạch chi tiết cho mỗi. Quản lý các thỏa thuận cấp độ dịch vụ cho mỗi kế hoạch chi tiết. Phát triển Chương trình An ninh Vận hành và Bảo trì thủ tục Follow để đảm bảo tất cả các đường cơ sở được gặp nhau trong mỗi kế hoạch chi tiết thực hiện. Tiến hành nội bộ và bên ngoài kiểm toán. Thực hiện nhiệm vụ vạch ra kế hoạch chi tiết cho mỗi. Quản lý các thỏa thuận cấp độ dịch vụ cho mỗi kế hoạch chi tiết. Chương trình An ninh Phát triển Monitor và Đánh giá u Xem lại các bản ghi, kết quả kiểm toán, số liệu thu thập được các giá trị, và SLAs mỗi kế hoạch chi tiết. Đánh giá những thành tựu mục tiêu cho mỗi kế hoạch chi tiết. Tiến hành các cuộc họp hàng quý với các tay lái ủy ban. ° Xây bước cải tiến và tích hợp vào các kế hoạch và Tổ chức các pha.