Practica activelor informaționale și a riscului

Compania A este o firmă de vânzare a echipamentelor industriale cu 120 de angajați. B, din departamentul de vânzări, a fost numit lider de securitate informațională al departamentului și trebuie să întocmească pentru prima dată registrul activelor informaționale al departamentului de vânzări. Departamentul de vânzări deține: datele de contact ale persoanelor de contact ale clienților înregistrate în sistemul de gestionare a clienților, contracte pe hârtie, cărți de vizită primite la expoziții, fișiere Excel cu oferte de preț, laptopuri închiriate și un serviciu cloud de suport comercial. Când B a consultat departamentul de sisteme informatice, i s-a spus: „Cunoaștem datele de pe server, dar nu știm ce informații deține fiecare departament individual.” Ce ar trebui să facă B mai întâi la întocmirea registrului?

1. Se raportează comitetului de securitate informațională faptul că registrul nu este întocmit și se așteaptă instrucțiuni la nivelul întregii companii
2. Se copiază direct în registrul departamentului de vânzări lista serverelor gestionate de departamentul de sisteme informatice
3. Se stabilesc valorile de evaluare a confidențialității, integrității și disponibilității doar pentru datele din sistemul de gestionare a clienților
4. Se identifică toate informațiile utilizate în activitatea departamentului de vânzări, fără a face distincție între date electronice, hârtie, echipamente sau servicii externe

B din departamentul de vânzări al companiei A a identificat informațiile din departament și a întocmit prima versiune a registrului activelor informaționale. Departamentul de vânzări gestionează: datele de contact ale clienților înregistrate pe serverul de gestionare a vânzărilor, contractele originale păstrate în arhiva de la etajul 3, cărțile de vizită primite la expoziții și vizite, și șabloanele de oferte de preț plasate în folderul comun. B a completat pentru fiecare activ coloanele: departament utilizator, responsabil de gestionare, loc de păstrare, suport și cantitate. Pentru cărțile de vizită, aflând că „fiecare angajat le primește și le păstrează personal”, a notat exact așa. Înainte de a preda registrul superiorului, B verifică dacă modul de completare are probleme. Care înregistrare din registru necesită cea mai urgentă revizuire?

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. Nr. 4 — Activele care nu sunt scoase în afara companiei nu trebuie menționate în registru
2. Nr. 1 — Activele cu un număr mare de exemplare trebuie neapărat împărțite pe mai multe rânduri, câte unul pentru fiecare cantitate
3. Nr. 3 — Responsabilul de gestionare nu este o persoană identificată în mod concret, iar locul de păstrare și cantitatea nu sunt cunoscute
4. Nr. 2 — Documentele pe hârtie nu intră sub incidența registrului activelor informaționale, așa că acest rând trebuie eliminat din registru

La compania A, informațiile despre clienți introduse de departamentul de vânzări la primirea comenzilor sunt folosite de departamentul de logistică pentru confirmarea destinației livrării și de departamentul de contabilitate pentru emiterea facturilor. Informațiile despre clienți sunt stocate în sistemul de gestionare a vânzărilor operat de departamentul de sisteme informatice. La întocmirea registrului activelor informaționale, departamentele nu cad de acord asupra cine ar trebui să fie responsabilul de gestionare a acestor informații despre clienți. Departamentul de logistică și cel de contabilitate susțin că „doar le folosim”, iar departamentul de sisteme informatice afirmă că „doar găzduim serverul, nu cunoaștem conținutul”. Care este modul cel mai potrivit de a stabili responsabilul de gestionare?

1. Directorul departamentului de sisteme informatice, care operează sistemul în care sunt stocate informațiile, devine responsabil de gestionare, iar vânzările, logistica și contabilitatea sunt menționate în registru ca departamente utilizatoare
2. Responsabilul departamentului de vânzări, care generează informația în cadrul activității și răspunde de conținut și de domeniul de utilizare, devine responsabil de gestionare, iar logistica și contabilitatea sunt menționate ca departamente utilizatoare
3. Directorii celor trei departamente utilizatoare sunt înregistrați împreună ca responsabili de gestionare și decid prin consens
4. Nu se stabilește niciun responsabil de gestionare și se menționează în registru doar departamentele utilizatoare

La compania A, registrul activelor informaționale este actualizat anual, cu ocazia inventarierii din martie. În acest an fiscal, în departamentul de vânzări, în aprilie a avut loc o mutare de personal care a schimbat responsabilul sistemului de gestionare a clienților. În iunie a fost introdus un nou serviciu cloud de suport comercial, prin care a început salvarea istoricului negocierilor. În septembrie, 1.000 de contracte pe hârtie au fost mutate din arhiva internă într-un depozit extern. În noiembrie, un angajat cu contract pe durată determinată a demisionat, iar fișierele de oferte de preț de care se ocupa au fost preluate de un alt coleg. B consideră că „inventarierea anuală are loc în martie, deci până atunci registrul poate rămâne neschimbat”. Care este observația cea mai potrivită la această idee?

1. Informațiile stocate în serviciul cloud sunt gestionate de furnizor, deci nu trebuie incluse în registrul propriei companii
2. Actualizarea registrului trebuie făcută doar la înlocuirea sistemelor, iar mutările de personal sau schimbările locului de păstrare trebuie excluse din obiectul actualizării
3. Registrul trebuie actualizat imediat de fiecare dată când un activ se schimbă, iar inventarierea anuală trebuie privită ca un moment de completare a lacunelor rămase
4. Registrul este o înregistrare la momentul întocmirii, deci după finalizare nu trebuie modificat deloc, iar anul următor se întocmește un registru complet nou

B din departamentul de vânzări al companiei A a identificat activele informaționale printr-un chestionar intern. Au fost primite doar trei răspunsuri: datele din sistemul de gestionare a clienților, propunerile din folderul comun și contractele din arhivă. Însă, făcând un tur efectiv prin departament, B a găsit un angajat care ținea un fișier Excel cu lista clienților pe desktopul laptopului închiriat, un altul care salva propuneri într-un spațiu de stocare cloud gratuit contractat personal și le edita de acasă, un altul care ținea un teanc de cărți de vizită primite la expoziții într-un sertar, și încă unul care păstra un stick USB moștenit de la un coleg plecat din companie. Niciunul dintre acestea nu apărea în răspunsurile la chestionar. Care este reacția cea mai potrivită a lui B?

1. Cărțile de vizită și stick-ul USB, fiind în cantitate mică, se înregistrează împreună într-un singur rând „diverse”, fără a le număra
2. Se includ în registru și informațiile găsite prin verificare la fața locului, iar metoda de identificare se revizuiește astfel încât să nu se bazeze doar pe autodeclarare
3. Se consideră identificarea finalizată odată ce se elaborează un nou regulament care interzice utilizarea spațiilor de stocare cloud gratuite
4. Se includ în registru doar activele menționate în chestionar, iar restul se tratează ca bunuri personale gestionate individual

B din departamentul de vânzări al companiei A a întocmit registrul activelor informaționale al departamentului și trebuie să verifice dacă există active insuficient gestionate. Superiorul i-a spus: „Nu avem timp să verificăm totul deodată, așa că uită-te mai întâi la ce pare riscant.” Registrul conține, pentru fiecare activ, suportul, locul de păstrare, cantitatea și posibilitatea de a fi scos din companie. B consideră că starea gestionării poate fi dedusă chiar din conținutul înregistrărilor și compară rândurile. Iată un extras din registru. Pentru care activ este cel mai prioritar să se verifice situația reală?

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. Nr. 1 (lista de contacte a clienților)
2. Nr. 3 (notele de negociere)
3. Nr. 4 (copiile facturilor)
4. Nr. 2 (contractele originale)

Supervizorul C din departamentul de vânzări al companiei A urmează să se pensioneze la sfârșitul lunii viitoare. C păstrează istoricul negocierilor cu 20 de clienți în folderul local al laptopului închiriat și în căsuța de e-mail de serviciu, punând doar o parte în folderul comun al departamentului. De asemenea, păstrează într-un sertar de la biroul propriu un stick USB cu desene primite de la clienți. Superiorul i-a spus lui B: „Vreau ca predarea să fie finalizată până la plecare”, iar B, în calitate de lider de securitate informațională, trebuie să organizeze procedura. Ce ar trebui să facă B mai întâi?

1. Se resetează în bloc laptopul folosit de C în ziua plecării, iar stick-ul USB închiriat se aruncă fără a-i verifica conținutul
2. Se identifică toate informațiile deținute de C în cadrul activității și se întocmește o listă, apoi se stabilește împreună cu responsabilul de gestionare ce se predă ca activ informațional
3. Superiorul examinează integral căsuța de e-mail de serviciu a lui C și retransmite pe rând în folderul comun al departamentului mesajele considerate necesare
4. Se dezactivează imediat toate conturile de companie ale lui C și i se interzice complet accesul la sistemele interne până la data plecării

În departamentul de vânzări al companiei A, pentru eficientizarea activității, un angajat a contractat un serviciu online de chestionare pe un plan gratuit. Cu acest serviciu se colectau numele, denumirea companiei și adresa de e-mail ale vizitatorilor de la expoziții, folosite ulterior în activitatea comercială. Nu s-a depus nicio cerere de utilizare la departamentul de sisteme informatice, iar în cadrul departamentului doar câțiva angajați cunoșteau existența serviciului. Când B a descoperit acest lucru în procesul de identificare a activelor informaționale, numărul de înregistrări colectate era de aproximativ 600. Panoul de administrare al serviciului era accesibil prin conturile personale a doi angajați. Care este reacția cea mai potrivită a lui B?

1. Deoarece planul gratuit nu implică costuri, serviciul nu se înregistrează în registru și utilizarea continuă neschimbată
2. Se notează numele celor doi angajați cu cont la coloana responsabilului de gestionare, iar gestionarea de acum înainte se lasă în întregime în seama lor
3. Se șterg imediat toate datele personale colectate, se reziliază serviciul, iar raportarea internă și înregistrarea în registru se omit ambele
4. Se înregistrează în registru informațiile colectate și modul de utilizare, se parcurge procedura internă de solicitare de utilizare și se verifică măsurile de securitate ale furnizorului de servicii

La compania A, din acest an fiscal se organizează registre ale activelor informaționale în toate departamentele, iar departamentul administrativ a ținut o sesiune de informare. După aceasta, B din departamentul de vânzări a primit din partea mai multor angajați întrebarea: „Până unde trebuie incluse informațiile în registrul activelor informaționale?” Departamentul de vânzări deține: baza de date a clienților, contracte pe hârtie, laptopuri și smartphone-uri închiriate, un software de întocmire a ofertelor de preț și un serviciu cloud extern de suport comercial. Există și know-how-ul de negociere a reducerilor, cunoscut doar de angajații veterani. Un angajat susține că „echipamentele înregistrate în inventarul de mijloace fixe al companiei nu ar trebui să fie active informaționale”, iar altul afirmă că „datele din cloud aparțin furnizorului”. Care este explicația cea mai potrivită privind domeniul activelor informaționale?

1. Sunt active informaționale doar elementele a căror valoare bănească poate fi estimată; know-how-ul deținut de oameni, care nu poate fi estimat astfel, nu intră în domeniu
2. Datele electronice, documentele pe hârtie, echipamentele, software-ul, serviciile externe și cunoștințele deținute de oameni sunt toate tratate ca active informaționale, dacă au valoare pentru activitate
3. Doar ceea ce este deținut de companie și amplasat în interiorul acesteia este activ informațional; informațiile stocate în servicii cloud externe sau cunoștințele deținute de oameni nu se includ
4. Doar datele electronice sunt active informaționale; documentele pe hârtie, echipamentele și serviciile externe nu se includ

La compania A, regula de stabilire a gradului de importanță al activelor informaționale este unificată la nivelul întregii companii. Confidențialitatea, integritatea și disponibilitatea sunt evaluate fiecare pe trei niveluri: ridicat (3), mediu (2) și scăzut (1). Se stabilește apoi că gradul de importanță al activului este valoarea maximă dintre cele trei evaluări. B din departamentul de vânzări a evaluat principalele active ale departamentului conform acestei reguli și a obținut rezultatele de mai jos. B intenționează să extragă activele cu grad de importanță „ridicat” pentru a analiza prioritar măsurile. Conform acestei reguli, care este combinația de active cu grad de importanță „ridicat”?

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. Nr. 2 și Nr. 3
2. Nr. 3 și Nr. 4
3. Nr. 1 și Nr. 2
4. Nr. 1 și Nr. 3

B din departamentul de vânzări al companiei A, pentru a explica angajaților modul de gândire al evaluării, a luat ca exemplu un tarifar cu ratele de reducere pentru fiecare client. Dacă acest tarifar ajunge la un concurent, compania este dezavantajată în negocierile de preț. Dacă cifrele sunt modificate din greșeală, se poate ajunge la transmiterea către client a unei oferte de preț incorecte, care trebuie ulterior anulată. Pe de altă parte, chiar dacă din cauza unei defecțiuni de sistem tarifarul nu poate fi consultat timp de o jumătate de zi, activitatea poate continua folosind copia tipărită din luna precedentă. Care este evaluarea cea mai potrivită a acestui tarifar?

1. Confidențialitate ridicată · integritate scăzută · disponibilitate ridicată
2. Confidențialitate scăzută · integritate scăzută · disponibilitate scăzută
3. Confidențialitate scăzută · integritate ridicată · disponibilitate ridicată
4. Confidențialitate ridicată · integritate ridicată · disponibilitate scăzută

La compania A, departamentul de vânzări a lăsat evaluarea activelor informaționale la latitudinea fiecărui angajat, iar rezultatul a fost că aproape toate activele au fost evaluate cu „confidențialitate ridicată”. Conform normelor interne de manipulare, activele cu confidențialitate ridicată necesită: păstrare în arhivă încuiată, aprobarea superiorului pentru scoatere, și criptare plus înregistrarea predării la partajarea externă. În consecință, chiar și pentru scoaterea unei invitații la expoziție sau a unui catalog de produse deja public a devenit necesară o aprobare. Numărul de aprobări a crescut de la zeci pe lună la aproape 200. Cu timpul, superiorul a început să aplice ștampila fără a verifica conținutul, iar scoaterea listei de clienți — cu adevărat sensibilă — trecea neobservată. Care este reacția cea mai potrivită a lui B?

1. Pentru a reduce efortul de aprobare, se elimină complet aprobarea superiorului la scoatere, pentru toate activele, indiferent de gradul de importanță
2. Se coboară uniform evaluarea tuturor activelor departamentului de vânzări la „mediu” și se simplifică semnificativ normele de manipulare, inclusiv pentru activele cu confidențialitate ridicată
3. Se prezintă un criteriu de evaluare bazat pe amploarea impactului, se reface evaluarea și se coboară, potrivit realității, valorile de evaluare ale activelor cu impact redus, precum informațiile publice
4. Se lasă valorile de evaluare neschimbate, iar aprobatorul la scoatere se schimbă în întregime, de la superior la angajatul care efectiv scoate materialul în afara companiei

La compania A este stabilit un standard de manipulare corespunzător gradului de importanță al activelor informaționale. B din departamentul de vânzări a primit de la directorul departamentului de vânzări solicitarea de a furniza unei agenții externe, în cadrul unei campanii comune cu un partener, lista de contacte a clienților, clasificată cu grad de importanță „ridicat”. Cu agenția există un contract de externalizare a serviciilor, dar B nu a verificat dacă acesta conține o clauză de confidențialitate. Directorul departamentului de vânzări i-a spus lui B: „Campania începe în curând, așa că te rog să te grăbești.” Iată un extras din standardul de manipulare. Ce ar trebui să facă B mai întâi?

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. Se schimbă gradul de importanță al listei de contacte a clienților la „mediu”, astfel încât furnizarea să fie posibilă doar cu aprobarea superiorului
2. Dacă se limitează furnizarea la 100 de înregistrări, gradul de importanță scade, așa că se creează o versiune extrasă și se furnizează fără a obține aprobare
3. Se verifică dacă în contractul cu agenția există o clauză de confidențialitate și se derulează procedura de obținere a aprobării conducătorului departamentului
4. Se trimite către reprezentantul agenției un fișier arhivat cu parolă, iar parola se transmite separat

La compania A, departamentul de vânzări a evaluat fișierul cu rapoartele zilnice de vânzări ca având grad de importanță „scăzut”, motivat prin faptul că „este un document partajat intern”, și l-a plasat într-un folder comun editabil de orice angajat. Rapoartele conțin uneori numele și funcția persoanei de contact vizitate, conținutul întâlnirii și chiar condițiile de tranzacție cu alte companii. Într-o zi, un angajat temporar a copiat din greșeală folderul de rapoarte în folderul comun al întregii companii, iar acesta a rămas vizibil pentru toți angajații celorlalte departamente timp de două săptămâni. B trebuie să reevalueze situația în urma acestui incident. Care este abordarea cea mai potrivită pentru reevaluare?

1. Se reevaluează pe baza impactului pe care l-ar avea o scurgere a informațiilor conținute în raport și, în cazurile cu informații de impact ridicat precum condițiile de tranzacție, se aplică o regulă de manipulare care ridică valoarea de evaluare a confidențialității
2. Deoarece rapoartele se actualizează zilnic și conținutul se schimbă mereu, se exclud din obiectul evaluării
3. Deoarece cauza de această dată este eroarea de operare a angajatului temporar, evaluarea rapoartelor rămâne neschimbată, iar contul angajatului temporar implicat se șterge pentru a preveni repetarea
4. Este suficient să se revizuiască drepturile de acces la folderul comun al întregii companii, astfel încât rapoartele să nu mai fie vizibile pentru angajații altor departamente, iar valoarea de evaluare a confidențialității rapoartelor rămâne neschimbată

La compania A, criteriul de evaluare a confidențialității este definit astfel: „informațiile a căror scurgere ar putea genera o obligație legală de raportare sau răspundere civilă se notează ridicat”, „informațiile deja publicate se notează scăzut”, iar „informațiile care nu se încadrează în niciuna dintre acestea se notează mediu”. În departamentul de vânzări, evaluarea a fost împărțită pe angajați, iar B a centralizat rezultatele. În procesul de centralizare, B are impresia că modul de aplicare diferă de la un angajat la altul. În special, evaluarea diferă în funcție de faptul dacă locul de colectare a fost sau nu un eveniment extern. Iată rezultatele evaluării departamentului de vânzări. Care dintre aceste evaluări necesită revizuire, conform criteriului?

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. Nr. 1 (lista de contacte a clienților departamentului de vânzări)
2. Nr. 4 (catalogul de produse publicat pe web)
3. Nr. 3 (contractele originale)
4. Nr. 2 (chestionarul vizitatorilor de la expoziție)

La compania A, fiecare departament evalua activele informaționale cu propriul limbaj. Departamentul de vânzări folosea „important · obișnuit · minor”, departamentul de producție folosea „A · B · C”, iar departamentul de contabilitate folosea „o scală de la 1 la 5”. Când s-a încercat compararea între departamente în cadrul evaluării de risc la nivelul întregii companii, nu s-a putut stabili care active să fie tratate prioritar. S-a mai constatat că, deși toate foloseau termenul „important”, modul de aplicare diferea de la un departament la altul. Care este propunerea cea mai potrivită a lui B, care conduce secretariatul comitetului de securitate informațională?

1. Se stabilesc unitar, la nivelul întregii companii, atât nivelurile de evaluare, cât și criteriul de încadrare pe nivel (impactul unei scurgeri, alterări sau întreruperi a utilizării), iar fiecare departament reface evaluarea folosind același criteriu
2. Evaluarea la nivelul întregii companii este realizată în întregime de departamentul de sisteme informatice, iar celelalte departamente nu participă la evaluare
3. Toate departamentele își aliniază notația la cea mai detaliată scală de 5 niveluri a departamentului de contabilitate, iar criteriul de încadrare pe nivel rămâne, ca până acum, la discreția fiecărui departament
4. Se păstrează notația fiecărui departament neschimbată, iar fiecare departament selectează cele mai importante 3 active proprii ca obiective de acțiune la nivelul întregii companii

La compania A, departamentul de vânzări introduce datele comenzilor în sistemul de gestionare a vânzărilor, iar instrucțiunile de livrare și facturarea se bazează integral pe aceste date. Dacă sistemul se oprește, expedierea din ziua respectivă devine imposibilă, iar o întrerupere de o zi duce la amânarea în luna următoare a unei vânzări de aproximativ 20.000.000 de yeni, plus întârzieri de livrare față de parteneri. Pe de altă parte, folderul comun cu notele istorice de negociere nu creează probleme majore în activitatea zilnică chiar dacă este indisponibil o săptămână. Numărul de înregistrări este mai mare la notele de negociere decât la datele comenzilor. B trebuie să stabilească evaluarea disponibilității pentru ambele. Care este abordarea cea mai potrivită?

1. Disponibilitatea este o chestiune pe care o decide departamentul de sisteme informatice, care operează sistemul, iar departamentul utilizator, vânzările, ar trebui să se abțină de la a se implica în evaluare
2. Deoarece ambele sunt informații folosite zilnic în activitatea internă, valorile de evaluare a disponibilității se aliniază la aceeași valoare pentru amândouă
3. Se revizuiește astfel încât notele de negociere, cu un număr mai mare de înregistrări, să primească o valoare de evaluare a disponibilității mai mare decât datele comenzilor
4. Se evaluează în funcție de gradul în care activitatea se oprește la indisponibilitate și de durata de întrerupere acceptabilă, notând ridicat datele comenzilor și scăzut notele de negociere

La compania A, departamentul de vânzări păstrează lista de contacte a clienților pe serverul intern de fișiere, cu acces configurat pentru toți angajații departamentului. Luna trecută s-a descoperit că un cont al unui fost angajat rămăsese neșters. Angajații accesează același fișier și din deplasare, prin conexiune VPN de pe laptopurile de serviciu. B începe evaluarea de risc pentru acest activ, pornind cu identificarea riscului. Care este activitatea cea mai potrivită pentru identificarea riscului?

1. Se combină amenințările la adresa listei de contacte a clienților (acces neautorizat, fraudă internă, pierdere etc.) cu vulnerabilitățile care le-ar putea fi exploatate (conturi inactive neșterse, drepturi excesive acordate etc.), pentru a identifica evenimentele posibile
2. Se estimează costul măsurilor pentru riscurile identificate, se implementează cele care se încadrează în buget, în ordine, și se înregistrează stadiul implementării
3. Se șterge imediat contul fostului angajat rămas în lista de contacte a clienților, se restrâng drepturile de acces ale tuturor angajaților la domeniul strict necesar activității, iar întregul șir de acțiuni pentru acest activ se consideră astfel complet
4. Se estimează separat probabilitatea de apariție și impactul pentru lista de contacte a clienților, se înmulțesc pentru a calcula amploarea riscului, apoi se compară cu criteriul de acceptare

La compania A, metoda de calcul a nivelului de risc și criteriul de acceptare sunt definite prin regulament. Nivelul de risc se obține prin produsul „probabilitate de apariție (ridicată 3 · medie 2 · scăzută 1) × impact (ridicat 3 · mediu 2 · scăzut 1)”. Produsele de 6 sau mai mari sunt considerate riscuri inacceptabile, tratate prioritar. B din departamentul de vânzări a analizat riscurile departamentului prin această metodă și a obținut rezultatele de mai jos. Superiorul i-a spus: „Aș vrea să ne concentrăm mai întâi pe un singur caz.” Conform acestui criteriu, care risc trebuie tratat prioritar?

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. Nr. 2 (vizualizare neautorizată prin contul unui fost angajat)
2. Nr. 3 (pierderea unui contract pe hârtie)
3. Nr. 4 (trimitere greșită a invitației la expoziție către un destinatar eronat)
4. Nr. 1 (scurgere externă masivă a listei de contacte a clienților)

La compania A, departamentul de vânzări a organizat o ședință pentru a decide direcția de tratare a riscurilor, pe baza rezultatelor evaluării de risc. La ședință au participat directorul departamentului de vânzări, B și un reprezentant al departamentului de sisteme informatice. În urma discuțiilor, s-a decis ca fiecare dintre cele patru riscuri să fie tratat printr-o abordare diferită. B trebuie să raporteze deciziile comitetului de securitate informațională la nivelul întregii companii, clasificându-le pe tipuri de tratare a riscului. Iată conținutul deciziilor. Care este combinația corectă atunci când se clasifică fiecare tratare drept evitare a riscului, reducere a riscului, transfer al riscului sau menținere (acceptare) a riscului?

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1=evitare, 2=reducere, 3=transfer, 4=menținere
2. 1=transfer, 2=reducere, 3=evitare, 4=menținere
3. 1=reducere, 2=evitare, 3=menținere, 4=transfer
4. 1=evitare, 2=transfer, 3=reducere, 4=menținere

La compania A, departamentul de vânzări a implementat măsuri de reducere, precum revizuirea drepturilor de acces, pentru riscul de scurgere a listei de contacte a clienților, dar nivelul de risc a rămas ușor peste criteriul de acceptare. Ca măsură suplimentară se ia în considerare introducerea unui sistem dedicat de gestionare a scoaterii materialelor, care ar costa 8 milioane de yeni pe an. Pe de altă parte, dauna estimată din acest risc este de aproximativ 1 milion de yeni pe an. B trebuie să decidă cum să trateze riscul rămas. Care este reacția cea mai potrivită?

1. Deoarece nivelul depășește criteriul de acceptare, se implementează neapărat o măsură suplimentară, indiferent de cost
2. Se modifică metoda de calcul a nivelului de risc și se reface evaluarea, astfel încât să se încadreze în limitele criteriului de acceptare
3. Se prezintă conducerii responsabile o analiză a raportului cost-beneficiu și a conținutului riscului rămas, se obține aprobarea ca risc rezidual și se păstrează o înregistrare
4. Deoarece costul nu se justifică, B, ca lider de securitate informațională, decide singur să accepte riscul, fără a păstra vreo înregistrare

La compania A se efectuează anual, în aprilie, o evaluare de risc. În acest an fiscal, în iunie a fost introdus un nou serviciu cloud de suport comercial, prin care a început stocarea informațiilor despre clienți. În septembrie a intrat în vigoare o modificare legislativă privind manipularea datelor cu caracter personal. În noiembrie s-a produs un incident de infectare cu malware în alt departament, iar la nivelul întregii companii s-a emis o avertizare. În ianuarie, departamentul de vânzări și cel de planificare comercială au fuzionat, schimbând responsabilii și domeniul de autoritate. B consideră că „următoarea evaluare este în aprilie, deci până atunci se poate păstra rezultatul actual”. Care este observația cea mai potrivită la această idee?

1. Introducerea unui serviciu nou, modificarea legislativă, producerea unui incident și schimbarea structurii organizatorice sunt toate evenimente care schimbă premisele evaluării și necesită o revizuire imediată, de fiecare dată
2. Răspunsul la modificarea legislativă revine departamentului juridic și nu constituie un motiv de revizuire pentru evaluarea de risc a departamentului de vânzări
3. Un incident produs în alt departament nu are legătură cu propriul departament, deci nu constituie un motiv de revizuire
4. Odată ce evaluarea de risc a fost fixată la o dată anuală, schimbările apărute în cursul anului pot fi reflectate integral la următoarea evaluare, fără a fi necesară o revizuire punctuală

B din departamentul de vânzări al companiei A trebuie să efectueze pentru prima dată o evaluare de risc pentru departament. Are la îndemână registrul activelor informaționale finalizat săptămâna trecută, care conține denumirea activului, responsabilul de gestionare, valorile de evaluare a confidențialității/integrității/disponibilității și gradul de importanță. Superiorul i-a spus: „Timpul disponibil este limitat, așa că aș vrea să implementăm măsuri începând cu prioritățile cele mai înalte.” În companie există un regulament care definește metoda de calcul a nivelului de risc și criteriul de acceptare. Ce ar trebui să facă B în continuare?

1. Se identifică riscurile prin combinarea amenințărilor și vulnerabilităților, începând cu activele de importanță ridicată, iar nivelul de risc se stabilește pe baza probabilității de apariție și a impactului
2. Se colectează exemple de incidente din alte companii și se aplică uniform aceleași măsuri tuturor activelor
3. Se implementează măsurile care vin în minte, în ordine, fără a folosi criteriul de acceptare
4. Se solicită oferte de la mai mulți furnizori pentru produse utilizabile ca măsuri, pentru toate activele din registru, și se compară costul și eficiența

La compania A, departamentul de vânzări a întocmit un plan de tratare a riscului, pe baza rezultatelor evaluării de risc. Formularul planului include, pentru fiecare rând: riscul vizat, măsura de tratare, responsabilul, termenul și modul de tratare a riscului rezidual rămas după implementare. Întocmirea a fost împărțită între responsabilii fiecărui risc, iar B a centralizat rezultatele. La centralizare, B observă că unele rânduri au fost predate cu câmpuri goale sau cu formulări neclare. Iată un extras din planul întocmit. Care dintre aceste planuri necesită cea mai urgentă revizuire?

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. Nr. 4 — nu sunt stabilite nici responsabilul, nici termenul, iar tratarea riscului rezidual nu este nici ea decisă
2. Nr. 2 — responsabilul este directorul, o funcție prea înaltă, ceea ce face măsura ineficientă în practică
3. Nr. 3 — responsabilul nu este din departamentul de vânzări, ci este alocat responsabilului unui departament complet diferit
4. Nr. 1 — măsura de tratare se bazează doar pe o procedură operațională, nu pe un mijloc tehnic

La compania A, departamentul de vânzări analizează tratarea riscului de scurgere a informațiilor prin pierderea unui laptop pe care sunt stocate informații despre clienți. Dauna estimată în caz de scurgere este de 5 milioane de yeni per caz, iar din experiența anterioară, pierderea are loc aproximativ o dată la 5 ani, adică se estimează 0,2 cazuri pe an. Varianta A este introducerea unui software de criptare a discului, cu un cost anual de 300.000 de yeni, care previne aproape complet scurgerea chiar și în caz de pierdere. Varianta B este înlocuirea integrală a laptopurilor de scos în deplasare cu modele echipate cu funcție anti-pierdere, cu un cost anual de 4 milioane de yeni. Varianta C constă în a nu implementa nicio măsură și a plăti clienților o compensație în caz de pierdere, cu o cheltuială anuală estimată de 1 milion de yeni. Ce ar trebui să prezinte B în ședința de conducere?

1. Deoarece amploarea riscului nu poate fi în principiu exprimată în bani, se renunță complet la compararea raportului cost-beneficiu al măsurilor
2. Deoarece costul fiecărei măsuri depășește dauna anuală estimată, nu se implementează nicio măsură și se alege direct varianta C
3. Dauna anuală estimată este de 1 milion de yeni, iar varianta A, care previne aproape complet scurgerea cu doar 300.000 de yeni pe an, este cea mai avantajoasă din punctul de vedere al raportului cost-beneficiu
4. Trebuie aleasă varianta B, cea mai puternică măsură, iar mărimea costului anual de 4 milioane de yeni nu trebuie luată neapărat în considerare