6. Other drivers of information ins

6. Other drivers of information insecurity

In this chapter we consider other factors that management should be concerned about.

Good managers remove obstacles, provide help and acknowledge effort. Well known but not always applied advice to managers (source unknown)
Maintaining good enough information security in an organisation is a complex. Many believe someone is doing this and that they don’t have any responsibility for it. This chapter explores topics that are not covered by standards, guidelines or good practices and yet, can be found (if recognised) everywhere.
When they remain unrecognised and/or nobody is accountable for them, they add to the information insecurity of the organisation.
6.1. Causes for concern

6.1.1. Internal to the organisation

Executive detachment: Good governance requires commitment and support from the top. Without it people have no choice but to guess what is expected of them and make a best effort to get things done.
At the most senior levels of any organisation, detailed knowledge is unavoidably diluted and the demands on their time are many. Getting their attention requires good communications skills, a clear business case and the ability to deliver the message in a short time.
Organisational culture and politics: A fact of life. To play the game requires knowing who has influence in the organisation and how to create a meaningful dialog with them. Failure to do this will neutralise the best efforts of those whose role is to strengthen security.
Silo mentality: Lack of cooperation between functions is not uncommon in politicised organisations. When this is entrenched, only transformational leadership can change the status quo. This is harder to achieve in large organisations than in smaller ones. From an information security perspective this means one thing: TROUBLE.
Digital Natives 4: Articles published in 2001 introduced the terms “digital native” and “digital immigrant”. Digital Natives are the generation that had the opportunity to interact with digital technologies from an early age, understand their concepts and have an intuitive approach to them. Digital natives drive the End User Revolution discussed below.
Digital immigrants retain many elements of their before-the-digital-era approach and use the digital world with some effort. These are the people who have to read manuals…





Disposal and recycling: Another governance issue relates on the retention and disposal of data to ensure that devices are not discarded containing corporate data. It is prudent to involve legal counsel before taking action and then taking appropriate steps to erase all data from such devices.
6.1.2. Funding information security expenditures

Funding information security is part of governance. Executive detachment and organisational politics can make this a controversial topic.
There are those who argue that protecting the organisation’s information requires investments. This leads to the question “what is the return on security investments?” Others argue that funding security is part of the cost of doing business and that such expenditures should be aligned with the value of the assets to be protected, in the same way as insurance premiums. Both arguments are valid and remain an unresolved semi-philosophical debate.
Funding information security covers activities in different parts of the organisation such

as:




Technical purchases for the I.T. service provider (if internal) and for assorted items across the organisation (e.g. anti-virus products, tokens for authenticating end users, equipment and software upgrades and maintenance, etc.)
Consultancy and audit services for updating information security strategy and policies, Business Impact Analyses and Risk Assessments (Chapter 8)
Training and awareness material as well as workshops and certifications

Resourcing a continuing data classification programme
Ensuring disposals are carried out without exposing the organisation’s data. Separating those activities specifically dedicated to security from other operational I.T.

activities is not easy. Notwithstanding, published evidence indicates that I.T. expenditures are typically in the order of 3 to 5% of an organisation’s total expenditures and that information security represents around 5% of this.
A Gartner Group report5 for the year 2012 shows that the average expenditure per employee per year in the U.S. was $13,600. For a working year of 220 days, the daily I.T. expenditure per employee is $62, of which about $3 are for information security. This is comparable to the price of a cup of coffee.
The relentless pressure to reduce expenditures frequently requires the financial justification of things that are not easily quantified, such as the Return on Investment (ROI) on data or of protecting reputation.





The expenditure part of an ROI analysis for information security is straightforward. Experienced practitioners know that some items can be safely left out of the calculation, e.g. the cost of procurement, maintenance fees and installation costs. The Benefits part is like a work of fiction in which it is relatively easy to come up with “good” numbers.
Risk is in the future and data to support reliable predictions is not available. This means that whatever numbers are presented as benefits cannot be validated, let alone guaranteed. These numbers are conditional on several (implicit) assumptions such as: that the product proposed works as promised by the vendor, that it has been correctly installed and configured and that those using it know what they are doing. These are not always the case.
There is also the implicit risk that the pursuit of cost savings can result in Budgetary Anorexia (or Saving Money Regardless of Cost (SMRC)) that may end up being counterproductive. Typical SMRC actions include:
Salami approvals – one at a time with a focus on cost reduction

Selection of the lowest bidder regardless – this not always a successful strategy

Deferring expenditures as in: “surely this can wait another year” Postpone recruitment as in: “work smarter, not harder”
Limited or no Segregation of Duties – an open door to incorrect or untested changes
Rigid remuneration – leading to the inability to recruit and retain the talent required.
When all of these are used consistently, it is very likely that experienced staff will look for a job elsewhere and find it as such people are in short supply.
6.1.3. The end user revolution

Digital natives have taken to recent innovations with great enthusiasm, to the extent of queuing overnight outside a store in order to buy the latest object of desire. This is fine in their private domain as individuals are free to do whatever they like and/or can afford.
These devices are finding their way into the corporate environment, as individuals feel empowered to challenge corporate standards and insist that they be allowed to use their device, service or application. This has led to the Bring Your Own Device (BYOD) movement and organisations are struggling to understand and manage the security implications of this. As BYOD continues to expand it seems that where already established it has become irreversible.





This means that people can access (and also download and store) sensitive corporate data with a device outside the organisation’s security architecture. What’s more, such a device may contain applications (Apps) unknown to the organisation. These free or low cost Apps, designed by unknown individuals and without security certification, may well include malware. To add to the pain, this corporate data may be accessed from anywhere, e.g. a coffee shop offering “free Wi-Fi” that being unencrypted allows a third party to acquire the data.
At the other extreme, tight security measures encourage digital natives to bypass the organisation’s restrictions by copying sensitive information to their accounts in the Cloud where it will be unprotected. This makes a hacker’s work so much easier…
Other new risks generated by digital natives include the use of social networking to share sensitive information with their peers. Digital natives show a much greater level of trust in people they meet online than digital immigrants. Remember the Robyn Sage story in Chapter
1?

6.2. External factors: the constantly changing landscape

There is no indication or reason to believe that the rate of innovation in information systems and technology will slow down in the foreseeable future.
6.2.1. Technology will continue to evolve

It can be expected that devices will be faster, smaller and lighter, have longer battery life and be touch- screen based. Their lifecycle from purchase to perceived obsolescence will continue to be short.
Increasingly, appliances will contain new technologies and be connected to the Internet. Many already are – in lifts, air conditioning systems, vending machines, etc. and could become targets for disruption. Future promises include cars and surgical robotic systems.
Creative people will make available new online services – the so-called Web 2.0 was a surprise to most people and services such as blogs, sharing audio and video, multi-player gaming, social networks, online auctions and so much taken for granted may well be complemented by currently unimaginable offerings.
6.2.2. Growing challenges in identity and privacy

As social animals, people want and need to interact with each other in a way that allows some measure of control. In cyberspace it is important to be able to trust the identity of individuals to prevent fraud and strengthen national security.





Organisations need to ensure that the individuals they deal with are who they say they are, and that they are authorised to do what they do. Individuals want to be trusted and need to trust organisations they interact with to safeguard their pe

Kết quả (Việt) 1:

6. các trình điều khiển của mất an ninh thông tinTrong chương này, chúng tôi xem xét các yếu tố khác quản lý cần được quan tâm về.Tốt quản lý loại bỏ những trở ngại, cung cấp giúp đỡ và ghi nhận nỗ lực. Tư vấn nổi tiếng nhưng không phải luôn luôn áp dụng cho người quản lý (không rõ nguồn gốc)Duy trì tốt đủ an ninh thông tin trong một tổ chức là một phức tạp. Nhiều người tin rằng ai đó đang làm điều này và rằng họ không có trách nhiệm về nó. Chương này khám phá các chủ đề mà không được bảo hiểm theo tiêu chuẩn, hướng dẫn hoặc thực hành tốt và được nêu ra, có thể được tìm thấy (nếu được công nhận) ở khắp mọi nơi.Khi họ vẫn Cecil và/hoặc không ai có trách nhiệm cho họ, họ thêm vào sự mất an ninh thông tin của tổ chức.6.1. nguyên nhân cho mối quan tâm6.1.1. nội bộ để tổ chứcĐiều hành đội: quản trị tốt đòi hỏi phải cam kết và hỗ trợ từ đầu. Nếu không có nó người có không có sự lựa chọn nhưng để đoán những gì được mong đợi của họ và làm cho một nỗ lực tốt nhất để có được việc làm.Ở mức cao nhất của bất kỳ tổ chức, chi tiết kiến thức unavoidably pha loãng và nhu cầu về thời gian của họ rất nhiều. Nhận được sự chú ý của họ đòi hỏi kỹ năng giao tiếp tốt, một trường hợp rõ ràng kinh doanh và khả năng để gửi thư trong một thời gian ngắn.Tổ chức văn hóa và chính trị: một thực tế của cuộc sống. Để chơi các trò chơi đòi hỏi phải biết những người có ảnh hưởng trong tổ chức và làm thế nào để tạo một hộp thoại có ý nghĩa với họ. Nếu không làm điều này sẽ neutralise những nỗ lực tốt nhất của những người có vai trò là tăng cường an ninh.Silo tâm lý: thiếu hợp tác giữa chức năng không phải là không phổ biến trong tổ chức politicised. Khi điều này cứ điểm, chỉ có lãnh đạo transformational có thể thay đổi hiện trạng. Điều này là khó khăn hơn để đạt được trong tổ chức lớn hơn trong những cái nhỏ hơn. Từ một góc độ an ninh thông tin, điều này có nghĩa một điều: rắc rối.Kỹ thuật số người bản địa 4: Bài báo xuất bản vào năm 2001 đưa ra các điều khoản "kỹ thuật số gốc" và "kỹ thuật số người nhập cư". Kỹ thuật số người bản địa là các thế hệ có cơ hội để tương tác với các công nghệ kỹ thuật số từ khi còn nhỏ, hiểu khái niệm của họ và có một cách tiếp cận trực quan với họ. Kỹ thuật số người bản địa ổ đĩa cuộc cách mạng người dùng cuối được thảo luận dưới đây.Kỹ thuật số người nhập cư giữ lại nhiều yếu tố của phương pháp tiếp cận trước khi-the-kỹ thuật số-kỷ nguyên của họ và sử dụng trên thế giới kỹ thuật số với một số nỗ lực. Đây là những người phải đọc hướng dẫn sử dụng... Xử lý và tái chế: một quản trị vấn đề liên quan về việc lưu giữ và xử lý dữ liệu để đảm bảo rằng thiết không loại bỏ chứa dữ liệu công ty. Nó là thận trọng để liên quan đến luật sư trước khi thực hiện hành động và sau đó tiến hành các bước thích hợp để xóa tất cả dữ liệu từ thiết bị như vậy.6.1.2. thông tin bảo mật chi phí tài trợTài trợ thông tin an ninh là một phần của quản trị. Điều hành đội và tổ chức chính trị có thể thực hiện điều này một chủ đề gây tranh cãi.Đó là những người tranh luận rằng việc bảo vệ thông tin của tổ chức yêu cầu đầu tư. Điều này dẫn đến câu hỏi "lợi tức đầu tư bảo mật là gì?" Những người khác cho rằng tài trợ an ninh là một phần của chi phí kinh doanh và các khoản chi nên được liên kết với giá trị tài sản được bảo vệ, trong cùng một cách với phí bảo hiểm. Cả hai đối số hợp lệ và vẫn còn một cuộc tranh luận triết học bán chưa được giải quyết.Tài trợ thông tin bảo mật bao gồm các hoạt động trong các bộ phận khác nhau của tổ chức như vậy như: Mua hàng kỹ thuật cho các nhà cung cấp dịch vụ CNTT (nếu nội bộ) và cho các mặt hàng các loại trên toàn tổ chức (ví dụ: sản phẩm chống vi-rút, thẻ cho cá người dùng cuối, thiết bị và phần mềm nâng cấp và bảo trì, vv)Dịch vụ tư vấn và kiểm toán cho việc cập nhật thông tin an ninh chiến lược và chính sách, kinh doanh tác động phân tích và đánh giá rủi ro (chương 8)Tài liệu đào tạo và nâng cao nhận thức cũng như hội thảo và chứng nhậnResourcing một chương trình tiếp tục phân loại dữ liệuBảo đảm disposals được thực hiện mà không lộ dữ liệu của tổ chức. Tách các hoạt động đặc biệt dành riêng để bảo mật từ hoạt động CNTT hoạt động không phải là dễ dàng. Tuy nhiên, được công bố bằng chứng cho thấy rằng chi phí CNTT thường trong thứ tự của 3-5% của một tổ chức tất cả chi phí và rằng thông tin bảo mật chiếm khoảng 5% của điều này.Một report5 Gartner nhóm cho năm 2012 cho thấy rằng chi phí trung bình mỗi nhân viên mỗi năm tại Hoa Kỳ là $13,600. Đối với một năm làm việc ngày 220, chi phí CNTT hàng ngày cho mỗi nhân viên là $62, trong đó khoảng $3 cho bảo mật thông tin. Đây là so sánh với mức giá của một tách cà phê.Áp lực không ngừng để giảm chi phí thường xuyên đòi hỏi sự biện minh tài chính điều đó không dễ dàng định lượng, chẳng hạn như lợi tức đầu tư (ROI) trên dữ liệu hoặc bảo vệ danh tiếng. Một phần chi tiêu của phân tích tỷ lệ hoàn vốn cho bảo mật thông tin là đơn giản. Học viên có kinh nghiệm biết rằng một số mặt hàng một cách an toàn có thể còn lại ra khỏi tính toán, ví dụ như các chi phí mua sắm, lệ phí bảo trì và chi phí lắp đặt. Phần lợi ích là giống như một tác phẩm của tiểu thuyết mà nó là tương đối dễ dàng để đi lên với số lượng "tốt".Nguy cơ là trong tương lai và các dữ liệu để hỗ trợ các dự báo đáng tin cậy là không có sẵn. Điều này có nghĩa rằng bất kỳ số điện thoại được trình bày như lợi ích không thể được xác nhận, hãy để một mình đảm bảo. Những con số này đang có điều kiện vào nhiều giả định (tiềm ẩn) chẳng hạn như: các sản phẩm đề nghị làm việc như đã hứa của các nhà cung cấp, nó đã được một cách chính xác cài đặt và cấu hình và rằng những người sử dụng nó biết những gì họ đang làm. Đây là không luôn luôn là trường hợp.Chỗ ở này cũng có nguy cơ tiềm ẩn theo đuổi tiết kiệm chi phí có thể dẫn đến chứng biếng ăn ngân sách (hoặc tiết kiệm tiền bất kể chi phí (SMRC)) mà có thể sẽ chỉ được phản tác. Điển hình SMRC hành động bao gồm:Xúc xích ý chấp thuận-cùng một lúc với trọng tâm là giảm chi phíLựa chọn của người trả giá thấp nhất bất kể-điều này không phải luôn luôn là một chiến lược thành côngBôùt chi phí như: "chắc chắn điều này có thể chờ đợi một năm" hoãn tuyển dụng như: "làm việc thông minh hơn, không khó khăn hơn"Hạn chế hoặc không có sự phân biệt nhiệm vụ-một cánh cửa mở để thay đổi không chính xác hoặc chưa được kiểm traThù lao cứng nhắc-dẫn đến không có khả năng tuyển dụng và giữ lại tài năng yêu cầu.Khi tất cả trong số này được sử dụng một cách nhất quán, nó là rất có khả năng rằng các nhân viên có kinh nghiệm sẽ tìm kiếm một công việc ở nơi khác và tìm thấy nó như vậy người trong ngắn hạn là cung cấp.6.1.3. cuộc cách mạng người dùng cuốiKỹ thuật số người bản địa đã thực hiện các đổi mới tại với sự nhiệt tình, đến mức xếp hàng qua đêm bên ngoài một cửa hàng để mua đối tượng mới nhất của mong muốn. Điều này là tốt trong tên miền riêng của mình là cá nhân được tự do để làm bất cứ điều gì họ thích và/hoặc có thể đủ khả năng.Các thiết bị này đang tìm cách của họ vào môi trường công ty, như cá nhân cảm thấy quyền thách thức doanh nghiệp tiêu chuẩn và nhấn mạnh rằng họ được phép sử dụng thiết bị, Dịch vụ hoặc ứng dụng của họ. Điều này đã dẫn đến sự chuyển động mang lại cho bạn của riêng thiết bị (BYOD) và các tổ chức đang đấu tranh để hiểu và quản lý các tác động an ninh này. Như BYOD tiếp tục mở rộng nó có vẻ như là nơi đã thiết lập nó đã trở thành không thể đảo ngược. Điều này có nghĩa rằng mọi người có thể truy cập (và cũng tải về và lưu trữ) dữ liệu công ty nhạy cảm với một thiết bị bên ngoài kiến trúc an ninh của tổ chức. Hơn nữa, các thiết bị có thể chứa ứng dụng (ứng dụng) không rõ cho tổ chức. Các ứng dụng miễn phí hoặc chi phí thấp, được thiết kế bởi các cá nhân không rõ và không có chứng nhận an ninh, cũng có thể bao gồm phần mềm độc hại. Để thêm vào nỗi đau, dữ liệu công ty này có thể được truy cập từ bất cứ nơi nào, ví dụ như một cửa hàng cà phê cung cấp "miễn phí Wi-Fi" đó unencrypted được cho phép một bên thứ ba để có được dữ liệu.Ở cực khác, các biện pháp an ninh chặt chẽ khuyến khích kỹ thuật số người bản xứ để bỏ qua giới hạn của tổ chức bằng cách sao chép thông tin nhạy cảm để tài khoản của họ trong các đám mây, nơi nó sẽ không được bảo vệ. Điều này làm cho một hacker công việc dễ dàng hơn nhiều...Các rủi ro mới được tạo ra bởi người bản địa kỹ thuật số bao gồm việc sử dụng các mạng xã hội để chia sẻ thông tin nhạy cảm với đồng nghiệp của họ. Kỹ thuật số người bản địa Hiển thị một mức độ lớn hơn nhiều của niềm tin ở những người họ gặp gỡ trực tuyến so với kỹ thuật số người nhập cư. Nhớ câu chuyện Robyn Sage trong chương1?6.2. bên ngoài các yếu tố: phong cảnh liên tục thay đổiKhông có không có dấu hiệu hoặc lý do để tin rằng tỷ lệ của sự đổi mới trong hệ thống thông tin và công nghệ sẽ chậm lại trong tương lai gần.6.2.1. công nghệ sẽ tiếp tục phát triểnNó có thể được dự kiến rằng thiết bị sẽ được nhanh hơn, nhỏ hơn và nhẹ hơn, có tuổi thọ pin lâu hơn và là dựa trên màn hình cảm ứng. Vòng đời của họ từ mua để cảm nhận lỗi sẽ tiếp tục được ngắn.Ngày càng nhiều, thiết bị gia dụng sẽ bao gồm công nghệ mới và được kết nối với Internet. Nhiều người đã-trong Thang máy, Hệ thống điều hòa không khí, máy bán hàng tự, vv và có thể trở thành mục tiêu cho sự phá vỡ. Lời hứa hẹn trong tương lai bao gồm xe ô tô và phẫu thuật hệ thống robot.Những người sáng tạo sẽ làm cho có sẵn dịch vụ trực tuyến mới-cái gọi là Web 2.0 là một bất ngờ cho hầu hết người dân và các dịch vụ như blog, chia sẻ âm thanh và video, nhiều người chơi Game, mạng xã hội, đấu giá trực tuyến và rất nhiều thực hiện được cấp có thể cũng được bổ sung bởi dịch vụ hiện nay không thể tưởng tượng.6.2.2. phát triển các thách thức trong danh tính và bảo mậtNhư là động vật xã hội, những người muốn và cần phải tương tác với nhau trong một cách mà cho phép một số biện pháp kiểm soát. Trong không gian mạng là quan trọng để có thể tin tưởng danh tính của cá nhân để ngăn chặn gian lận và tăng cường an ninh quốc gia. Tổ chức cần phải đảm bảo rằng các cá nhân mà họ đối phó với là những người họ nói họ là, và rằng họ được cho phép để làm những gì họ làm. Cá nhân muốn có đáng tin cậy và cần phải tin tưởng tổ chức họ tương tác với bảo vệ của pe

Kết quả (Việt) 2:

6. trình điều khiển khác của thông tin bất an Trong chương này chúng ta xem xét các yếu tố khác mà quản lý cần được quan tâm. Nhà quản lý tốt những vướng mắc, trợ giúp và thừa nhận nỗ lực. Cũng được biết đến nhưng không phải lúc nào cũng áp dụng lời khuyên cho các nhà quản lý (không rõ nguồn gốc) Duy trì tốt đủ an ninh thông tin trong một tổ chức được một phức tạp. Nhiều người tin rằng một người nào đó làm điều này và rằng họ không có bất kỳ trách nhiệm về nó. Chương này khám phá các chủ đề mà không được bao phủ bởi các tiêu chuẩn, hướng dẫn hay thực hành tốt, nhưng, có thể được tìm thấy (nếu được công nhận) ở khắp mọi nơi. Khi họ vẫn không được công nhận và / hoặc không ai chịu trách nhiệm cho họ, họ thêm vào mất an ninh thông tin của tổ chức. 6.1. Nguyên nhân cho mối quan tâm 6.1.1. Nội bộ để tổ chức điều hành đội: Quản trị tốt đòi hỏi sự cam kết và hỗ trợ từ phía trên. Nếu không có nó người ta không có sự lựa chọn nhưng để đoán những gì được mong đợi của họ và cố gắng hết sức để có được những điều thực hiện. Ở cấp cao nhất của bất kỳ tổ chức, kiến thức chi tiết là không thể tránh được pha loãng và các nhu cầu về thời gian của họ rất nhiều. Được sự quan tâm của họ đòi hỏi kỹ năng giao tiếp tốt, một trường hợp kinh doanh rõ ràng và khả năng để cung cấp các tin nhắn trong một thời gian ngắn. Văn hóa tổ chức và chính trị: Một thực tế của cuộc sống. Để chơi các trò chơi đòi hỏi phải biết người có ảnh hưởng trong tổ chức và làm thế nào để tạo ra một hộp thoại có ý nghĩa với họ. Nếu không làm điều này sẽ vô hiệu hóa những nỗ lực của những người có vai trò là để tăng cường an ninh. Tâm lý Silo: Thiếu sự hợp tác giữa các chức năng không phải là hiếm trong các tổ chức chính trị. Khi điều này được cố thủ, chỉ có lãnh đạo chuyển đổi có thể thay đổi hiện trạng. Đây là khó khăn hơn để đạt được trong các tổ chức lớn hơn so với những cái nhỏ hơn. Từ một góc độ an ninh thông tin này có nghĩa là một điều:. TROUBLE Digital Natives 4: Các bài viết được xuất bản vào năm 2001 giới thiệu các thuật ngữ "kỹ thuật số bản địa" và "nhập cư kỹ thuật số". Natives kỹ thuật số là thế hệ đó đã có những cơ hội để tương tác với các công nghệ kỹ thuật số từ rất sớm, hiểu khái niệm của họ và có một cách tiếp cận trực quan với họ. Người bản địa kỹ thuật số lái xe Cách mạng tài End thảo luận dưới đây. Nhập cư Digital giữ được nhiều yếu tố của phương pháp tiếp cận trước-the-digital-kỷ nguyên của họ và sử dụng thế giới kỹ thuật số với một số nỗ lực. Đây là những người phải đọc hướng dẫn sử dụng ... Xử lý và tái chế: Một vấn đề quản trị liên quan về việc lưu giữ và xử lý dữ liệu để đảm bảo rằng các thiết bị không được loại bỏ có chứa dữ liệu công ty. Nó là khôn ngoan để tham gia tư vấn pháp lý trước khi hành động và sau đó thực hiện các bước thích hợp để xóa tất cả các dữ liệu từ các thiết bị như vậy. 6.1.2. Tài trợ cho thông tin chi an ninh tài trợ bảo mật thông tin là một phần của quản trị. Đội điều hành và tổ chức chính trị có thể thực hiện điều này một chủ đề gây tranh cãi. Có những người cho rằng bảo vệ thông tin của tổ chức đòi hỏi đầu tư. Điều này dẫn đến câu hỏi "sự trở lại vào đầu tư chứng khoán là gì?" Những người khác cho rằng an ninh tài trợ là một phần của chi phí kinh doanh và các khoản chi tiêu như vậy cần được gắn kết với các giá trị của tài sản được bảo vệ, trong cùng một cách như phí bảo hiểm. Cả hai đối số có giá trị và vẫn là một semi-triết học tranh luận chưa được giải quyết. Kinh phí an ninh thông tin bao gồm các hoạt động ở các bộ phận khác nhau của tổ chức chẳng hạn như: mua hàng kỹ thuật cho các nhà cung cấp dịch vụ CNTT (nếu nội bộ) và các mặt hàng các loại trên toàn tổ chức (ví dụ như chống virus sản phẩm, thẻ để xác thực người dùng cuối, thiết bị và phần mềm nâng cấp và bảo trì, vv) Tư vấn và dịch vụ kiểm toán cho việc cập nhật chiến lược an ninh thông tin và các chính sách, phân tích tác động kinh doanh và đánh giá rủi ro (Chương 8) Đào tạo và các tài liệu nhận thức cũng như các hội thảo và các chứng chỉ resourcing một chương trình phân loại dữ liệu liên tục Đảm bảo thanh lý được thực hiện mà không lộ dữ liệu của tổ chức. Tách những hoạt động đặc biệt dành riêng cho bảo mật CNTT từ hoạt động khác hoạt động là không dễ dàng. Mặc dù vậy, bằng chứng được công bố chỉ ra rằng chi tiêu IT thường theo thứ tự 3-5% tổng chi tiêu của một tổ chức và an ninh thông tin chiếm khoảng 5% trong số này. Một report5 Gartner Group cho năm 2012 cho thấy rằng chi phí trung bình cho mỗi nhân viên mỗi năm tại Mỹ là 13.600 $. Cho một năm làm việc 220 ngày, chi tiêu CNTT hàng ngày cho mỗi nhân viên là $ 62, trong đó có khoảng $ 3 là để bảo mật thông tin. Đây là so sánh với giá của một tách cà phê. Những áp lực không ngừng để giảm chi thường xuyên đòi hỏi sự biện minh tài chính của những điều không dễ dàng định lượng, chẳng hạn như lợi nhuận trên đầu tư (ROI) trên dữ liệu hoặc bảo vệ danh tiếng. Phần chi tiêu của một phân tích ROI cho an ninh thông tin là đơn giản. Học viên có kinh nghiệm biết rằng một số mặt hàng có thể bỏ ra của phép tính, ví dụ như chi phí mua sắm, chi phí bảo trì và chi phí lắp đặt. Phần lợi ích giống như một tác phẩm hư cấu, trong đó nó là tương đối dễ dàng để đến với những con số "tốt". Rủi ro là trong tương lai và dữ liệu để hỗ trợ những dự đoán đáng tin cậy là không có sẵn. Điều này có nghĩa rằng bất cứ con số được trình bày như là những lợi ích không thể được xác nhận, hãy để một mình đảm bảo. Những con số này có điều kiện về nhiều (implicit) giả định như: các sản phẩm đề nghị công trình như đã cam kết bởi các nhà cung cấp, mà nó đã được cài đặt một cách chính xác và cấu hình và rằng những người sử dụng nó biết những gì họ đang làm. Đây không phải là luôn luôn như vậy. Ngoài ra còn có các nguy cơ tiềm ẩn rằng việc theo đuổi tiết kiệm chi phí có thể dẫn đến ngân sách biếng ăn (hoặc tiết kiệm tiền Bất kể chi phí (SMRC)) mà có thể kết thúc được phản tác dụng. Hành động SMRC điển hình bao gồm: Salami phê - một tại một thời gian với một tập trung vào giảm chi phí tuyển chọn của người trả giá thấp nhất kể - điều này không phải luôn luôn là một chiến lược thành công trì hoãn chi tiêu như trong: "chắc chắn này có thể chờ đợi thêm một năm" Hoãn tuyển dụng như trong: " làm việc thông minh hơn, không khó khăn hơn "Hạn chế hay không sự phân biệt của Nhiệm vụ - một cánh cửa mở để thay đổi không chính xác hoặc chưa được kiểm tra Rigid thù lao -. dẫn đến không có khả năng để tuyển dụng và giữ chân những tài năng cần thiết Khi tất cả đều được sử dụng một cách nhất quán, nó rất có khả năng kinh nghiệm nhân viên sẽ tìm kiếm một công việc ở nơi khác và tìm thấy nó như những người như vậy là đủ cung cấp. 6.1.3. Các cuộc cách mạng sử dụng cuối cùng người bản xứ kỹ thuật số đã đưa đến những đổi mới gần đây với sự nhiệt tình tuyệt vời, đến mức độ xếp hàng qua đêm bên ngoài một cửa hàng để mua các đối tượng mới nhất của ham muốn. Đây là tiền phạt trong lĩnh vực riêng của họ như những cá nhân được tự do làm bất cứ điều gì họ thích và / hoặc có thể mua được. Các thiết bị này đang tìm đường vào môi trường doanh nghiệp, là cá nhân cảm thấy được trao quyền để thách thức các tiêu chuẩn của công ty và nhấn mạnh rằng họ được phép sử dụng của họ thiết bị, dịch vụ hoặc ứng dụng. Điều này đã dẫn đến các thiết bị của bạn riêng của phong trào Bring (BYOD) và tổ chức đang đấu tranh để hiểu và quản lý các vấn đề bảo mật này. Như BYOD tiếp tục mở rộng có vẻ như là nơi đã thành lập nó đã trở thành không thể đảo ngược. Điều này có nghĩa rằng mọi người có thể truy cập (và cũng tải về và lưu trữ) dữ liệu công ty nhạy cảm với một thiết bị bên ngoài kiến trúc bảo mật của tổ chức. Hơn nữa, một thiết bị như vậy có thể chứa các ứng dụng (Apps) không biết đến tổ chức. Những ứng dụng miễn phí hoặc thấp, được thiết kế bởi các cá nhân không rõ và không có chứng nhận an ninh, cũng có thể bao gồm phần mềm độc hại. Để thêm vào nỗi đau, dữ liệu công ty này có thể được truy cập từ bất cứ nơi nào, ví dụ như một cửa hàng cà phê phục vụ "miễn phí Wi-Fi" đó là không được mã hóa cho phép một bên thứ ba để có được các dữ liệu. Tại, các biện pháp an ninh chặt chẽ cực khác khuyến khích người bản địa kỹ thuật số để bỏ qua những hạn chế của tổ chức bằng cách sao chép các thông tin nhạy cảm vào tài khoản của mình trong đám mây, nơi nó sẽ không được bảo vệ. Điều này làm cho công việc của các hacker dễ dàng hơn rất nhiều ... Các rủi ro khác mới được tạo ra bởi người bản xứ kỹ thuật số bao gồm việc sử dụng các mạng xã hội để chia sẻ thông tin nhạy cảm với các đồng nghiệp của họ. Người bản địa kỹ thuật số cho thấy một mức độ lớn hơn nhiều tin tưởng vào những người mà họ gặp gỡ trực tuyến hơn người nhập cư kỹ thuật số. Hãy nhớ rằng các câu chuyện Robyn Sage trong Chương 1? 6.2. Yếu tố bên ngoài: cảnh quan thay đổi liên tục Không có chỉ định hoặc có lý do để tin rằng tốc độ đổi mới trong các hệ thống thông tin và công nghệ sẽ chậm lại trong tương lai gần. 6.2.1. Công nghệ sẽ tiếp tục phát triển có thể được dự kiến rằng thiết bị này sẽ được nhanh hơn, nhỏ hơn và nhẹ hơn, có tuổi thọ pin dài hơn và có màn hình cảm ứng dựa. Vòng đời của chúng từ mua hàng để cảm nhận sự lỗi thời sẽ tiếp tục là ngắn. Càng ngày, các thiết bị sẽ chứa các công nghệ mới và được kết nối với Internet. Nhiều người đã là - trong thang máy, hệ thống điều hòa không khí, máy bán hàng tự động, vv và có thể trở thành mục tiêu cho sự gián đoạn. Hứa hẹn trong tương lai bao gồm xe ô tô và hệ thống robot phẫu thuật. Những người sáng tạo sẽ làm cho các dịch vụ trực tuyến mới có sẵn - cái gọi là Web 2.0 là một bất ngờ cho hầu hết mọi người và các dịch vụ như blog, chia sẻ âm thanh và video, nhiều người chơi game, mạng xã hội, trực tuyến đấu giá và nhiều hơn dùng cho các cấp cũng có thể được bổ sung bởi các dịch vụ hiện nay không thể tưởng tượng. 6.2.2. Thách thức ngày càng tăng trong bản sắc và sự riêng tư Khi động vật xã hội, mọi người muốn và cần phải tương tác với nhau theo một cách mà cho phép một số biện pháp kiểm soát. Trong không gian, điều quan trọng để có thể tin tưởng vào bản sắc của cá nhân để ngăn chặn gian lận và tăng cường an ninh quốc gia là. Các tổ chức cần phải đảm bảo rằng những cá nhân họ đối phó với những người mà họ nói họ đang có, và họ được phép làm những gì họ làm. Cá nhân muốn được tin cậy và cần phải tin tưởng tổ chức mà họ tương tác với họ để bảo vệ pe