Lakhasly

وكالة المخابرات المركزية هي المبدأ الأساسي وراء كل ما نقوم به في مجال الأمن السيبراني. ثالوث وكالة المخابرات المركزية والمعروفة أيضا باسم ثالوث وكالة المخابرات المركزية. الغرض من هذه المصطلحات هو وصف الأمن باستخدام كلمات ذات صلة وذات مغزى تجعل الأمن أكثر قابلية للفهم للإدارة والمستخدمين وتحديد الغرض منه. السريه : من الصعب تحقيق التوازن عندما يكون العديد من مستخدمي النظام ضيوفا أو عملاء، ومن غير المعروف ما إذا كانوا يصلون إلى النظام من جهاز معرض للخطر أو تطبيق هاتف محمول ضعيف. فإن التزام محترف الأمن هو تنظيم الوصول - حماية البيانات التي تحتاج إلى حماية، مع السماح بالوصول إلى الأفراد المصرح لهم. يتعلق الأمر بأي بيانات عن فرد يمكن استخدامها لتحديد هويته. وهي معلومات تتعلق بالحالة الصحية للفرد، وهو مقياس للأهمية المسندة للمعلومات من قبل مالكها، أو الغرض من الدلالة على حاجتها إلى الحماية. المعلومات الحساسة هي المعلومات التي إذا تم الكشف عنها بشكل غير صحيح (السرية) أو تعديلها (النزاهة) من شأنها أن تضر بمنظمة أو فرد. أي الأشخاص أو المنظمات التي قد لا تكون جزءا من المنظمة التي تعالج أو تستخدم المعلومات الناس وأفعالهم سلامة البيانات هي التأكيد على أن البيانات لم يتم تغييرها بطريقة غير مصرح بها. يتطلب ذلك حماية البيانات في الأنظمة وأثناء المعالجة لضمان خلوها من التعديل أو الأخطاء أو فقدان المعلومات بشكل غير صحيح وتسجيلها واستخدامها وصيانتها بطريقة تضمن اكتمالها. تغطي سلامة البيانات البيانات أثناء التخزين وأثناء المعالجة وأثناء النقل. يجب أن تكون المعلومات دقيقة ومتسقة داخليا ومفيدة لغرض معلن. كجزء من سلامة البيانات، أن تكون جميع حالات البيانات متطابقة في الشكل والمحتوى والمعنى. تشير سلامة النظام إلى الحفاظ على تكوين جيد معروف ووظيفة تشغيلية متوقعة حيث يعالج النظام المعلومات. على وجه التحديد، على سبيل المثال، للحفاظ على تلك الحالة، إذا تطابق الاثنان، وإذا لم يتطابق الاثنان، فإن سلامة البيانات أو النظام قد تعرضت للخطر. النزاهة هي عامل أساسي في موثوقية المعلومات والنظم. في كثير من الأحيان، تملي احتياجات المنظمة للوصول إلى معلومات موثوقة ودقيقة واستخدامها. و(2) للمستخدمين المصرح لهم، الوصول في الوقت المناسب وبموثوقية إلى خدمات البيانات والمعلومات. المفهوم الأساسي للتوافر هو أن البيانات متاحة للمستخدمين المصرح لهم متى وأينما كانت هناك حاجة إليها وفي الشكل والشكل المطلوبين. بدلا من ذلك، تفي النظم والبيانات بمتطلبات الأعمال التجارية للوصول في الوقت المناسب وبموثوقية. بعض الأنظمة والبيانات أكثر أهمية بكثير من غيرها، لذلك يجب على محترف الأمن ضمان توفير المستويات المناسبة من التوافر. غالبا ما يرتبط التوافر بمصطلح الأهمية الحرجة، من الضروري التحقق من أنهم المالكون الشرعيون لتلك الهوية. ببساطة، شيء تعرفه: كلمات المرور أو عبارات المرور هناك نوعان من المصادقة. يعرف استخدام طريقة واحدة فقط من طرق المصادقة المذكورة سابقا باسم المصادقة أحادية العامل (SFA). يعرف منح المستخدمين حق الوصول فقط بعد إظهار أو عرض طريقتين أو أكثر من هذه الطرق بنجاح باسم المصادقة متعددة العوامل (MFA). قائم على الخصائص إذا اخترت رقم تعريف شخصي (PIN)، أو أنشأت كلمة مرور أو بعض القيم السرية الأخرى التي تعرفها أنت فقط، فقد واجهت مصادقة قائمة على المعرفة. على سبيل المثال، قد يتلقى مكتب المساعدة مكالمة لإعادة تعيين كلمة مرور المستخدم. للحصول على أمان أفضل، ستكون هناك حاجة إلى شكل ثان أو ثالث من المصادقة يعتمد على رمز مميز أو خاصية قبل إعادة تعيين كلمة المرور. يتكون الاستخدام المشترك لمعرف المستخدم وكلمة المرور من شيئين معروفين، فإنه لا يعتبر وزارة الخارجية. عدم التنصل: هو مصطلح قانوني ويعرف بأنه الحماية من الفرد الذي ينكر كذبا القيام بعمل معين. إنه يوفر القدرة على تحديد ما إذا كان فرد معين قد اتخذ إجراء معينا، في عالم التجارة الإلكترونية والمعاملات الإلكترونية اليوم، من المهم أن يثق جميع المشاركين في المعاملات عبر الإنترنت. الخصوصية :هي حق الفرد في التحكم في توزيع المعلومات عن نفسه. في حين أن كل من الأمن والخصوصية يركزان على حماية البيانات الشخصية والحساسة، إلا أن هناك فرقا بينهما. تعد الخصوصية العالمية قضية حاسمة بشكل خاص عند النظر في المتطلبات المتعلقة بجمع المعلومات الشخصية وأمنها. والتي تتغير بشكل دوري. إن ضمان وجود تدابير أمنية وقائية لا يكفي لتلبية لوائح الخصوصية أو لحماية الشركة من تكبد عقوبات أو غرامات من سوء التعامل مع المعلومات الشخصية أو الخاصة أو إساءة استخدامها أو حمايتها بشكل غير صحيح. التي تقوم بأعمال تجارية في الاتحاد الأوروبي أو أي أشخاص في الاتحاد الأوروبي. تملي هذه القوانين، بما في ذلك القوانين على المستوى الوطني وعلى مستوى الولاية، أن أي كيان في أي مكان في العالم يتعامل مع البيانات الخاصة للأشخاص في ولاية قضائية قانونية معينة يجب أن يلتزم بمتطلبات الخصوصية الخاصة به. بصفتك عضوا في فريق حماية البيانات التابع للمنظمة، لن يطلب منك تفسير هذه القوانين، ولكنك ستحتاج إلى فهم كيفية تطبيقها على مؤسستك. ولكن في كثير من الأحيان تفشل المنظمات في إدارة المخاطر بشكل استباقي. بصفتك عضوا في فريق الأمن في المنظمة، ستعمل من خلال تقييم المخاطر والتحليل والتخفيف من حدتها ومعالجتها والتواصل. هناك العديد من النماذج المستخدمة لتسهيل عملية إدارة المخاطر، ومع ذلك، هذه الوحدة تجعلك تبدأ من خلال تقديم المصطلحات التأسيسية وتعريفك بعملية إدارة المخاطر. الآثار السلبية التي قد تنشأ إذا حدث الظرف أو الحدث، تعكس مخاطر أمن المعلومات الآثار الضارة المحتملة التي تنتج عن إمكانية الوصول غير المصرح به إلى المعلومات و/أو نظم المعلومات أو استخدامها أو الكشف عنها أو تعطيلها أو تعديلها أو تدميرها. ويشير أيضا إلى أن مخاطر تكنولوجيا المعلومات هي مجموعة فرعية من مخاطر الأعمال التجارية. مصطلحات إدارة المخاطر وتحديد كيفية استخدام بيانات المخاطر بفعالية، كجزء من تحقيق أو تعزيز هدفها أو أهدافها. الضعف هو ضعف أو عيب متأصل في نظام أو مكون، والذي، يمكن أن يتسبب في حدوث حدث خطر. لحماية نفسك من النشل، يمكنك حمل محفظتك في جيب داخلي بدلا من جيب البنطال الخلفي أو التصرف بحذر بدلا من تجاهل محيطك. احتمال: احتمال الحدوث هو عامل مرجح يعتمد على تحليل ذاتي لاحتمال أن يكون تهديدا معينا أو مجموعة من التهديدات قادرة على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف. سينظر فريق الأمن في النتائج المحتملة إذا تحقق تهديد وحدث. تحديد المخاطر كيف تحدد المخاطر؟ هل تمشي في الشارع لمشاهدة حركة المرور وتبحث عن البرك على الأرض؟ ربما لاحظت أسلاكا فضفاضة في مكتبك أو ماء في طابق المكتب؟ إذا كنت تبحث بالفعل عن المخاطر، فستتناسب مع محترفي الأمن الآخرين الذين يعرفون أنه من الضروري البحث بشكل أعمق للعثور على المشاكل المحتملة. في عالم الإنترنت، إنه ينطوي على النظر إلى شركتك الفريدة وتحليل وضعها الفريد. حدد المخاطر لتوصيلها بوضوح. الموظفون على جميع مستويات المنظمة مسؤولون عن تحديد المخاطر. حدد المخاطر للحماية منها. بصفتك محترفا أمنيا، إذا كنت تعمل مع منظمة أصغر، أو منظمة تفتقر إلى أي نوع من خطة وبرنامج إدارة المخاطر والتخفيف، تقييم مخاطر يتم تعريف تقييم المخاطر على أنه عملية تحديد المخاطر وتقديرها وتحديد أولوياتها لعمليات المنظمة (بما في ذلك مهمتها ووظائفها وصورتها وسمعتها) والأصول والأفراد والمنظمات الأخرى وحتى الأمة. يجب أن يؤدي تقييم المخاطر إلى مواءمة (أو ربط) كل خطر محدد ناتج عن تشغيل نظام معلومات مع الأهداف أو الأهداف أو الأصول أو العمليات التي تستخدمها المنظمة، يحدد نشاط تقييم المخاطر المشترك خطر نشوب حريق في المبنى. فإن الهدف الأساسي من تقييم المخاطر هو التقدير وتحديد الأولويات. أجهزة إنذار الحريق هي الأقل تكلفة ويمكن أن تنبه الموظفين إلى الإخلاء وتقليل خطر الإصابة الشخصية، لكنها لن تمنع الحريق من الانتشار أو التسبب في المزيد من الضرر. لن تمنع أنظمة الرش الحريق ولكن يمكن أن تقلل من مقدار الضرر الناجم. في حين أن الرشاشات في مركز البيانات تحد من انتشار الحريق، فمن المحتمل أن تدمر جميع الأنظمة والبيانات الموجودة عليها. يمكن لتقييم المخاطر إعطاء الأولوية لهذه البنود للإدارة لتحديد طريقة التخفيف التي تناسب الأصول المحمية على أفضل وجه. يقدم هذا التقرير إلى الإدارة لمراجعته والموافقة عليه. في بعض الحالات، تعتمد القرارات المتخذة على موقف الإدارة تجاه المخاطر وتوافر - وتكلفة - التخفيف من المخاطر. الخيارات المستخدمة عادة للاستجابة للمخاطر هي:حدد كل نقطة ساخنة لعلامة زائد لمعرفة المزيد عن كل موضوع. أولويات المخاطر عندما يتم تحديد المخاطر، هذا ضروري لتحديد السبب الجذري وتضييق المخاطر الظاهرة والمخاطر الأساسية. يعمل محترفو الأمن مع فرقهم لإجراء كل من التحليل النوعي والكمي. يساعد فهم المهمة العامة للمنظمة والوظائف التي تدعم البعثة على وضع المخاطر في سياقها وتحديد الأسباب الجذرية وتحديد أولويات تقييم هذه العناصر وتحليلها. في معظم الحالات، اتخاذ القرار بناء على أولويات المخاطر يجب على المنظمات تقييم احتمالية المخاطر وتأثيرها وكذلك تسامحها مع أنواع مختلفة من المخاطر. ولكن سيتعين على شركة شيكاغو التخطيط للعواصف الثلجية. مما يعرض العمال للأسبستوس، على سبيل المثال، تحمل المخاطر غالبا ما يتم تشبيه إدارة التصور نحو المخاطرة بشهية الكيان للمخاطر. ما مقدار المخاطرة التي هم على استعداد لتحملها؟ هل ترحب الإدارة بالمخاطر أم تريد تجنبها؟ يختلف مستوى تحمل المخاطر عبر المنظمات، يهدف المتخصصون في مجال الأمن إلى الحفاظ على مستويات المخاطر ضمن حدود الإدارة لتحمل المخاطر. على سبيل المثال، تخطط الشركات في أيسلندا للمخاطر التي تفرضها البراكين القريبة على أعمالها. ستكون الشركات التي هي خارج المسار المتوقع لتدفق الحمم البركانية أقل عرضة للخطر من تلك الموجودة مباشرة في تدفق المسار. فإن احتمال انقطاع التيار الكهربائي الذي يؤثر على مركز البيانات يشكل تهديدا حقيقيا في جميع مناطق العالم. في المناطق التي تكون فيها العواصف الرعدية شائعة، قد يحدث انقطاع التيار الكهربائي أكثر من مرة في الشهر، في حين قد تشهد مناطق أخرى انقطاعا واحدا أو اثنين فقط سنويا. إذا كان لدى الشركة تحمل منخفض لخطر التوقف عن العمل، فمن المرجح أن تستثمر في مولد لتشغيل الأنظمة الحيوية. ستستثمر الشركة التي لديها تسامح أقل مع وقت التوقف عن العمل في مولدات متعددة ذات مصادر وقود متعددة لتوفير مستوى أعلى من الضمان بأن الطاقة لن تفشل. سواء كان ذلك لتوفير المواد الخام لصناعة ما، أو تصنيع المعدات لبناء أجهزة الكمبيوتر، أو توفير السلع والخدمات. عندما ينفذ القادة والإدارة الأنظمة والهياكل التي ستستخدمها المنظمة لتحقيق أهدافها، مما يؤدي إلى إجراءات. مدونة قواعد السلوك المهنية والواجب تجاه مديرينا، أن نلتزم، بأعلى المعايير الأخلاقية للسلوك. غطينا المبادئ الأمنية، لقد سلطنا الضوء على ثالوث وكالة المخابرات المركزية باعتباره المكونات الأساسية لضمان المعلومات. تمثل "I" النزاهة؛ يجب أن نضمن عدم تغيير البيانات بطريقة غير مصرح بها. يجب أن نتأكد من أن البيانات في متناول المستخدمين المصرح لهم متى وأينما كانت هناك حاجة إليها، وفي الشكل والتنسيق المطلوبين. كما ناقشنا أهمية الخصوصية والمصادقة وعدم التنصل والتفويض. لقد استكشفت الضمانات والتدابير المضادة المنصوص عليها لنظام المعلومات لحماية سرية وسلامة وتوافر النظام ومعلوماته. من خلال تطبيق إدارة المخاطر، تمكنا من تقييم المخاطر وتحديد أولوياتها (نقاط الضعف في الأصول التي يمكن استغلالها من قبل التهديدات) للمنظمة. يمكن للمنظمة أن تقرر ما إذا كانت ستقبل المخاطر (تجاهل المخاطر ومواصلة الأنشطة المحفوفة بالمخاطر)، أو تجنب المخاطر (وقف النشاط المحفوف بالمخاطر لإزالة احتمال حدوث حدث ما)، أو التخفيف من المخاطر (اتخاذ إجراءات لمنع أو تقليل تأثير الحدث)، أو نقل المخاطر (نقل المخاطر إلى طرف ثالث). ثم تعلمت عن ثلاثة أنواع من الضوابط الأمنية: المادية والتقنية والإدارية. ينبغي أن يقلل تنفيذ الضوابط الأمنية من المخاطر، والسمات المعمارية للمباني والمرافق، والإجراءات الأمنية المحددة التي يتخذها الناس. نستمد عادة الإجراءات من السياسات، والسياسات من المعايير، والمعايير من اللوائح. غالبا ما تستخدم فرق الحوكمة المعايير لتوفير إطار لإدخال السياسات والإجراءات لدعم اللوائح. لتوفير التوجيه في جميع الأنشطة لضمان دعم المنظمة لمعايير ولوائح الصناعة. وأخيرا، التي يلتزم أعضاء المنظمة بدعمها الكامل. يجب أن نتصرف بشكل قانوني وأخلاقي في مجال الأمن السيبراني. ‏A-C: الأمن الكافي - الأمن الكافي بما يتناسب مع خطر وحجم الضرر الناجم عن فقدان المعلومات أو إساءة استخدامها أو الوصول غير المصرح به إليها أو تعديلها. المصدر: OMB Circular A-130 ومن الأمثلة على ذلك عمليات التحكم في الوصول ومطالبة العديد من الموظفين بإجراء عملية محددة. غالبا ما يتم إنفاذ الضوابط الإدارية في البيئات الحديثة بالاقتران مع الضوابط المادية و/أو التقنية، مثل سياسة منح الوصول للمستخدمين الجدد التي تتطلب تسجيل الدخول والموافقة من قبل مدير التوظيف. الأصول - أي شيء ذي قيمة تملكه منظمة. تشمل الأصول كلا من العناصر الملموسة مثل نظم المعلومات والممتلكات المادية والأصول غير الملموسة مثل الملكية الفكرية. عادة، إجراء مصمم للحماية من عمليات الإرسال الاحتيالية من خلال إثبات صحة الإرسال أو الرسالة أو المحطة أو المنشئ. الترخيص - الحق أو الإذن الممنوح لكيان النظام للوصول إلى مورد النظام. نيست 800-82 التنقيح 2 التوافر - ضمان الوصول إلى المعلومات واستخدامها في الوقت المناسب وبموثوقية من قبل المستخدمين المصرح لهم. خط الأساس - أدنى مستوى موثق من التكوين الأمني يسمح به معيار أو منظمة. مع قدرات أخرى على طروادة والدودة. السرية - خاصية البيانات أو المعلومات عندما لا يتم إتاحتها أو الكشف عنها للأشخاص أو العمليات غير المصرح لهم. نيست 800-66 ‏D-A: سلامة البيانات - الخاصية التي لم يتم تغيير البيانات بطريقة غير مصرح بها. المصدر: NIST SP 800-27 Rev A يستخدم المصطلحان أحيانا بالتبادل في الأدب ولهما معان متشابهة. اللائحة العامة لحماية البيانات (GDPR) - في عام 2016، أصدر الاتحاد الأوروبي تشريعا شاملا يتناول الخصوصية الشخصية، معتبرا أنها حق فردي من حقوق الإنسان. الحوكمة - عملية كيفية إدارة المنظمة؛ عادة ما تشمل جميع جوانب كيفية اتخاذ القرارات لتلك المنظمة، إنه يوجه اعتماد المعايير الوطنية لمعاملات الرعاية الصحية الإلكترونية مع حماية خصوصية المعلومات الصحية الفردية. والأصول، والأفراد، وحتى الأمة، معهد مهندسي الكهرباء والإلكترونيات - IEEE هي منظمة مهنية تضع معايير الاتصالات السلكية واللاسلكية وهندسة الكمبيوتر والتخصصات المماثلة. النزاهة - ملكية المعلومات التي يتم من خلالها تسجيلها واستخدامها وصيانتها بطريقة تضمن اكتمالها ودقتها واتساقها الداخلي وفائدتها لغرض معلن. التوحيد القياسي الدولي، فرقة العمل المعنية بهندسة الإنترنت (IETF) - منظمة معايير الإنترنت، التي تحدد معايير البروتوكول (على سبيل المثال، IP، TCP، احتمال الحدوث - عامل مرجح يعتمد على تحليل ذاتي لاحتمال أن يكون تهديدا معينا قادرا على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف. شيء أنت عليه) للتحقق من الهوية. بما في ذلك أمن المعلومات داخل مركز موارد أمن الحاسوب التابع لشعبة أمن الحاسوب. عدم التنصل - عدم القدرة على رفض اتخاذ إجراء مثل إنشاء المعلومات والموافقة على المعلومات وإرسال رسالة أو تلقيها. بما في ذلك (1) أي معلومات يمكن استخدامها لتمييز أو تتبع هوية الفرد، و(2) أي معلومات أخرى مرتبطة أو قابلة للربط بالفرد، مثل المعلومات الطبية والتعليمية والمالية والتوظيف". الاحتمال - الفرص، أن يكون تهديدا معينا قادرا على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف. 1 والمساءلة). ‏Q-R: التحليل النوعي للمخاطر - طريقة لتحليل المخاطر تستند إلى تعيين واصف مثل منخفض أو متوسط أو مرتفع. المصدر: NISTIR 8286 التحليل الكمي للمخاطر - طريقة لتحليل المخاطر حيث يتم تعيين القيم العددية لكل من التأثير والاحتمال استنادا إلى الاحتمالات الإحصائية والتقييم النقدي للخسارة أو الربح. المصدر: NISTIR 8286 المخاطر - مقياس لمدى تهديد الكيان بظرف أو حدث محتمل. تجنب المخاطر - تحديد أن تأثير و/أو احتمال حدوث خطر معين أكبر من أن تقابله الفوائد المحتملة وعدم أداء وظيفة تجارية معينة بسبب هذا القرار. بما في ذلك جميع مراحل سياق (أو إطار المخاطر)، وتقييم المخاطر، ورصد المخاطر. إطار إدارة المخاطر - نهج منظم يستخدم للإشراف على المخاطر وإدارتها للمؤسسة. المصدر: CNSSI 4009 تحمل المخاطر - مستوى المخاطر الذي يرغب الكيان في تحمله من أجل تحقيق النتيجة المرجوة المحتملة. عتبة المخاطرة ورغبة المخاطرة والمخاطر المقبولة هي أيضا مصطلحات تستخدم بشكل مرادف مع تحمل المخاطر. نقل المخاطر - دفع طرف خارجي لقبول التأثير المالي لمخاطر معينة. ‏Z-S: المصدر: FIPS PUB 199 الحساسية - مقياس للأهمية المعطاة للمعلومات من قبل مالكها، لغرض الدلالة على حاجتها إلى الحماية. المصدر: NIST SP 800-60 المجلد 1 Rev 1

وكالة المخابرات المركزية هي المبدأ الأساسي وراء كل ما نقوم به في مجال الأمن السيبراني.
ثالوث وكالة المخابرات المركزية
لتعريف الأمن، أصبح من الشائع استخدام السرية والنزاهة والتوافر، والمعروفة أيضا باسم ثالوث وكالة المخابرات المركزية. الغرض من هذه المصطلحات هو وصف الأمن باستخدام كلمات ذات صلة وذات مغزى تجعل الأمن أكثر قابلية للفهم للإدارة والمستخدمين وتحديد الغرض منه.
السريه : من الصعب تحقيق التوازن عندما يكون العديد من مستخدمي النظام ضيوفا أو عملاء، ومن غير المعروف ما إذا كانوا يصلون إلى النظام من جهاز معرض للخطر أو تطبيق هاتف محمول ضعيف. لذلك، فإن التزام محترف الأمن هو تنظيم الوصول - حماية البيانات التي تحتاج إلى حماية، مع السماح بالوصول إلى الأفراد المصرح لهم.
معلومات التعريف الشخصية (PII) هو مصطلح يتعلق بمجال السرية. يتعلق الأمر بأي بيانات عن فرد يمكن استخدامها لتحديد هويته. المصطلحات الأخرى المتعلقة بالسرية هي المعلومات الصحية المحمية (PHI)، وهي معلومات تتعلق بالحالة الصحية للفرد، والمعلومات السرية أو الحساسة، والتي تشمل الأسرار التجارية والبحوث وخطط الأعمال والملكية الفكرية.
تعريف مفيد آخر هو الحساسية، وهو مقياس للأهمية المسندة للمعلومات من قبل مالكها، أو الغرض من الدلالة على حاجتها إلى الحماية. المعلومات الحساسة هي المعلومات التي إذا تم الكشف عنها بشكل غير صحيح (السرية) أو تعديلها (النزاهة) من شأنها أن تضر بمنظمة أو فرد. في كثير من الحالات، ترتبط الحساسية بالضرر الذي يلحق بأصحاب المصلحة الخارجيين؛ أي الأشخاص أو المنظمات التي قد لا تكون جزءا من المنظمة التي تعالج أو تستخدم المعلومات

تقيس النزاهة الدرجة التي يكون فيها شيء ما كاملا وكاملا ومتسقا داخليا وصحيحا. ينطبق مفهوم النزاهة على:
معلومات أو بيانات
أنظمة وعمليات العمليات التجارية
منظمات
الناس وأفعالهم
سلامة البيانات هي التأكيد على أن البيانات لم يتم تغييرها بطريقة غير مصرح بها. يتطلب ذلك حماية البيانات في الأنظمة وأثناء المعالجة لضمان خلوها من التعديل أو الأخطاء أو فقدان المعلومات بشكل غير صحيح وتسجيلها واستخدامها وصيانتها بطريقة تضمن اكتمالها. تغطي سلامة البيانات البيانات أثناء التخزين وأثناء المعالجة وأثناء النقل.
يجب أن تكون المعلومات دقيقة ومتسقة داخليا ومفيدة لغرض معلن. يضمن الاتساق الداخلي للمعلومات صحة المعلومات في جميع الأنظمة ذات الصلة بحيث يتم عرضها وتخزينها بنفس الطريقة على جميع الأنظمة. يتطلب الاتساق، كجزء من سلامة البيانات، أن تكون جميع حالات البيانات متطابقة في الشكل والمحتوى والمعنى.
تشير سلامة النظام إلى الحفاظ على تكوين جيد معروف ووظيفة تشغيلية متوقعة حيث يعالج النظام المعلومات. يبدأ ضمان النزاهة بالوعي بالدولة، وهو الوضع الحالي للنظام. على وجه التحديد، يتعلق هذا الوعي بالقدرة على توثيق وفهم حالة البيانات أو النظام في مرحلة معينة، مما يخلق خط أساس. على سبيل المثال، يمكن أن يشير خط الأساس إلى الحالة الراهنة للمعلومات - سواء كانت محمية. ثم، للحفاظ على تلك الحالة، يجب أن تستمر المعلومات دائما في الحماية من خلال المعاملة.
للمضي قدما من هذا الخط الأساسي، يمكن دائما التأكد من سلامة البيانات أو النظام من خلال مقارنة خط الأساس بالحالة الراهنة. إذا تطابق الاثنان، فإن سلامة البيانات أو النظام سليمة؛ وإذا لم يتطابق الاثنان، فإن سلامة البيانات أو النظام قد تعرضت للخطر. النزاهة هي عامل أساسي في موثوقية المعلومات والنظم.
قد تملي القوانين واللوائح الحاجة إلى حماية المعلومات وسلامة النظام. في كثير من الأحيان، تملي احتياجات المنظمة للوصول إلى معلومات موثوقة ودقيقة واستخدامها.
يمكن تعريف التوافر على أنه (1) الوصول إلى المعلومات في الوقت المناسب وبموثوقية والقدرة على استخدامها، و(2) للمستخدمين المصرح لهم، الوصول في الوقت المناسب وبموثوقية إلى خدمات البيانات والمعلومات.
المفهوم الأساسي للتوافر هو أن البيانات متاحة للمستخدمين المصرح لهم متى وأينما كانت هناك حاجة إليها وفي الشكل والشكل المطلوبين. هذا لا يعني أن البيانات أو الأنظمة متاحة بنسبة 100٪ من الوقت. بدلا من ذلك، تفي النظم والبيانات بمتطلبات الأعمال التجارية للوصول في الوقت المناسب وبموثوقية.
بعض الأنظمة والبيانات أكثر أهمية بكثير من غيرها، لذلك يجب على محترف الأمن ضمان توفير المستويات المناسبة من التوافر. وهذا يتطلب التشاور مع الأعمال التجارية المعنية لضمان تحديد النظم الحيوية وإتاحتها. غالبا ما يرتبط التوافر بمصطلح الأهمية الحرجة، لأنه يمثل الأهمية التي توليها المنظمة للبيانات أو نظام المعلومات في أداء عملياتها أو تحقيق مهمتها.
المصادقة:عندما يذكر المستخدمون هويتهم، من الضروري التحقق من أنهم المالكون الشرعيون لتلك الهوية. تعرف عملية التحقق من هوية المستخدم أو إثباتها بالمصادقة. ببساطة، المصادقة هي عملية لإثبات هوية الطالب.
هناك ثلاث طرق شائعة للمصادقة:
شيء تعرفه: كلمات المرور أو عبارات المرور
شيء لديك: الرموز المميزة وبطاقات الذاكرة والبطاقات الذكية
شيء أنت عليه: القياسات الحيوية، الخصائص القابلة للقياس
طرق المصادقة
هناك نوعان من المصادقة. يعرف استخدام طريقة واحدة فقط من طرق المصادقة المذكورة سابقا باسم المصادقة أحادية العامل (SFA). يعرف منح المستخدمين حق الوصول فقط بعد إظهار أو عرض طريقتين أو أكثر من هذه الطرق بنجاح باسم المصادقة متعددة العوامل (MFA).
أفضل الممارسات الشائعة هي تنفيذ اثنتين على الأقل من التقنيات الثلاث الشائعة للمصادقة:
قائم على المعرفة
قائم على الرمز المميز
قائم على الخصائص
تستخدم المصادقة القائمة على المعرفة عبارة مرور أو رمز سري للتمييز بين المستخدم المصرح به وغير المصرح به. إذا اخترت رقم تعريف شخصي (PIN)، أو أنشأت كلمة مرور أو بعض القيم السرية الأخرى التي تعرفها أنت فقط، فقد واجهت مصادقة قائمة على المعرفة. تكمن المشكلة في استخدام هذا النوع من المصادقة وحده في أنه غالبا ما يكون عرضة لمجموعة متنوعة من الهجمات. على سبيل المثال، قد يتلقى مكتب المساعدة مكالمة لإعادة تعيين كلمة مرور المستخدم. يتمثل التحدي في ضمان إعادة تعيين كلمة المرور فقط للمستخدم الصحيح وليس لشخص آخر يتظاهر بأنه هذا المستخدم. للحصول على أمان أفضل، ستكون هناك حاجة إلى شكل ثان أو ثالث من المصادقة يعتمد على رمز مميز أو خاصية قبل إعادة تعيين كلمة المرور. يتكون الاستخدام المشترك لمعرف المستخدم وكلمة المرور من شيئين معروفين، ولأنه لا يفي بمتطلبات استخدام طريقتين أو أكثر من طرق المصادقة المذكورة، فإنه لا يعتبر وزارة الخارجية.
عدم التنصل: هو مصطلح قانوني ويعرف بأنه الحماية من الفرد الذي ينكر كذبا القيام بعمل معين. إنه يوفر القدرة على تحديد ما إذا كان فرد معين قد اتخذ إجراء معينا، مثل المعلومات التي تم إنشاؤها أو المعلومات المعتمدة أو إرسال رسالة أو استلامها.
في عالم التجارة الإلكترونية والمعاملات الإلكترونية اليوم، هناك فرص لانتحال شخصية الآخرين أو رفض إجراء ما، مثل إجراء عملية شراء عبر الإنترنت ورفضها لاحقا. من المهم أن يثق جميع المشاركين في المعاملات عبر الإنترنت. تضمن منهجيات عدم التنصل تحميل الأشخاص المسؤولية عن المعاملات التي أجروها.
الخصوصية :هي حق الفرد في التحكم في توزيع المعلومات عن نفسه. في حين أن كل من الأمن والخصوصية يركزان على حماية البيانات الشخصية والحساسة، إلا أن هناك فرقا بينهما. مع تزايد معدل جمع البيانات وتخزينها رقميا في جميع الصناعات، يزداد الضغط من أجل تشريعات الخصوصية والامتثال للسياسات القائمة بشكل مطرد. في الاقتصاد العالمي اليوم، يمكن أن تؤثر تشريعات ولوائح الخصوصية بشأن الخصوصية وحماية البيانات على الشركات والصناعات بغض النظر عن الموقع الفعلي. تعد الخصوصية العالمية قضية حاسمة بشكل خاص عند النظر في المتطلبات المتعلقة بجمع المعلومات الشخصية وأمنها. هناك العديد من القوانين التي تحدد الخصوصية وحماية البيانات، والتي تتغير بشكل دوري. إن ضمان وجود تدابير أمنية وقائية لا يكفي لتلبية لوائح الخصوصية أو لحماية الشركة من تكبد عقوبات أو غرامات من سوء التعامل مع المعلومات الشخصية أو الخاصة أو إساءة استخدامها أو حمايتها بشكل غير صحيح. مثال على قانون له آثار متعددة الجنسيات هو اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) التي تنطبق على جميع المنظمات، الأجنبية أو المحلية، التي تقوم بأعمال تجارية في الاتحاد الأوروبي أو أي أشخاص في الاتحاد الأوروبي. قد تندرج الشركات التي تعمل أو تقوم بأعمال تجارية داخل الولايات المتحدة أيضا تحت العديد من تشريعات الولايات التي تنظم جمع واستخدام بيانات المستهلك والخصوصية. وبالمثل، تسن الدول الأعضاء في الاتحاد الأوروبي قوانين لوضع اللائحة العامة لحماية البيانات موضع التنفيذ وأحيانا إضافة متطلبات أكثر صرامة. تملي هذه القوانين، بما في ذلك القوانين على المستوى الوطني وعلى مستوى الولاية، أن أي كيان في أي مكان في العالم يتعامل مع البيانات الخاصة للأشخاص في ولاية قضائية قانونية معينة يجب أن يلتزم بمتطلبات الخصوصية الخاصة به. بصفتك عضوا في فريق حماية البيانات التابع للمنظمة، لن يطلب منك تفسير هذه القوانين، ولكنك ستحتاج إلى فهم كيفية تطبيقها على مؤسستك.

تمثل المخاطر والقضايا المتعلقة بالأمن مصدر قلق مستمر للشركات وكذلك مجال الأمن السيبراني، ولكن في كثير من الأحيان تفشل المنظمات في إدارة المخاطر بشكل استباقي. يجب أن يكون تقييم المخاطر وتحليلها ممارسة مستمرة وشاملة في أي منظمة. بصفتك عضوا في فريق الأمن في المنظمة، ستعمل من خلال تقييم المخاطر والتحليل والتخفيف من حدتها ومعالجتها والتواصل.
هناك العديد من النماذج المستخدمة لتسهيل عملية إدارة المخاطر، وكل منظمة تتخذ قرارها الخاص بشأن ما يشكل المخاطر ومستوى المخاطر التي ترغب في قبولها. ومع ذلك، هناك قواسم مشتركة بين المصطلحات والمفاهيم والمهارات اللازمة لقياس المخاطر وإدارتها. هذه الوحدة تجعلك تبدأ من خلال تقديم المصطلحات التأسيسية وتعريفك بعملية إدارة المخاطر.
أولا، تعريف المخاطر هو مقياس لمدى تهديد الكيان بظرف أو حدث محتمل. غالبا ما يتم التعبير عنه على أنه مزيج من:
الآثار السلبية التي قد تنشأ إذا حدث الظرف أو الحدث، واحتمال الحدوث.
تعكس مخاطر أمن المعلومات الآثار الضارة المحتملة التي تنتج عن إمكانية الوصول غير المصرح به إلى المعلومات و/أو نظم المعلومات أو استخدامها أو الكشف عنها أو تعطيلها أو تعديلها أو تدميرها. يمثل هذا التعريف أن المخاطر مرتبطة بالتهديدات والتأثير والاحتمالات، ويشير أيضا إلى أن مخاطر تكنولوجيا المعلومات هي مجموعة فرعية من مخاطر الأعمال التجارية.
مصطلحات إدارة المخاطر
يستخدم المتخصصون في مجال الأمن معارفهم ومهاراتهم لفحص إدارة المخاطر التشغيلية، وتحديد كيفية استخدام بيانات المخاطر بفعالية، والعمل عبر الوظائف، والإبلاغ عن المعلومات والنتائج القابلة للتنفيذ إلى أصحاب المصلحة المعنيين. مصطلحات مثل التهديدات ونقاط الضعف والأصول مألوفة لمعظم المتخصصين في الأمن السيبراني.
الأصل هو شيء يحتاج إلى حماية.
الضعف هو فجوة أو ضعف في جهود الحماية هذه.
التهديد هو شيء أو شخص يهدف إلى استغلال نقطة ضعف لإحباط
جهود الحماية.
الخطر هو تقاطع هذه المصطلحات. دعونا ننظر إليهم عن كثب.
التهديدات
التهديد هو شخص أو شيء يتخذ إجراء لاستغلال (أو الاستفادة من) نقاط الضعف في نظام المنظمة المستهدفة، كجزء من تحقيق أو تعزيز هدفها أو أهدافها. لفهم التهديدات بشكل أفضل،

نقاط الضعف:
الضعف هو ضعف أو عيب متأصل في نظام أو مكون، والذي، إذا تم تشغيله أو التصرف بناء عليه، يمكن أن يتسبب في حدوث حدث خطر.
يسعى فريق الأمن في المنظمة جاهدا لتقليل ضعفه. للقيام بذلك،

ينظرون إلى منظمتهم بعيون ممثل التهديد، ويسألون أنفسهم، "لماذا سنكون هدفا جذابا؟" قد توفر الإجابات خطوات يجب اتخاذها من شأنها أن تثبط الجهات الفاعلة في مجال التهديد، أو تجعلهم يبحثون في مكان آخر أو ببساطة تجعل من الصعب شن هجوم بنجاح. على سبيل المثال، لحماية نفسك من النشل، يمكنك حمل محفظتك في جيب داخلي بدلا من جيب البنطال الخلفي أو التصرف بحذر بدلا من تجاهل محيطك.
احتمال:
عند تحديد نقاط الضعف في المنظمة، سينظر فريق الأمن في احتمال أو احتمال استغلال نقطة ضعف محتملة في بناء بيئة التهديد في المنظمة. احتمال الحدوث هو عامل مرجح يعتمد على تحليل ذاتي لاحتمال أن يكون تهديدا معينا أو مجموعة من التهديدات قادرة على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف.
وأخيرا، سينظر فريق الأمن في النتائج المحتملة إذا تحقق تهديد وحدث. التأثير هو حجم الضرر الذي يمكن توقع أن ينتج عن عواقب الكشف غير المصرح به عن المعلومات، أو التعديل غير المصرح به للمعلومات، أو التدمير غير المصرح به للمعلومات، أو فقدان المعلومات أو توافر نظام المعلومات.

تحديد المخاطر

كيف تحدد المخاطر؟ هل تمشي في الشارع لمشاهدة حركة المرور وتبحث عن البرك على الأرض؟ ربما لاحظت أسلاكا فضفاضة في مكتبك أو ماء في طابق المكتب؟ إذا كنت تبحث بالفعل عن المخاطر، فستتناسب مع محترفي الأمن الآخرين الذين يعرفون أنه من الضروري البحث بشكل أعمق للعثور على المشاكل المحتملة.

في عالم الإنترنت، تحديد المخاطر ليس نشاطا واحدا. إنها عملية متكررة لتحديد المخاطر المحتملة المختلفة، وتوصيفها ثم تقدير قدرتها على تعطيل المنظمة.
إنه ينطوي على النظر إلى شركتك الفريدة وتحليل وضعها الفريد. يعرف محترفو الأمن الخطط الاستراتيجية والتكتيكية والتشغيلية لمنظمتهم.
الوجبات السريعة التي يجب تذكرها حول تحديد المخاطر:
حدد المخاطر لتوصيلها بوضوح.
الموظفون على جميع مستويات المنظمة مسؤولون عن تحديد المخاطر.
حدد المخاطر للحماية منها.
بصفتك محترفا أمنيا، من المحتمل أن تساعد في تقييم المخاطر على مستوى النظام، مع التركيز على أنشطة العملية أو التحكم أو الرصد أو الاستجابة للحوادث والتعافي. إذا كنت تعمل مع منظمة أصغر، أو منظمة تفتقر إلى أي نوع من خطة وبرنامج إدارة المخاطر والتخفيف، فقد تتاح لك الفرصة للمساعدة في ملء هذا الفراغ في التخطيط.
تقييم مخاطر
يتم تعريف تقييم المخاطر على أنه عملية تحديد المخاطر وتقديرها وتحديد أولوياتها لعمليات المنظمة (بما في ذلك مهمتها ووظائفها وصورتها وسمعتها) والأصول والأفراد والمنظمات الأخرى وحتى الأمة. يجب أن يؤدي تقييم المخاطر إلى مواءمة (أو ربط) كل خطر محدد ناتج عن تشغيل نظام معلومات مع الأهداف أو الأهداف أو الأصول أو العمليات التي تستخدمها المنظمة، والتي بدورها تتماشى مع أهداف المنظمة وغاياتها أو تدعمها مباشرة.
يحدد نشاط تقييم المخاطر المشترك خطر نشوب حريق في المبنى. في حين أن هناك العديد من الطرق للتخفيف من هذا الخطر، فإن الهدف الأساسي من تقييم المخاطر هو التقدير وتحديد الأولويات. على سبيل المثال، أجهزة إنذار الحريق هي الأقل تكلفة ويمكن أن تنبه الموظفين إلى الإخلاء وتقليل خطر الإصابة الشخصية، لكنها لن تمنع الحريق من الانتشار أو التسبب في المزيد من الضرر. لن تمنع أنظمة الرش الحريق ولكن يمكن أن تقلل من مقدار الضرر الناجم. ومع ذلك، في حين أن الرشاشات في مركز البيانات تحد من انتشار الحريق، فمن المحتمل أن تدمر جميع الأنظمة والبيانات الموجودة عليها. قد يكون النظام القائم على الغاز هو أفضل حل لحماية النظم، ولكنه قد يكون باهظ التكلفة. يمكن لتقييم المخاطر إعطاء الأولوية لهذه البنود للإدارة لتحديد طريقة التخفيف التي تناسب الأصول المحمية على أفضل وجه.
غالبا ما يتم توثيق نتيجة عملية تقييم المخاطر كتقرير أو عرض تقديمي للإدارة لاستخدامها في تحديد أولويات المخاطر المحددة. يقدم هذا التقرير إلى الإدارة لمراجعته والموافقة عليه. في بعض الحالات، قد تشير الإدارة إلى الحاجة إلى تقييم أكثر تعمقا أو تفصيلا للمخاطر تقوم به الموارد الداخلية أو الخارجية.
علاج المخاطر
تتعلق معالجة المخاطر باتخاذ قرارات بشأن أفضل الإجراءات التي يجب اتخاذها فيما يتعلق بالمخاطر المحددة وذات الأولوية. تعتمد القرارات المتخذة على موقف الإدارة تجاه المخاطر وتوافر - وتكلفة - التخفيف من المخاطر. الخيارات المستخدمة عادة للاستجابة للمخاطر هي:حدد كل نقطة ساخنة لعلامة زائد لمعرفة المزيد عن كل موضوع.
أولويات المخاطر
عندما يتم تحديد المخاطر، فقد حان الوقت لتحديد أولويات المخاطر الأساسية وتحليلها من خلال التحليل النوعي للمخاطر و/أو التحليل الكمي للمخاطر. هذا ضروري لتحديد السبب الجذري وتضييق المخاطر الظاهرة والمخاطر الأساسية. يعمل محترفو الأمن مع فرقهم لإجراء كل من التحليل النوعي والكمي.
يساعد فهم المهمة العامة للمنظمة والوظائف التي تدعم البعثة على وضع المخاطر في سياقها وتحديد الأسباب الجذرية وتحديد أولويات تقييم هذه العناصر وتحليلها. في معظم الحالات، ستوفر الإدارة التوجيه لاستخدام نتائج تقييم المخاطر لتحديد مجموعة ذات أولوية من إجراءات الاستجابة للمخاطر.
اتخاذ القرار بناء على أولويات المخاطر
عند اتخاذ القرارات بناء على أولويات المخاطر، يجب على المنظمات تقييم احتمالية المخاطر وتأثيرها وكذلك تسامحها مع أنواع مختلفة من المخاطر. شركة في هاواي أكثر قلقا بشأن خطر الانفجارات البركانية من شركة في شيكاغو، ولكن سيتعين على شركة شيكاغو التخطيط للعواصف الثلجية. في هذه الحالات، فإن تحديد تحمل المخاطر متروك للإدارة التنفيذية ومجلس الإدارة. إذا اختارت الشركة تجاهل المخاطر أو قبولها، مما يعرض العمال للأسبستوس، على سبيل المثال، فإنها تضع الشركة في موقف مسؤولية هائلة.
تحمل المخاطر
غالبا ما يتم تشبيه إدارة التصور نحو المخاطرة بشهية الكيان للمخاطر. ما مقدار المخاطرة التي هم على استعداد لتحملها؟ هل ترحب الإدارة بالمخاطر أم تريد تجنبها؟ يختلف مستوى تحمل المخاطر عبر المنظمات، وحتى داخليا: قد يكون للإدارات المختلفة مواقف مختلفة تجاه المخاطر المقبولة أو غير المقبولة.
عادة ما يكون فهم موقف المنظمة والإدارة العليا تجاه المخاطر هو نقطة البداية لجعل الإدارة تتخذ إجراءات فيما يتعلق بالمخاطر.
تحدد الإدارة التنفيذية و/أو مجلس الإدارة ما هو المستوى المقبول من المخاطر على المنظمة. يهدف المتخصصون في مجال الأمن إلى الحفاظ على مستويات المخاطر ضمن حدود الإدارة لتحمل المخاطر.
في كثير من الأحيان، يتم إملاء تحمل المخاطر من خلال الموقع الجغرافي. على سبيل المثال، تخطط الشركات في أيسلندا للمخاطر التي تفرضها البراكين القريبة على أعمالها. ستكون الشركات التي هي خارج المسار المتوقع لتدفق الحمم البركانية أقل عرضة للخطر من تلك الموجودة مباشرة في تدفق المسار. وبالمثل، فإن احتمال انقطاع التيار الكهربائي الذي يؤثر على مركز البيانات يشكل تهديدا حقيقيا في جميع مناطق العالم. في المناطق التي تكون فيها العواصف الرعدية شائعة، قد يحدث انقطاع التيار الكهربائي أكثر من مرة في الشهر، في حين قد تشهد مناطق أخرى انقطاعا واحدا أو اثنين فقط سنويا. سيساعد حساب وقت التوقف الذي من المرجح أن يحدث بأطوال متفاوتة من وقت التوقف عن العمل على تحديد مدى تحمل الشركة للمخاطر. إذا كان لدى الشركة تحمل منخفض لخطر التوقف عن العمل، فمن المرجح أن تستثمر في مولد لتشغيل الأنظمة الحيوية. ستستثمر الشركة التي لديها تسامح أقل مع وقت التوقف عن العمل في مولدات متعددة ذات مصادر وقود متعددة لتوفير مستوى أعلى من الضمان بأن الطاقة لن تفشل.
ما هي الضوابط الأمنية؟
تتعلق الضوابط الأمنية بالآليات المادية والتقنية والإدارية التي تعمل كضمانات أو تدابير مضادة موصوفة لنظام معلومات لحماية سرية وسلامة وتوافر النظام ومعلوماته. ينبغي أن يقلل تنفيذ الضوابط من المخاطر، ونأمل أن يكون إلى مستوى مقبول.
عناصر الحوكمة
توجد أي شركة أو منظمة لتحقيق غرض ما، سواء كان ذلك لتوفير المواد الخام لصناعة ما، أو تصنيع المعدات لبناء أجهزة الكمبيوتر، أو تطوير تطبيقات البرمجيات، أو بناء المباني، أو توفير السلع والخدمات. يتطلب إكمال الهدف اتخاذ القرارات وتحديد القواعد والممارسات ووضع السياسات والإجراءات لتوجيه المنظمة في سعيها لتحقيق أهدافها ومهمتها.
عندما ينفذ القادة والإدارة الأنظمة والهياكل التي ستستخدمها المنظمة لتحقيق أهدافها، فإنهم يسترشدون بالقوانين واللوائح التي أنشأتها الحكومات لسن السياسة العامة. القوانين واللوائح توجه تطوير المعايير، التي تزرع السياسات، مما يؤدي إلى إجراءات.
مدونة قواعد السلوك المهنية
يدرك جميع المهنيين في مجال أمن المعلومات المعتمدين من قبل ISC2 أن الشهادة هي امتياز يجب الحصول عليه والحفاظ عليه. يطلب من كل عضو في ISC2 الالتزام بالدعم الكامل لمدونة أخلاقيات ISC2.
تنص الديباجة على الغرض والقصد من مدونة أخلاقيات ISC2.
تتطلب سلامة ورفاهية المجتمع والصالح العام، والواجب تجاه مديرينا، وتجاه بعضنا البعض، أن نلتزم، وأن ينظر إلينا على أننا نلتزم، بأعلى المعايير الأخلاقية للسلوك.
لذلك، فإن الالتزام الصارم بهذا القانون هو شرط لإصدار الشهادات.
‏ISC2 مدونة الأخلاقيات الشرائع
تمثل الشرائع المعتقدات المهمة المشتركة بين أعضاء ISC2. على محترفي الأمن السيبراني الذين هم أعضاء في ISC2 واجب تجاه الكيانات الأربعة التالية في الشرائع.
حماية المجتمع، والصالح العام، والثقة العامة الضرورية، والبنية التحتية.
تصرف بشرف وصدق وعدل ومسؤولية وقانونية.
تقديم خدمة دؤوبة ومختصة للمديرين.
تقدم وحماية المهنة.

في هذا الفصل، غطينا المبادئ الأمنية، بدءا من مفاهيم ضمان المعلومات. لقد سلطنا الضوء على ثالوث وكالة المخابرات المركزية باعتباره المكونات الأساسية لضمان المعلومات. تعني "C" السرية؛ يجب علينا حماية البيانات التي تحتاج إلى حماية ومنع الوصول إلى الأفراد غير المصرح لهم. تمثل "I" النزاهة؛ يجب أن نضمن عدم تغيير البيانات بطريقة غير مصرح بها. يرمز "أ" إلى التوافر؛ يجب أن نتأكد من أن البيانات في متناول المستخدمين المصرح لهم متى وأينما كانت هناك حاجة إليها، وفي الشكل والتنسيق المطلوبين. كما ناقشنا أهمية الخصوصية والمصادقة وعدم التنصل والتفويض.
لقد استكشفت الضمانات والتدابير المضادة المنصوص عليها لنظام المعلومات لحماية سرية وسلامة وتوافر النظام ومعلوماته. من خلال تطبيق إدارة المخاطر، تمكنا من تقييم المخاطر وتحديد أولوياتها (نقاط الضعف في الأصول التي يمكن استغلالها من قبل التهديدات) للمنظمة. يمكن للمنظمة أن تقرر ما إذا كانت ستقبل المخاطر (تجاهل المخاطر ومواصلة الأنشطة المحفوفة بالمخاطر)، أو تجنب المخاطر (وقف النشاط المحفوف بالمخاطر لإزالة احتمال حدوث حدث ما)، أو التخفيف من المخاطر (اتخاذ إجراءات لمنع أو تقليل تأثير الحدث)، أو نقل المخاطر (نقل المخاطر إلى طرف ثالث).
ثم تعلمت عن ثلاثة أنواع من الضوابط الأمنية: المادية والتقنية والإدارية. إنها تعمل كضمانات أو تدابير مضادة منصوص عليها لنظام المعلومات لحماية سرية وسلامة وتوافر النظام ومعلوماته. ينبغي أن يقلل تنفيذ الضوابط الأمنية من المخاطر، ونأمل أن يكون إلى مستوى مقبول. تعالج الضوابط المادية الاحتياجات الأمنية القائمة على العمليات باستخدام أجهزة الأجهزة المادية، مثل قارئ الشارات، والسمات المعمارية للمباني والمرافق، والإجراءات الأمنية المحددة التي يتخذها الناس. الضوابط التقنية (وتسمى أيضا الضوابط المنطقية) هي ضوابط أمنية تنفذها أنظمة الكمبيوتر والشبكات مباشرة. الضوابط الإدارية (المعروفة أيضا باسم الضوابط الإدارية) هي توجيهات أو مبادئ توجيهية أو إرشادات تستهدف الأشخاص داخل المنظمة.
ثم تعرفت على الأدوار الأمنية التنظيمية والحوكمة، والسياسات والإجراءات التي تشكل الإدارة التنظيمية وتدفع عملية صنع القرار. كما نوقش، نستمد عادة الإجراءات من السياسات، والسياسات من المعايير، والمعايير من اللوائح. عادة ما تصدر اللوائح في شكل قوانين، عادة من الحكومة (لا ينبغي الخلط بينها وبين الحوكمة) وعادة ما تحمل عقوبات مالية لعدم الامتثال. غالبا ما تستخدم فرق الحوكمة المعايير لتوفير إطار لإدخال السياسات والإجراءات لدعم اللوائح. يتم وضع السياسات من قبل الحوكمة التنظيمية، مثل الإدارة التنفيذية، لتوفير التوجيه في جميع الأنشطة لضمان دعم المنظمة لمعايير ولوائح الصناعة. الإجراءات هي الخطوات التفصيلية لإكمال مهمة من شأنها أن تدعم السياسات الإدارية أو التنظيمية.
وأخيرا، غطينا مدونة أخلاقيات ISC2، التي يلتزم أعضاء المنظمة بدعمها الكامل. خلاصة القول، يجب أن نتصرف بشكل قانوني وأخلاقي في مجال الأمن السيبراني.
‏A-C:
الأمن الكافي - الأمن الكافي بما يتناسب مع خطر وحجم الضرر الناجم عن فقدان المعلومات أو إساءة استخدامها أو الوصول غير المصرح به إليها أو تعديلها. المصدر: OMB Circular A-130
الضوابط الإدارية - الضوابط المنفذة من خلال السياسة والإجراءات. ومن الأمثلة على ذلك عمليات التحكم في الوصول ومطالبة العديد من الموظفين بإجراء عملية محددة. غالبا ما يتم إنفاذ الضوابط الإدارية في البيئات الحديثة بالاقتران مع الضوابط المادية و/أو التقنية، مثل سياسة منح الوصول للمستخدمين الجدد التي تتطلب تسجيل الدخول والموافقة من قبل مدير التوظيف.
الذكاء الاصطناعي - قدرة أجهزة الكمبيوتر والروبوتات على محاكاة الذكاء والسلوك البشري.
الأصول - أي شيء ذي قيمة تملكه منظمة. تشمل الأصول كلا من العناصر الملموسة مثل نظم المعلومات والممتلكات المادية والأصول غير الملموسة مثل الملكية الفكرية.
المصادقة - فعل تحديد أو التحقق من أهلية محطة أو منشئ أو فرد للوصول إلى فئات محددة من المعلومات. عادة، إجراء مصمم للحماية من عمليات الإرسال الاحتيالية من خلال إثبات صحة الإرسال أو الرسالة أو المحطة أو المنشئ.
الترخيص - الحق أو الإذن الممنوح لكيان النظام للوصول إلى مورد النظام. نيست 800-82 التنقيح 2
التوافر - ضمان الوصول إلى المعلومات واستخدامها في الوقت المناسب وبموثوقية من قبل المستخدمين المصرح لهم.
خط الأساس - أدنى مستوى موثق من التكوين الأمني يسمح به معيار أو منظمة.
بوت - رمز خبيث يعمل مثل "روبوت" يتم التحكم فيه عن بعد للمهاجم، مع قدرات أخرى على طروادة والدودة.
المعلومات المصنفة أو الحساسة - المعلومات التي تم تحديدها تتطلب الحماية من الكشف غير المصرح به ويتم وضع علامة عليها للإشارة إلى حالتها السرية ومستوى تصنيفها عندما تكون في شكل وثائقي.
السرية - خاصية البيانات أو المعلومات عندما لا يتم إتاحتها أو الكشف عنها للأشخاص أو العمليات غير المصرح لهم. نيست 800-66
الأهمية الحاسمة - مقياس لدرجة اعتماد المنظمة على نظام المعلومات أو المعلومات لنجاح مهمة أو وظيفة تجارية.
‏D-A:
سلامة البيانات - الخاصية التي لم يتم تغيير البيانات بطريقة غير مصرح بها. تغطي سلامة البيانات البيانات أثناء التخزين وأثناء المعالجة وأثناء النقل. المصدر: NIST SP 800-27 Rev A
التشفير - عملية وفعل تحويل الرسالة من نصها العادي إلى نص مشفر. في بعض الأحيان يشار إليه أيضا باسم التشفير. يستخدم المصطلحان أحيانا بالتبادل في الأدب ولهما معان متشابهة.
اللائحة العامة لحماية البيانات (GDPR) - في عام 2016، أصدر الاتحاد الأوروبي تشريعا شاملا يتناول الخصوصية الشخصية، معتبرا أنها حق فردي من حقوق الإنسان.
الحوكمة - عملية كيفية إدارة المنظمة؛ عادة ما تشمل جميع جوانب كيفية اتخاذ القرارات لتلك المنظمة، مثل السياسات والأدوار والإجراءات التي تستخدمها المنظمة لاتخاذ تلك القرارات.
قانون نقل التأمين الصحي والمساءلة (HIPAA) - هذا القانون الفيدرالي الأمريكي هو أهم تنظيم لمعلومات الرعاية الصحية في الولايات المتحدة. إنه يوجه اعتماد المعايير الوطنية لمعاملات الرعاية الصحية الإلكترونية مع حماية خصوصية المعلومات الصحية الفردية. تتناول الأحكام الأخرى الحد من الاحتيال وحماية الأفراد الذين لديهم تأمين صحي ومجموعة واسعة من الأنشطة الأخرى المتعلقة بالرعاية الصحية. تقدير عام 1996.
التأثير - حجم الضرر الذي يمكن أن يسببه ممارسة التهديد للضعف.
مخاطر أمن المعلومات - الآثار السلبية المحتملة على عمليات المنظمة (بما في ذلك مهمتها ووظائفها وصورتها وسمعتها)، والأصول، والأفراد، والمنظمات الأخرى، وحتى الأمة، والتي تنتج عن إمكانية الوصول غير المصرح به إلى المعلومات و/أو نظم المعلومات و/أو الكشف عنها أو الكشف عنها أو تعطيلها أو تعديلها أو تدميرها.
معهد مهندسي الكهرباء والإلكترونيات - IEEE هي منظمة مهنية تضع معايير الاتصالات السلكية واللاسلكية وهندسة الكمبيوتر والتخصصات المماثلة.
النزاهة - ملكية المعلومات التي يتم من خلالها تسجيلها واستخدامها وصيانتها بطريقة تضمن اكتمالها ودقتها واتساقها الداخلي وفائدتها لغرض معلن.
المنظمة الدولية للمعايير (ISO) - تقوم المنظمة الدولية لتوحيد المقاييس بتطوير معايير دولية طوعية بالتعاون مع شركائها في
التوحيد القياسي الدولي، واللجنة الدولية الكهروتقنية (IEC) والاتحاد الدولي للاتصالات (ITU)، ولا سيما في مجال تكنولوجيا المعلومات والاتصالات.
فرقة العمل المعنية بهندسة الإنترنت (IETF) - منظمة معايير الإنترنت، المكونة من مصممي الشبكات والمشغلين والبائعين والباحثين، التي تحدد معايير البروتوكول (على سبيل المثال، IP، TCP، DNS) من خلال عملية التعاون والتوافق.

‏J-P:
الاحتمال - احتمال ممارسة ضعف محتمل في إطار بناء بيئة التهديد المرتبطة بها.
احتمال الحدوث - عامل مرجح يعتمد على تحليل ذاتي لاحتمال أن يكون تهديدا معينا قادرا على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف.
المصادقة متعددة العوامل - استخدام حالتين متميزتين أو أكثر من العوامل الثلاثة للمصادقة (شيء تعرفه، شيء لديك، شيء أنت عليه) للتحقق من الهوية.
المعاهد الوطنية للمعايير والتكنولوجيا (NIST) - NIST هي جزء من الولايات المتحدة. وزارة التجارة وتتناول البنية التحتية للقياس في إطار جهود العلوم والتكنولوجيا داخل الحكومة الفيدرالية للولايات المتحدة. تضع NIST المعايير في عدد من المجالات، بما في ذلك أمن المعلومات داخل مركز موارد أمن الحاسوب التابع لشعبة أمن الحاسوب.
عدم التنصل - عدم القدرة على رفض اتخاذ إجراء مثل إنشاء المعلومات والموافقة على المعلومات وإرسال رسالة أو تلقيها.
معلومات التعريف الشخصية (PII) - يعرف المعهد الوطني للمعايير والتكنولوجيا، المعروف باسم NIST، في منشوره الخاص 800-122 PII بأنها "أي معلومات عن فرد تحتفظ به وكالة، بما في ذلك (1) أي معلومات يمكن استخدامها لتمييز أو تتبع هوية الفرد، مثل الاسم ورقم الضمان الاجتماعي وتاريخ ومكان الميلاد أو اسم الأم قبل الزواج أو السجلات البيومترية؛ و(2) أي معلومات أخرى مرتبطة أو قابلة للربط بالفرد، مثل المعلومات الطبية والتعليمية والمالية والتوظيف".
الضوابط المادية - الضوابط المنفذة من خلال آلية ملموسة. ومن الأمثلة على ذلك الجدران والأسوار والحراس والأقفال وما إلى ذلك. في المنظمات الحديثة، ترتبط العديد من أنظمة التحكم المادية بالأنظمة التقنية/المنطقية، مثل قارئات الشارات المتصلة بأقفال الأبواب.
الخصوصية - حق الفرد في التحكم في توزيع المعلومات عن نفسه.
الاحتمال - الفرص، أو الاحتمال، أن يكون تهديدا معينا قادرا على استغلال نقطة ضعف معينة أو مجموعة من نقاط الضعف. المصدر: NIST SP 800-30 Rev. 1
المعلومات الصحية المحمية (PHI) - المعلومات المتعلقة بالحالة الصحية أو توفير الرعاية الصحية أو الدفع مقابل الرعاية الصحية على النحو المحدد في HIPAA (قانون قابلية نقل التأمين الصحي
والمساءلة).

‏Q-R:
التحليل النوعي للمخاطر - طريقة لتحليل المخاطر تستند إلى تعيين واصف مثل منخفض أو متوسط أو مرتفع. المصدر: NISTIR 8286
التحليل الكمي للمخاطر - طريقة لتحليل المخاطر حيث يتم تعيين القيم العددية لكل من التأثير والاحتمال استنادا إلى الاحتمالات الإحصائية والتقييم النقدي للخسارة أو الربح. المصدر: NISTIR 8286
المخاطر - مقياس لمدى تهديد الكيان بظرف أو حدث محتمل.
قبول المخاطر - تحديد أن الفوائد المحتملة لوظيفة الأعمال التجارية تفوق تأثير/احتمال المخاطر المحتملة وأداء تلك الوظيفة التجارية دون أي إجراء آخر.
تقييم المخاطر - عملية تحديد وتحليل المخاطر التي تتعرض لها العمليات التنظيمية (بما في ذلك المهمة أو الوظائف أو الصورة أو السمعة) والأصول التنظيمية والأفراد والمنظمات الأخرى. التحليل الذي يتم إجراؤه كجزء من إدارة المخاطر الذي يتضمن تحليلات التهديدات والضعف وينظر في التخفيفات التي توفرها الضوابط الأمنية المخطط لها أو المعمول بها.
تجنب المخاطر - تحديد أن تأثير و/أو احتمال حدوث خطر معين أكبر من أن تقابله الفوائد المحتملة وعدم أداء وظيفة تجارية معينة بسبب هذا القرار.
إدارة المخاطر - عملية تحديد التهديدات وتقييمها والسيطرة عليها، بما في ذلك جميع مراحل سياق (أو إطار المخاطر)، وتقييم المخاطر، ومعالجة المخاطر، ورصد المخاطر.
إطار إدارة المخاطر - نهج منظم يستخدم للإشراف على المخاطر وإدارتها للمؤسسة. المصدر: CNSSI 4009
التخفيف من المخاطر - وضع ضوابط أمنية موضعة للحد من التأثير المحتمل و/أو احتمال حدوث خطر معين.
تحمل المخاطر - مستوى المخاطر الذي يرغب الكيان في تحمله من أجل تحقيق النتيجة المرجوة المحتملة. المصدر: NIST SP 800-32. عتبة المخاطرة ورغبة المخاطرة والمخاطر المقبولة هي أيضا مصطلحات تستخدم بشكل مرادف مع تحمل المخاطر.
نقل المخاطر - دفع طرف خارجي لقبول التأثير المالي لمخاطر معينة.
معالجة المخاطر - تحديد أفضل طريقة لمعالجة المخاطر المحددة.
‏Z-S:
الضوابط الأمنية - الضوابط الإدارية والتشغيلية والتقنية (أي الضمانات أو التدابير المضادة) المنصوص عليها لنظام المعلومات لحماية سرية وسلامة وتوافر النظام ومعلوماته. المصدر: FIPS PUB 199
الحساسية - مقياس للأهمية المعطاة للمعلومات من قبل مالكها، لغرض الدلالة على حاجتها إلى الحماية. المصدر: NIST SP 800-60 المجلد 1 Rev 1
المصادقة أحادية العامل - استخدام واحد فقط من العوامل الثلاثة المتاحة (شيء تعرفه، شيء لديك، شيء أنت عليه) لتنفيذ عملية المصادقة المطلوبة.
الدولة

• الشرط الذي يكون فيه الكيان في وقت ما.
  سلامة النظام - الجودة التي يتمتع بها النظام عندما يؤدي وظيفته المقصودة بطريقة غير معوقة، خالية من التلاعب غير المصرح به بالنظام، سواء كان متعمدا أو عرضيا. المصدر: NIST SP 800-27 Rev. A