Les 2 - Risicomanagement en Business Continuity Management Flashcards
ISO
International Organisation for Standardization. ISO zorgt ervoor dat organisaties van over de hele wereld een Internationale Standaard hebben voor bepaalde industrieën. Door ISO gecertificeerd te zijn, hebben bepaalde organisaties bepaalde voordelen als: compliance, efficiëntie boost en lagere kosten.
VPN
Virtual Private Network: Een gesloten en veilig virtueel netwerk met versleutelde data transactie via een tunnel. Zorgt voor Online Prvacy, Veiliger (data) online en Blokkades omzeilen.
Access Control Standards
Access Control Standards: Standaarden voor het beheren van Access Controls. Bijv. het veranderen van wachtwoorden.
Accountability
Accountabiity: Ervoor zorgen dat een partij verantwoordelijk is.
ACL, whitelisting, blacklisting
ACL: Access Control List. ACL bepaalt welke gebruikers toegang hebben tot bepaalde netwerk capaciteiten.
Whitelisting: Alleen partijen die op de lijst staan worden toegelaten.
Blacklisting: Alleen partijen die op de lijst staan worden NIET toegelaten.
ALE, SLE
ALE: Annual Loss Expectancy.
SLE: Single Loss Expectancy.
Audit, Audit trail
“Audit: Het controleren van ee organisatie of die aan bepaalde eisen en voorwaarden voldoet. Bijv. wet- en regelgeving.
Audit trails: Het bijhouden (LOGs) van bijv. alle inlog (pogingen) en wie CRUD voor programma’s.”
Backup (offsite, onsite)
“Offsite backup: Een backup hebben op een geografisch gescheiden locatie van hetgeen waarvan er een backup is gemaat. In het geval van een aanval of beschadiging aan het hoofdnetwerk kan de offsite backup uitkosmt bieden. Terugzetten van gegevens kost meer tijd dan onsite, want is niet direct in handbereik.
Onsite backup: Een backup op dezelfde geografische locatie als hetgeen waarvan de backup is gemaakt.”
Backup: electronic vaulting
Electronic vaulting (back-up): Het backuppen naar een externe back-upservice over het internet (Bijv. Cloud).
Biometrics
Biometrics: Iets wat je bent Bijv. vingeradruk & irisscan
CFAA
CFAA: Computer Fraud and Abuse Act. Een wet die door de US is bekrachtigd waarin staat dat het verboden is om ongeautoriseerd of zonder machtiging toegang te hebben tot een computer.
Compliance
Compliance: Het voldoen aan geldende wet- en regelgeving.
Contingency planning (BIA, IRP, DRP, BCP)
“Contingency planning:
BIA: Business Impact Analysis. Een Business Impact Analysis stelt vast welke bedrijfsprocessen Mission Critical zijn en welke niet voor het geval dat het voorkomt dat een proces tijdelijk onbeschikbaar is. Hier hoort een passende strategie bij om de processen met een hoge prioriteit sel te herstellen in het geval dat er een tijdelijke verstoring plaatsvindt.
IRP: Incident Response Planning. Een set van processen en procedures om de impact van een onverwachte event die mogelijk de information resources of assets compromiteerd te anticiperen, detecteren en te mitigeren.
DRP: Disaster Recovery Planning. Disaster Recovery Planning is het voorbereiden op en het herstellen van een ramp. Iets is een ramp (disaster) wanneer een organisatie het in controle kan houden, beperken of de schade zo erg kan worden dat de organisatie niet meer goed kan functioneren. Focust op hervatting van bedrijfsvoering op de locatie waar zich voornamelijk bevindt.
BCP: Business Continuity Planning. Business Continuity Planning zorgt ervoor dat kritieke bedrijfsfuncties gedurende een ramp (disaster) door kunnen gaan. Wordt gemanaged door de CEO. Vaak tegelijkertijd met DRP.”
Controls (Administrative, Technical, Physical)
“Administrative control: Gaat om de menselijke factoren bij beveiliging. Het betreft alle personen in een organisatie en bepaalt welke gebruikers toegang hebben tot welke informatie en middelen. Bijv. Training en awareness & Recovery plans
Technical control: Het gebruik van technologie om de controle te houden over de toegang en het gebruik van gevoelige data door een fysieke structuur en over een netwerk. Bijv. Ecnryptie & ACL’s
Physical control: Het implementeren van beveiligingsmaatregelen op een vastgestelde structuur om ongeautoriseerde toegang te voorkomen of partijen ervan te weerhouden (afschrikken). Bijv. CCTV, beveiliging & ID”
Data Clearing
Data Clearing aka Data erasure: Een software-gebaseerde methode met als doel om data te vernietiging op een opslagmedium door de data met nullen en eenen te overschrijven.
Data Purging
Data purging: Het permanent wissen en verwijderen van data op een opslagmedium.
Disposal (Media, Printed Matter)
“Disposal of Media: Een Policy (Beleid) om het weggooien en vernietigen van media wat bedrijfskritieke informatie bevat vast te leggen.
Disposal of Printed Matter: Guidelines (Richtlijnen) voor het weggooien en vernietigen van geprinte materie wat bedrijfsgevoelige informatie bevat juist en veilig vastleggen.”
Fingerprinting (network)
Fingerprinting (network): Bij het fingerprinten van een netwerk wil een partij specifieke informatie over het netwerk verkrijgen. Dit doet een partij door een custom gemaakte packet aan de target te sturen en de target stuurt dan een signature response met bijv. OS & versies, zodat een aanvallende partij haar aanval kan fine-tunen. Passive fingerprinting: afluisteren van netwerk verkeer. Active: dit.
FISMA, BIO (BIR, BIG, BIWA, IBI)
“FISMA: Federal Information Security Management Act. Alle Amerikaanse federale organisaties zijn verplicht om informatiebeveiliging toe te passen op informatie en informatie systemene binnen de organisatie.
Step 1: Determine what constitutes the system you’re trying to protect.
Step 2: Perform risk assessment to determine what controls you’ll need to put in place to protect your system’s assets.
Step 3: Actually implement the planned controls.
BIO: Baseline Informatiebeveiliging Overheid. Omvat ook de BIG (Gemeente), BIWA (Waterschappen), IBI (Interprovinciale) & BIR (Rijk)”
GLBA
GLBA: Gramm-Leach-Bliley Act. Maakt het mogelijk dat een bank-, investeerders- en verzekeringsfirma mogen mergen en vereist dat financiële instituten uitleggen hoe zij hun klantengegevens delen en beschermen.
HIPAA
HIPAA: Health Insurance Portability and Accountability Act. Een Amerikaanse wet waarvan Title 2 (2/2): gaat over administratieve lasten verlichting. Vooral interssant om: 1. ‘Privacy Rule’: regels ten aanzien van de privacy bescherming van individuen, komt grotendeels over met de GDPR. + 2. ‘Security Rule’: normen ten aanzien van informatiebeveiliging, waarbij procedurele, technische en fysieke beveiligingsmaatregelen worden voorgesteld.
Incident Response (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned)
“Incident Response:
1. Preparation: Plannen en klaar zijn voor het geval er een beveiligingsincident plaatsvindt.
2. Identification: Gebeurtenissen (events) identificeren die negatieve impact hebben op de business of die beschowud kunnen worden als beveiligingsincident.
3. Containment: Het beveiligingsincident is geïdentificeerd en passende maatregelen worden genomen om de potentiële schade te mitigeren.
4. Eradication: Nadat het beveiligingsincident is gecontained moet het worden uitgeroeid en bestudeerd
om er zeker van te zijn dat het doorgrondig is verwijderd van het systeem.
5. Recovery: Ervoor zorgen dat business en assets die betrokken waren in het beveiligingsincident terugkeren naar de normale gang van zaken.
6. Lessons learned: reflecteren op hoe het incident plaats heeft kunnen vinden, welke acties zijn ondernomen als reactie en de geleerde lessen toe kunnen passen op toekomstige situaties.”
Defense in Depth
Defense-in-depth: Is het principe dat gelaagde beveiligingsmechanismen sterker de beveiliging van een systeem in zijn geheel verhogen. Perimeter security > Network security > Endpoint security > Application security > Data security > Mission Critical Assets + Policy Management & Operations overkoepelend.
