适用性声明SoA

虽然适用性声明在ISMS中是至关重要的,并且附于认可的ISMS证书。适用性声明是一项科学态度,昆明亭长朗然科技有限公司信息安全管理顾问专员董志军补充说:针对风险评估结果,制定风险应对措施时,选择哪些控制措施,不选择哪些控制措施,控管结果可能会有差异。从科学角度讲,某些风险没有采取足够的控制措施,也是可以理解和接受的。但是总有人不明白,或者乘机捣乱,比如正好没采取控制措施的风险变成了事实。这时就不能随意说安全管理体系不行,或者安全管理者的水平不够。
从本文中,审计人员将开始确认是否有适当的控制措施部署到位和在运作之中,它的准备工作只能在风险评估计划完成,也就是风险处置计划制定完成时得到进行。
适用性声明是关于ISO 27001的附件A中的哪些控制适用于该组织,哪些不适用的声明。此外,它也可以包含来自其他来源的控制措施。

控制措施和附录A

标准中要求组织从ISO 27001的附件A中选择控制目标和控制项,这些已普遍被认为是一个组织所需要的,对这些控制的选择和排除需要有合理的解释。然而,它明确要求组织要彻底照章进行,并且表明,可以从其他的来源选择额外的控制。
ISO 27002提供了关于标准附件A中所列控制目标和部署的最佳实践。然而,一些组织可能需要做得比ISO 27002规定的要求更多,要多到何种程度,取决于其中技术和威胁的不断演进情况,毕竟ISO 27002的版本已经定稿、发布和更新。

控制

控制是安全漏洞的对策。正式的ISO 27002定义是“一种管理风险的措施,包括政策、程序、指引、实践或组织结构,它可以是一个行政的、技术的,管理的或法律的性质。”控制也用作“保障”或“对策”的代名词。
除了明知接受符合组织风险应对计划中关于风险接受准则要求的风险,以及通过合同或保险的方式转让风险之外,组织可以决定实施控制,以降低或减少风险。

残余风险

对每一项单独的风险提供全面所有的安全并不可能也不现实,但是可以通过将大多数风险控制到一个适当的水平以获得有效的安全,在这个水平管理层可接受剩余的风险。管理部门必须正式接受剩余的风险。

控制目标

从控制目标中选择控制。控制目标是一个组织企图来控制它的一些进程或资产,以及打算通过使用一些控制要达到的目的的声明。一个控制目标可能包含多项控制。
ISO 27001的附件A列出相应的控制目标,并列出要实现每项控制目标必需采用的最小控制措施。组织必须选择它的控制目标,以及选择相应的控制措施并执行,以便使它能够实现确定的目标。

安全事件响应计划

重要的是,在考虑控制时,可能出现的安全事故的检测也需要定义、考虑和计划。标准条文中要求实施控制措施以便“及时发现和响应安全事件”。实际上,在选择附录A所列的独立控制项时,应考虑包括需要搜集和保留哪些证据,控制的实施效果要得到什么样的测量。
关于实施效果的测量,要保证如下两点儿:
1.控制已得到实行,并得到有效地运作
2.如标准所要求的,每项风险都已经被降低到可接受的水平。实施控制过程中的任何错误,或执行过程中的失败,都能够被及时发现和得到及时的纠正,无论是通过自动或手动的方式,都能有效地减少或降低未来可能发生的任何风险到可接受的水平。

总之,SoA是一种科学,对于很多创新科技公司来讲,信息安全管理资源有限,要将资源用在关键的信息资产,比如核心部门和重要系统,列入到ISMS认证的范围之内,并采取尽可能全面综合的风险管控措施。

如何改变用户的安全行为

安全培训和意识活动经常无法获得有效的衡量,也不能以预期的方式改变用户的行为,从而给用户和组织带来风险。对此,昆明亭长朗然科技有限公司安全意识研究专员董志军说:信息安全是一门抽象且不直观的学科,非信息技术或安全管理的员工们通常会对其感到沮丧和困惑。通过说教的方式对受众们进行培训,不管课堂气氛如何,讲师水平高低,都无法引起受众们的积极性,进而让人们以正确的方式处理信息。

通常来讲,信息安全管理体系方法论强调应该培训员工们遵守信息安全相关的政策和程序,以便在实际工作中面临安全问题或状况时做出合理的选择和行动。从理论方法上讲,这似乎无懈可击,然而实际上,要让人们领会安全政策的精神,通过反复的宣教和耐心的讲解,并不难实现;让人们严格遵守安全程序中的要求,通过强力的监管和检查,也可以达到。然而,这种信息安全“制度化”管理在大多数机构都还没能落地和普及,说到底,人类不是机器,忘记、忽略、逃避、越过安全政策精神和程序要求的诱因非常强大,这种情景非常普遍。此外,还有一个问题是这些“制度化”管理在某些攻击情景下并不足够,例如利用人性弱点发起入侵是简单的方法,精心策划的有针对性的鱼叉式网络钓鱼活动几乎可以获得100%的成功。

那么,有什么解决办法呢?虽然,信息安全意识是一门综合性复杂的学科,但是,从社会治理的角度讲,再复杂的问题,也都有应对之策。一种比较好的方案便是经常模拟各种入侵测试,使用精心设计的安全渗透游戏,来建立受众的心理防线。比如,为应对桌面清理方面的安全问题,可以随机让某一团队扮演信息窃贼的角色,对其他团队的桌面进行现场入侵和信息搜集。再比如,使用网络钓鱼模拟测试,对用户们进行大规模的社交工程攻击,看哪些用户能够识别并正确响应。这样,当用户承受压力时,就会养成强大的安全习惯。

要让用户们承担起就有的信息资产保护责任,不让其有任何忽略安全基本要求的借口,就需要在知识层面对其进行安全强化,常规的安全意识宣贯通常可以让用户们获得必要的培训。同时,要让用户们付诸安全防范行动,需要提升其对安全问题的敏感性,这就需要实战经验或锻炼。通常来讲,遭遇一次安全事故给人们的安全敏感性提升,强于十次的宣教活动,不过,安全事故的成本过高,通常难以承受。因此,使用低成本的模拟实战训练,是提升用户对安全敏感性的最佳方法。这个道理就如同模拟的军事战争演习和消防安全演练一样。

模拟安全入侵不仅能够有助于防范来自外部的威胁,同样适合防范内部威胁。内部威胁被认为最难防范而且杀伤力巨大,然而内部人员也最清楚内部的弱点。通过攻防演练,鼓励用户们利用内部弱点,不仅能够发现这些安全隐患,及时采取修补措施,也可以让用户们更深切地认识到内部威胁可能带来的危害,进而更加深入理解和认真遵守相关的安全控管措施。

总之,要改变用户们的安全行为,需要安全意识知识能力、安全态度、责任心、积极性、敏感度以及细心度等多方面的要素有机结合。组织在信息安全方面的成功越来越依赖终端用户,看到这一点,昆明亭长朗然科技有限公司在不断创作信息安全知识培训课程资源的同时,也不断为客户提供安全意识宣教活动和计划方面的服务和支持,以帮助客户建立强大的信息安全意识文化,以及稳固的人员安全防线。欢迎有兴趣了解更多的客户及合作伙伴联系我们,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898