Styring og ledelse

Question 1

Hva er ansvarsområdet for toppledelsen?

Foretaksstyring

Answer 1

• Definere strategiske målsetninger
• Vurdere i hvilken grad målsetninger oppnåes
• Sette krav til, og vurdere håndtering av risiko
• Sørge for at virksomheten forvaltes på lovlig og etisk måte

Question 2

Hva er styring av informasjonssikkerhet?

Answer 2

Toppen av hierarkiet
Å definere strategiske målsetninger, sørge for at disse blir oppnådd, styre sikkerhetsrisiko, påse at ledelsessytem for informasjonssikkhet fungerer hensiktmessig.

Question 3

Hvordan oversette NSM:

1. IS Management
2. IS Governance

Answer 3

1. Styring av informasjonssikkerhet
2. Ledelse av informasjonssikkerhet

• Som er inkonsistent med blandt annet ISACA sin definisjon.

Question 4

Hvilken mål definerer ISACA for styring av informasjonssikkerhet?

Answer 4

1. Strategisk tilpasning av sikkerhetsprogrammet.
2. Risikohåndtering.
3. Verdiskapning.
4. Ressursbruk.
5. Målbarhet.
6. Integrering av sikkerhetsområder.

Question 5

Hvem er ansvarlig (plikt) og må stå til regnskap for informasjonssikkerhet?

Answer 5

Toppledelsen har både ansvar og står til regnskap for infromasjonssikkehet.
- Styret, Adm.Dir., CSO, CISO, CIO

Question 6

Kan man delegere ansvar for informasjonssikkerhet?

Answer 6

Man kan delegere ansvar i form av oppgaver, men en kan ikke delegere ansvar i form av regnskapelighet for informasjonssikkerhet (toppledelsen står til regnskap).

Question 7

Hva er ISO 27001?

Answer 7

Standard for ISMS - Information Security Management System

Beskriver organisering av sikkerhetsarbeid, hvordan man skal lede implementeringen av sikkerhetstiltak.

Spesifiserer krav til etablering, implementering, vedlikehold, og kontinuerlig forbedring av ledelsessystem for informasjonssikkerhet (ISMS).

• En kan sertifisere seg etter ISO 27001

Question 8

Hva er ISO 27002?

Answer 8

Standard for Information Security Controls
- En tiltaksbank, oversikt over anbefalte sikkerhetstiltak.

Definerer et sett med styringsmålsettinger og tiltak for informasjonssikkerhet.

• En kan ikke sertifisere seg etter ISO 27002

Question 9

Hva er historien bak ISO 27001 og 27002?

Answer 9

ISO 27002 ble egentlig publisert før 27001, men i 2005 så bytte de rekkefølge - fordi de viktigste var å ha god organisering av sikkerhetsarbeidet.

Question 10

Hva er NSM sin Grunnprinsipper for IKT-sikkerhet?

Answer 10

En forenkling av ISO 27002, altså tiltaker for informasjonssikkerhet.

• Lignende tilnærming som NIST sin Cyber Security Framework