Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

IT-Säkerhet > Informationssäkerhet > Flashcards

Informationssäkerhet Flashcards

1
Q

Vilka 3 grundpelare består CIA-triaden av?

A

Confidentiality (Konfidentialitet)

Integrity (Integritet / Riktighet)

Availability (Tillgänglighet)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Förklara grundpelaren “Konfidentialitet” i CIA-triaden.

A

Förhindrar känslig information från att nå fel personer, samtidigt som organisationen ser till att rätt personer har tillgång.

När det gäller sekretess måste organisationer se till att uppgifterna är säkra under överföring och i lagring. Även om data går förlorad eller hackare stjäl data borde det inte vara läsbart. Kryptering och accesshantering är viktiga verktyg.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Förklara grundpelaren “Integritet / Riktighet” i CIA-triaden.

A

Bibehåller konsekvens, noggrannhet och pålitlighet av data under hela livscykeln. När det gäller integritet måste organisationer se till att personuppgifterna är korrekta, fullständiga, uppdaterade och bara hålls så länge som nödvändigt.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Förklara grundpelaren “Tillgänglighet” i CIA-triaden.

A

Säkerställer att data kan nås av auktoriserade personer när de behöver det.

När det gäller tillgänglighet måste organisationer också förstå hur individer och deras arbete kan påverkas om de inte har tillgång till den information de behöver.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Ge exempel på 4 olika administrativa standarder för informationssäkerhet.

A

ISO 27001
NIST
SOC2
PCI-DSS

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Vad är PCI-DSS?

A

Payment Card Industry Data Security Standard.

Framtagen av de stora kreditkorts och betalföretagen som en standard för att höja säkerheten vid kortköp.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Vad är SOC 2?

A

Service Organization Control 2 är ett ramverk från AICPA (American Institute of Certified Public Accountants) som säkerställer och formaliserar informationssäkerheten hos tjänsteleverantörer, i synnerhet de som lagrar kunddata i molnet.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Varför bör man följa en säkerhetsstandard som exempelvis ISO 27001 eller SOC 2?

A
  • Högre säkerhet
  • Ökat förtroende från kunder
  • Systematiskt arbetssätt
  • Beprövat av andra organisationer
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

Vad är ISO 27001?

A

ISO 27000-serien är en säkerhetsstandard som består av flera delar med vissa branschspecifika delar.

Centralt är 27001, då detta är det så kallade ledningssystemet för informationssäkerhet som organisationen certifierar sig mot.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Vad innehåller 27003?

A

Vägledning om hur man implementerar ISO 27001.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Vad är gemensamma delar för de stora ledningssystemen för informationssäkerhet?

A

Organisationen ska ha ett bestämt arbetssätt i etableringen, implementeringen och den dagliga användningen av ISMS. Detta inkluderar även framtida förbättringar av systemet.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Vid arbetet med informationssäkerhet är det viktigt med ett systematiskt arbetssätt. Hur fungerar MSBs metodstöd LIS?

A

Ledningssystem för InformationsSäkerhet (LIS) fungerar som en ständig cykel där organisationen konstant arbetar i ett återkommande mönster med fyra beståndsdelar som repeteras.

  1. Identifiera och analysera.
  2. Utforma.
  3. Använda.
  4. Följa upp och förbättra.

Mer info kan ni läsa här: https://www.informationssakerhet.se/siteassets/metodstod-for-lis/metodstod-for-systematiskt-informationssakerhetsarbete—en-oversikt.pdf

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

I MSBs metodstöd LIS är den första beståndsdelen “Identifiera och analysera”.

Vad består denna utav?

A

Analysmetoder som exempelvis:

  • Omvärldsanalys
  • Verksamhetsanalys
  • Riskanalys
  • Gapanalys
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

I MSBs metodstöd LIS är den andra beståndsdelen “Utforma”.

Vad består denna utav?

A

Här utformas exempelvis företagets:

  • Mål
  • Organisation
  • Styrdokument
  • Handlingsplan
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

I MSBs metodstöd LIS är den tredje beståndsdelen “Använda”.

Vad består denna utav?

A

I metodsteget “Använda” tillämpar organisationen den utformade styr­ningen. Exempelvis:

  • Klassa information
  • Granskning
  • Övervakning
  • Utbildning av personal
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

I MSBs metodstöd LIS är den fjärde beståndsdelen “Följa upp och förbättra”.

Vad består denna utav?

A

Detta metodsteg vägleder om utformning av arbetssätt för uppföljning och förbättring av informationssäkerhetsarbetet och dess styrning.

Exempelvis:

  • Utvärdering
  • Ledningens genomgång
  • Åtgärdsplan
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

I MSBs metodstöd LIS kan en omvärldsanalys vara en del av beståndsdelen “Identifiera och analysera”.

Hur ser en omvärldsanalys ut?

A

Omvärldsanalysen innefattar identifiering av:

Externa intressenter ( ägare, kunder, leverantörer, granskare)

Externa förutsättningar (branschspecifika, tekniska, sociala, miljömässiga, politiska)

Rättsliga krav (författningar, kontrakt, avtal)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

I MSBs metodstöd LIS kan en verksamhetsanalys vara en del av beståndsdelen “Identifiera och analysera”.

Hur ser en verksamhetsanalys ut?

A

Verksamhetsanalysen innefattar identifiering av:

Interna intressenter (beslutsfattare, objektägare, stödenheter, medarbetare)

Interna förutsättningar (policyer, mål och strategier, verksamhetsstyrning, kultur, resurser, kompetens, m.m.)

Informationstillgångar (it‐system, abonnentuppgifter, it‐tjänster, applikationer m.m.)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Ungefär hur många företag i Sverige är ISO 27001 certifierade?

A

Strax under 100 stycken.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

Vad är en extern intressent?

A

Personer, grupper eller organisationer utanför den egna organisationen, som påverkar eller påverkas av organisationens informationssäkerhet.

Var och en av dessa intressenter har någon form av behov, förväntningar, krav eller annan påverkan i relation till informationssäkerheten och dess styrning.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
21
Q

Vad är en intern intressent?

A

Personer (befattningar) eller enheter inom organisationen som påverkar eller påverkas av hur informationssäkerheten styrs.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
22
Q

Vilka är de tre centrala frågorna som ska ställas i en riskanalys?

A

”Vad kan hända?”

”Hur sannolikt är det?”

”Vad blir konsekvenserna?”

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
23
Q

I vilka situationer kan det vara lämpligt för en organisation att göra en riskanalys?

A

Exempelvis:
Vid anskaffning av varor eller tjänster (inklusive upphandling av nya it-system, outsourcing och molntjänster)

I samband med andra riskanalyser

När drift ska läggas ut

Vid organisationsförändringar

Vid nya uppdrag/tjänster

24
Q

I en riskanalys är en riskmatris ett vanligt verktyg som består av två skalor.

Vilka är dessa?

A

Sannolikhet och konsekvenser

25
Q

Vad är en GAP-analys?

A

En GAP-analys är ett sätt att analysera och förstå hur organisationens situation ser ut idag, hur man vill att den ska se ut i framtiden, samt hur man ska göra för att ta sig dit.

Detta kan vara ett verktyg i LIS när det kommer till att identifiera vidare mål och förbättringsåtgärder.

26
Q

Vad är en informationstillgång?

A

Med informationstillgångar avses all information och informationshanterande resurser såsom manuella och IT-baserade informationssystem.

Exempelvis:
Databaser
Avtal och överenskommelser
Kontinuitetsrutiner
Utvecklingsverktyg
Kommunikationsutrustning
Medarbetares kvalifikationer
m.m.
27
Q

Det finns i huvudsak 4 olika sätt att riskhantera/riskbehandla.

Vilka är dessa 4 sätt?

A
  • Riskeliminering
  • Riskminimering
  • Risköverföring
  • Riskacceptans
28
Q

Är riskacceptans en bra riskhanteringsmetod när det kommer till lösenordsläckor?

A

Nej, riskacceptans är endast en bra riskhanteringsmetod när sannolikheten är extremt låg. Exempelvis att en EMP förstör all teknisk utrustning i norra Europa.

29
Q

Vad är en CISO?

A

Chief Information Security Officer.

Den person som är ansvarig för att leda och samordna informationssäkerheten.

30
Q

Ge exempel på några mandat som en CISO kan ha:

A

Exempelvis:

  • Att kravställa vid till exempel utvecklingsprojekt.
  • Att bedriva tillsyn att styrdokument efterlevs.
  • Att rapportera interna brister i efterlevnaden av styrdokument.
31
Q

Vilken organisatorisk placering av CISO som är lämplig beror på lite olika faktorer, bland annat på organisationens typ, storlek, bransch- eller sektorstillhörighet.

Var bör CISO-rollen vara placerad inom en organisation enligt MSB?

A

Idealet är att CISO är direkt underställd ledning, och att CISO rapporterar direkt till denna.

32
Q

Vad är styrdokument?

A

Styrdokument är beslutade dokument som reglerar organisationens informationssäkerhetsrelaterade aktiviteter. Helt enkelt olika former av policydokument.

Ska ange vad som ska genomföras och hur det ska gå till.

33
Q

Informationssäkerhetspolicyn är det mest centrala styrdokumentet.

Vad bör informationssäkerhetspolicyn innehålla i enlighet med ISO-standarden 27002?

A
  1. Definition av informationssäkerhet.
  2. Strategiska mål med informationssäkerhet.
  3. Principer för infosäkarbetet.
  4. Ansvar och roller för infosäkarbetet.
  5. Hantering av avvikelser och undantag.
34
Q

Vad är informationsklassning?

A

Det innebär att man på ett enhetligt sätt värderar organisationens information utifrån vilka konsekvenser ett otillräckligt skydd skulle kunna få.

35
Q

Säkerhetsåtgärder finns i olika former.

Vad är några olika former av säkerhetsåtgärder?

A

Exempelvis: Organisatoriska, administrativa, fysiska och tekniska.

36
Q

Vad ska en handlingsplan innehålla?

A

Den ska innehålla detaljerad information om varje aktivitet, till exempel vem som är ansvarig för själva genomförandet, samt resurser och tidplan för aktiviteten.

37
Q

Vad är kontinuitetshantering?

A

Kontinuitetshantering handlar om att planera för att upprätthålla sin verksamhet på en tolerabel, det vill säga för organisationen acceptabel, nivå oavsett vilken störning den utsätts för.

Med kontinuitetshantering kan organisationer snabbare återhämta sig från och mildra konsekvenserna av en inträffad händelse.

38
Q

Vad gör en operativ incidentsamordnare?

A

Tar emot, bedömer och samordnar på ett övergripande sätt det operativa arbetet med incidenter.

Säkerställer att incidenter åtgärdas om det behövs.

Ser till att grundorsaken till incidenten utreds.

39
Q

MSB har en checklista för vad en fullständig informationssäkerhetspolicy bör innehålla. Vad är de 8 punkterna i denna?

A
  1. Anger policyn ledningens viljeinriktning och stödjer informationssäkerhetsarbetet?
  2. Visar policyn målet med samt omfattningen och vikten av informationssäkerhet?
  3. Har ledningen fastställt policyn?
  4. Är ansvaret för informationssäkerhet definierat?
  5. Står det klart och tydligt vem som äger policyn?
  6. Är det beskrivet hur policyn ska underhållas?
  7. Finns det en definition av informationssäkerhetsbegreppet?
  8. Är policyn spridd i organisationen och finns det rutiner för detta?
40
Q

Vilka två komponenter används för att räkna ut risk?

A

Sannolikhet och konsekven­s.

Risk är produkten av sannolikheten och konsekven­sen för att ett givet hot realiseras.

41
Q

Vad är en informationssäkerhetincident?

A

En eller flera hän­delser som kan tänkas få allvarliga konsekvenser för verksamheten och hota informationssäkerheten (till exempel brott mot sekretess, integritetsförlust, driftavbrott eller brist på tillgång till information).

42
Q

Rapporteringsplikt är något som finns i CISO-rollen.

Vad bör regleras i hur rapporteringen ska gå till?

A
  1. Rapporteringens mottagare – till vilken eller vilka interna roller?
  2. Rapporteringens form – muntligt och/eller skriftligt, räcker det med ett mejl, eller ska det finnas ett särskilt rapportformat och så vidare?
  3. Rapporteringens frekvens – hur ofta ska CISO rapportera, exempelvis en gång om året, i halvåret eller i månaden?
43
Q

En populär målformulering är SMART.

Vad står SMART för?

A
  • Specifikt
  • Mätbart
  • Accepterat
  • Realistiskt
  • Tidsatt
44
Q

Vad fyller en handlingsplan för roll i informationssäkerhetsarbetet?

A

Handlingsplanen är ett viktigt instrument för att styra så att prioriterade behov leder till faktiska aktiviteter som genomförs och följs upp.

Handlingsplanen bör innehålla konkreta aktiviteter kopplade till mål.

45
Q

Vad är en vanlig tidsrymd för kortsiktiga respektive strategiska informationssäkerhetsmål?

A

Kortsiktiga informationssäkerhetsmål (1–2 år)

Strategiska informationssäkerhetsmål (3–5 år)

46
Q

Vem är det som beslutar om fastställandet av en informationssäkerhetspolicy?

A

Vanligtvis VD, styrelse eller ledningsgruppen.

Detta beroende på organisationens storlek och sammansättning.

47
Q

MSBs LIS innehåller en pyramidmodell för dokumenthierarkier gällande styrdokument.

Vad är de olika nivåerna i denna pyramiden?

A

Från topp till botten:

  1. Policy: Beskriver ”att” något ska finnas.
  2. Riktlinjer: Ska ange hur de övergripande målen i policyn ska uppnås. Beskriver ”vad” som ska göras.
  3. Anvisningar: Ska på en funktionell nivå ange vilka skyddsåtgärder som ska införas. Beskriver ”på vilket sätt” skyddet ska införas.
  4. Instruktion: Ges för specifika system eller åtgärder. Beskriver ”hur och av vem” åtgärderna ska införas/följas.

OBS!! I ett antal tolkningar av modellen är nivå 3 och 4 kombinerat till en nivå!!

48
Q

LIS har en pyramidmodell för dokumenthierarkier gällande styrdokument.

Vad är skillnaden mellan nivå 1. “Policy” och nivå 2. “Riktlinjer”?

A
  1. Policy: Beskriver ”att” något ska finnas.

2. Riktlinjer: Ska ange hur de övergripande målen i policyn ska uppnås. Beskriver ”vad” som ska göras.

49
Q

LIS har en pyramidmodell för dokumenthierarkier gällande styrdokument.

Vad är skillnaden mellan nivå 1. “Policy” och nivå 4. “Instruktion”?

A
  1. Policy: Beskriver ”att” något ska finnas.

4. Instruktion: Ges för specifika system eller åtgärder. Beskriver ”hur och av vem” åtgärderna ska införas/följas.

50
Q

LIS har en pyramidmodell för dokumenthierarkier gällande styrdokument.

Vad är skillnaden mellan nivå 2. “Riktlinjer” och nivå 3. “Anvisningar”?

A
  1. Riktlinjer: Ska ange hur de övergripande målen i policyn ska uppnås. Beskriver ”vad” som ska göras.
  2. Anvisningar: Ska på en funktionell nivå ange vilka skyddsåtgärder som ska införas. Beskriver ”på vilket sätt” skyddet ska införas.
51
Q

Vad innebär kontinuitetsplanering?

A

Det handlar om att planera för att upprätthålla sin verksamhet på en tolerabel nivå, oavsett vilken störning den utsätts för.

Till exempel när personalen inte kommer till jobbet, lokalerna inte går att använda m.m.

52
Q

Vad bör en kontinuitetsplan innehålla?

A

En kontinuitetsplan innehåller information som hjälper
personalen att veta vad den ska göra vid en störning i
en kritisk aktivitet eller resurs. Syftet är att kunna
upprätthålla verksamheten på en tolerabel nivå och att
kunna återställa resursen så fort som möjligt

53
Q

Hur ska incidenthantering ske enligt ISO 27035?

A

Enligt följande:

  1. Upptäck, rapportera och bedöm incidenten.
  2. Agera och behandla incidenten.
  3. Upptäck, bedöm och behandla incidentens sårbarheter.
  4. Förbättra därefter säkerheten och incidenthanteringen kontinuerligt.
54
Q

Vad är syftet med att ha en klassningsmodell?

A

Syftet är att värdera organisationens informationstillgångar. Dels bedöma om informationen är känslig och i så fall vilken skyddsnivå den bör ha.

Informationstillgångar som inte bedömts ännu kallas oklassad.

55
Q

Hur ska oklassade informationstillgångar hanteras?

A

Dessa bör anses vara skyddade tills det att en klassning har skett.

56
Q

Hur ser en vanlig klassningsmodell ut?

A

Exempelvis en matris där CIA och skyddsnivåer är kopplade till varandra.

IT-Säkerhet (12 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions