Prestatori, instruire și audit

Compania A, care desfășoară activitate de vânzare prin corespondență, a externalizat introducerea datelor din lista de clienți către compania B. Contractul stabilește obligația de confidențialitate și măsuri de securitate, iar B deține și certificare ISMS. Într-o zi, un angajat al B a copiat date de lucru pe un PC personal și le-a luat acasă, de unde au fost scurse numele și adresa a aproximativ 5.000 de clienți. B a transmis scuze și un raport privind circumstanțele, iar angajatul respectiv a fost și el sancționat. Dumneavoastră, lider al departamentului comercial al companiei A, urmează să prezentați direcția de răspuns într-o ședință internă. În ședință apare opinia: „De vreme ce am impus prin contract obligații lui B, compania noastră nu are nevoie să apară public.” Care este modul de gândire cel mai potrivit privind responsabilitatea companiei A?

1. Externalizarea prelucrării datelor cu caracter personal nu elimină responsabilitatea comitentului, iar decizia privind notificarea persoanelor vizate și anunțul public trebuie luată de compania A, ca parte principală
2. Deoarece cel care manipula efectiv informațiile era B, raportarea către autoritatea de supraveghere și explicarea măsurilor de prevenire a repetării revin în întregime, singure, companiei B
3. Responsabilitatea companiei A se consideră îndeplinită prin solicitarea de despăgubiri către compania B
4. Deoarece prin contractul de externalizare s-au impus obligații de securitate companiei B, compania A nu trebuie neapărat să efectueze ea însăși notificarea persoanelor vizate sau anunțul public

Departamentul administrativ al companiei A trebuie să selecteze un nou prestator pentru calculul salariilor. Deoarece se predau numele, numărul de cont și suma salarială a angajaților, s-a decis să se adauge la criteriile de selecție, pe lângă preț, și perspectiva securității informaționale. Există 3 candidați, fiecare răspunzând la un chestionar de confirmare. Directorul departamentului administrativ spune: „Vreau în orice caz să reducem costurile”, dar dumneavoastră, ca lider, ați structurat rezultatele într-un material de decizie. Iată rezultatele. Din perspectiva securității informaționale, care este judecata cea mai potrivită?

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Deoarece Y intenționează să subcontracteze mai departe, se exclude necondiționat din candidați doar pe acest motiv, indiferent de evaluarea celorlalte criterii
2. Deoarece X are cel mai mare preț dintre candidați, se exclude din selecție, chiar dacă îndeplinește toate celelalte criterii
3. Deoarece Z are cel mai mic preț și dispune de un responsabil desemnat, se alege presupunând că instruirea angajaților și acceptarea auditului vor fi îmbunătățite ulterior contractării
4. Deoarece Y are o procedură de aprobare prealabilă pentru subcontractare și acceptă audit, se verifică modul de gestionare a subcontractanților și se ia în considerare ca și candidat

Compania A a externalizat mentenanța sistemului de bază către compania B. Contractul prevede: „La subcontractare, se obține în prealabil aprobarea scrisă a comitentului.” Într-o după-amiază, reprezentantul lui B a sunat pe dumneavoastră, lider de securitate informațională al companiei A, spunând: „Din cauza volumului de muncă, nu avem suficient personal și am vrea ca, începând de mâine, compania parteneră C să ajute la o parte din lucrări. Este urgent, ați putea aproba verbal?” Lucrările lui C necesită conectarea la mediul de mentenanță care conține datele clienților companiei A. B explică: „Cu C avem o relație veche și nu sunt probleme.” Ce ar trebui să faceți mai întâi?

1. Compania A încheie contract direct cu C, ocolind pe B, evitând astfel calificarea drept subcontractare
2. Solicitarea de subcontractare constituie în sine o încălcare contractuală, deci se reziliază imediat contractul de externalizare cu B
3. Se cere prezentarea în scris a numelui și sediului subcontractantului C, a domeniului și duratei lucrărilor, a tipului de informații manipulate, precum și a existenței unor obligații echivalente de confidențialitate și securitate impuse prin contractul cu C
4. Fiind urgent, se acordă pe loc aprobarea verbală prin telefon, urmând ca documentul cu numele subcontractantului și domeniul lucrărilor să fie primit ulterior, după începerea lucrărilor

Compania A urmează să externalizeze noul serviciu de asistență pentru întrebări către compania D, iar dumneavoastră, lider, ați verificat proiectul de contract transmis de departamentul juridic. Proiectul stabilește obligația de confidențialitate, interzicerea utilizării în alte scopuri, aprobarea prealabilă pentru subcontractare și obligația de raportare în caz de incident. Pe de altă parte, lipsesc prevederi privind returnarea sau ștergerea datelor predate la încheierea contractului și acceptarea unui audit prin care compania A să verifice starea de fapt. Reprezentantul departamentului juridic spune: „Fiind contractul standard al partenerului, cred că este greu de adăugat clauze.” În cadrul activității externalizate se vor manipula numele și datele de contact ale clienților. Care este reacția cea mai potrivită?

1. Fiind contractul standard al partenerului, se semnează fără modificări, iar la încheierea contractului se solicită verbal ștergerea datelor
2. Înainte de semnare, se negociază adăugarea prin memorandum a returnării sau ștergerii datelor la încheierea contractului, precum și a acceptării verificării prin document sau vizită la fața locului
3. Considerând riscul prea mare din cauza clauzelor lipsă, se renunță la această externalizare și se decide efectuarea integrală a activității intern
4. Se renunță la clauza de acceptare a auditului, considerată nefolosită în practică, și se adaugă doar printr-un memorandum returnarea sau ștergerea datelor la încheierea contractului

Compania A menține practica de a trimite anual către prestatori o listă de verificare, solicitând răspunsuri privind stadiul implementării, împreună cu dovezi justificative. Anul acesta, a sosit răspunsul de la prestatorul B, care se ocupă de introducerea datelor, iar dumneavoastră, lider, verificând conținutul, ați constatat că toate răspunsurile sunt „implementat”. Însă, dintre dovezile solicitate, lipsește doar cea privind instruirea anuală a angajaților. Reprezentantul lui B s-a schimbat în cursul anului, iar predarea de la predecesor pare să nu fi fost suficientă. Iată situația răspunsurilor și dovezilor. Ce ar trebui făcut mai întâi?

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. Deoarece subcontractarea a fost declarată „nu”, se elimină din contractul pentru anul viitor clauza referitoare la subcontractare
2. Fiind îndoielnică fiabilitatea răspunsului, se efectuează fără preaviz o inspecție la fața locului și se reverifică pe loc toate elementele
3. Se solicită, cu un termen stabilit, prezentarea dovezilor precum înregistrările de participare, ca justificare a răspunsului privind efectuarea instruirii
4. Deoarece toate răspunsurile sunt „implementat”, se păstrează ca atare, ca înregistrare, fără verificări suplimentare până anul viitor

Departamentul de resurse umane al companiei A analizează externalizarea către compania B a centralizării și analizei unui chestionar intern privind mediul de lucru, adresat tuturor angajaților. Datele predate lui B includ numele, departamentul și conținutul răspunsurilor angajaților. Reprezentantul departamentului de resurse umane v-a întrebat, ca lider: „De vreme ce predăm date către exterior, nu ar trebui să obținem consimțământul individual al fiecărui angajat?” La externalizare se va stabili în contract obligația de confidențialitate și măsurile de securitate, precum și locul de lucru și modul de păstrare. Care este explicația cea mai potrivită?

1. Prestatorul intră și el sub incidența legii privind protecția datelor cu caracter personal, așa că întreaga gestionare după predarea datelor revine în întregime prestatorului, iar comitentul nu are obligație de supraveghere
2. Predarea de date cu caracter personal în cadrul unei externalizări nu constituie furnizare către terți și nu necesită consimțământul persoanei vizate, dar comitentul are obligația de a supraveghea prestatorul
3. Datele cu caracter personal nepseudonimizate sau neanonimizate nu pot fi predate în afara companiei, în nicio situație
4. Chiar și externalizarea constituie furnizare către terți, așa că externalizarea nu este posibilă fără a obține consimțământul individual al tuturor angajaților

Departamentul de vânzări al companiei A folosește un serviciu SaaS de partajare a fișierelor în cloud pentru a distribui oferte de preț și propuneri. Furnizorul serviciului deține certificare ISMS, iar structura de gestionare a centrului de date este publică. Într-o zi, un partener a semnalat: „Oferta dumneavoastră de preț poate fi văzută printr-o căutare pe internet.” La verificare, s-a constatat că un angajat a generat linkul de partajare lăsând configurarea implicită „vizibil pentru oricine cunoaște linkul”, iar acesta a fost preluat pe un blog extern. Un angajat din vânzări susține: „Problema este a serviciului furnizorului, ar trebui să-i cerem investigarea cauzei și prevenirea repetării.” Care este reacția cea mai potrivită?

1. Considerându-se o deficiență în domeniul de aplicare al certificării obținute de furnizor, se depune o sesizare oficială scrisă către organismul de certificare
2. Considerându-se cloud-ul cauza în sine, se interzice la nivelul întregii companii utilizarea serviciilor cloud și se revine la serverele interne
3. La utilizarea SaaS nu apare nicio responsabilitate în sarcina utilizatorului, așa că se solicită furnizorului despăgubiri pentru daune
4. Configurarea domeniului de public revine responsabilității utilizatorului, așa că se revizuiesc configurarea implicită a companiei A, drepturile de generare a linkurilor și practica de verificare

La reînnoirea contractului cu prestatorul de servicii logistice E, compania A a întocmit o listă cu clauzele contractuale. S-a constatat că multe dintre clauzele necesare sunt prevăzute, dar unele lipsesc sau au restricții. E manipulează numele și adresa de livrare a clienților companiei A și intenționează să subcontracteze o parte din livrare unei firme partenere. Dumneavoastră, lider, organizați pe baza acestei liste cerințele pentru negocierea reînnoirii. Iată rezultatul confruntării clauzelor. Care dintre reacțiile companiei A este necorespunzătoare?

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. Deoarece un raport în 72 de ore de la descoperire ar putea întârzia reacția inițială, se analizează stabilirea separată a unui termen mai scurt pentru primul raport
2. Fiind stabilită obligația de confidențialitate, este suficient ca subcontractantul să fie gestionat de prestator, iar compania A nu are nevoie să cunoască numele sau domeniul lucrărilor subcontractantului
3. Deoarece nu există nicio clauză privind tratarea datelor la încheierea contractului, se cere adăugarea, în contractul reînnoit, a domeniului și termenului de returnare sau ștergere, precum și a prezentării unui raport de finalizare
4. Deoarece nu este permisă vizitarea la fața locului, se stabilesc dinainte în mod concret tipurile de dovezi solicitate la verificarea prin document

Vineri, la ora 18:00, pe telefonul dumneavoastră, lider de securitate informațională al companiei A, sună reprezentantul prestatorului B: „Nu găsim laptopul folosit la lucrări. Ar putea fi uitat undeva în companie, nu este încă sigur că s-a pierdut.” Pe acel laptop ar putea fi salvate fișiere de lucru cu date ale clienților predate de compania A. Reprezentantul lui B spune: „Aș vrea să raportăm oficial abia după ce lucrurile devin clare.” Contractul companiei A prevede transmiterea unui prim raport în 2 ore de la constatare, chiar și pentru un simplu risc de incident, punctul de primire fiind biroul de incidente al departamentului de sisteme informatice. Ce ar trebui să faceți mai întâi?

1. Se instruiește reprezentantul lui B să nu comunice nimănui, în interior sau exterior, până la confirmarea faptelor
2. Deoarece pierderea nu este confirmată, se raportează superiorului abia luni dimineață, urmărind între timp situația în tăcere, fără niciun contact special
3. Se transmite imediat primul raport către biroul propriu de incidente, iar de la B se solicită depunerea primului raport în formatul stabilit și identificarea informațiilor de pe laptop
4. Fără a aștepta începutul săptămânii, vă deplasați personal la sediul lui B pentru a căuta laptopul împreună cu reprezentantul

Sarcina de secretariat al campaniei, externalizată de compania A către compania B pentru 6 luni, s-a încheiat. În cadrul acesteia s-au manipulat numele, adresa și numărul de telefon a aproximativ 20.000 de participanți. De la B a sosit un e-mail: „Toate lucrările sunt finalizate. Datele primite vor fi tratate corespunzător, conform regulamentului nostru.” Contractul prevede că, la încheiere, datele externalizate trebuie returnate sau șterse, cu prezentarea unui raport de finalizare. La verificarea cu B s-a aflat că, pe lângă datele de lucru, există și un backup zilnic păstrat într-un alt sistem. Care este reacția cea mai potrivită a companiei A?

1. Verificarea ștergerii se poate face la auditul intern al anului viitor, așa că deocamdată se păstrează doar înregistrarea primirii e-mailului de raportare
2. Se confirmă includerea în domeniu și a backupului și a copiilor de lucru, iar apoi se solicită, cu un termen stabilit, un raport de finalizare a ștergerii
3. Deoarece B este un prestator de încredere, deținând și certificare, nu se solicită raportul de finalizare a ștergerii și se încheie externalizarea ca atare
4. Backupul, fiind creat de B pentru propria operare, nu trebuie inclus în domeniul ștergerii

Compania A a organizat pentru prima dată un exercițiu cu e-mailuri de tip atac țintit. Trimițând tuturor angajaților un e-mail de exercițiu deghizat în comunicare de serviciu, rata de deschidere a fost de 22%, iar raportarea către punctul de raportare a rămas la doar 6%. La ședința de discutare a rezultatelor, un director de departament a cerut: „Dați-mi lista cu numele angajaților care au deschis mesajul. Vreau să-i identific, să-i îndrum individual și să reflect acest lucru și în evaluarea de personal.” Dumneavoastră, lider, considerați necesar să reexplicați scopul exercițiului. Exercițiul urmează să continue anual. Care este reacția dumneavoastră cea mai potrivită?

1. Se răspunde solicitării, oferind directorului lista cu numele angajaților care au deschis e-mailul, sprijinind îndrumarea individuală și reflectarea în evaluarea de personal
2. De acum înainte, e-mailurile de exercițiu se scriu într-un stil ușor de recunoscut, astfel încât rata de deschidere să scadă
3. Deoarece o rată mare de deschidere ar coborî moralul intern, rezultatele nu se publică și rămân păstrate doar de responsabil
4. Nu se furnizează numele; rezultatele se împărtășesc ca tendință pe departamente, iar metodele de atac cu rată mare de deschidere devin temă pentru o instruire care consolidează comportamentul de raportare

Compania A a organizat al doilea exercițiu cu e-mailuri de atac țintit și a centralizat rezultatele pe departamente. E-mailul de exercițiu era deghizat în comunicare de serviciu, măsurându-se atât deschiderea, cât și raportarea. Rata de raportare este proporția de raportări din numărul de trimiteri, iar timpul până la primul raport este intervalul până când ajunge la punctul de raportare primul raport. Ca obiectiv la nivelul întregii companii se stabilise „rată de deschidere sub 15%”, dar dumneavoastră, lider, considerați că nu trebuie judecat doar după rata de deschidere. Rezultatele centralizate sunt cele din tabelul de mai jos. Care este interpretarea cea mai potrivită a rezultatelor?

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. Rata de deschidere la nivelul întregii companii este sub obiectivul de 15%, iar rata de raportare s-a îmbunătățit, deci exercițiile viitoare se suspendă complet
2. Pentru departamentul administrativ și cel de dezvoltare, cu rată de deschidere scăzută, dar rată de raportare scăzută și prim raport întârziat, se acordă prioritate diseminării punctului și procedurii de raportare
3. Departamentul administrativ, cu cea mai mică rată de deschidere, este în starea cea mai bună, deci celelalte departamente ar trebui să urmeze practica sa
4. Departamentul de vânzări are cea mai mare rată de deschidere, deci angajaților din vânzări li se aplică o reinstruire, inclusiv măsuri disciplinare

La compania A, instruirea anuală de securitate informațională se desfășoară prin e-learning, iar obiectul se limitează la angajații permanenți. În realitate, și angajații temporari de la recepție, precum și personalul unei firme partenere care lucrează permanent la sediu pentru dezvoltare, se conectează la rețeaua internă și pot vizualiza datele clienților. Un audit intern recent a semnalat: „O parte dintre cei care au acces la informații nu sunt cuprinși în instruire.” Departamentul de resurse umane a opinat: „Angajații temporari și personalul firmei partenere nu sunt angajați ai noștri, deci instruirea nu ar trebui să fie responsabilitatea agenției de plasament sau a firmei partenere?” Dumneavoastră, lider, trebuie să prezentați direcția de corectare. Care este cea mai potrivită?

1. Pentru angajații temporari, se renunță la instruirea internă, compensând doar prin reducerea domeniului de informații vizibile
2. Se consideră că instruirea internă nu este necesară pentru personalul firmei partenere, deoarece acesta are deja obligație de confidențialitate prin contractul de externalizare
3. Se păstrează excluderea, motivată de forma de angajare diferită, iar instruirea se lasă verbal în seama agenției de plasament sau a firmei partenere
4. Se aplică, în funcție de domeniul de acces la informațiile proprii, instruire și angajament conform regulamentului propriu, și pentru angajații temporari și personalul firmei partenere

Compania A a revizuit regulamentul privind scoaterea informațiilor. În urma revizuirii, scoaterea prin stick USB, inclusiv personal, devine în principiu interzisă, iar trimiterea de fișiere către exterior trece la un mod prin serviciul cloud desemnat, cu solicitare și aprobarea superiorului. Secretariatul a publicat regulamentul revizuit în colecția de regulamente de pe intranet, cu data intrării în vigoare stabilită pentru prima zi a lunii următoare. Totuși, la ședința liderilor din teren au apărut voci precum: „Nu am știut că a fost publicat”, „Nu am văzut niciodată noul ecran de solicitare.” Mai sunt 3 săptămâni până la intrarea în vigoare. Ce ar trebui făcut mai întâi?

1. Publicarea în colecția de regulamente și în interiorul companiei se consideră suficientă pentru diseminare, fără nicio măsură suplimentară
2. Constatând că teren nu era la curent, se renunță complet la revizuirea regulamentului și se revine la practica anterioară
3. Se transmite persoanelor vizate, până la data intrării în vigoare, un rezumat al modificărilor, data intrării în vigoare și noua procedură de solicitare, organizându-se și o verificare a înțelegerii
4. După data intrării în vigoare, se identifică persoanele care au încălcat regulamentul și se aplică îndrumare și avertisment individual celor vizați

Dumneavoastră, lider la compania A, ați organizat într-un tabel planul anual și realizările instruirii de securitate informațională din acest an fiscal. Din analiză reiese că există categorii unde s-a implementat și categorii pentru care nici măcar planul nu există. Administratorii de sistem manipulează ID-uri privilegiate, iar personalul firmei partenere prezent permanent poate vizualiza date ale clienților. La întocmirea planului pentru anul viitor, trebuie decis de unde se începe, cu resursele limitate disponibile. Iată rezultatul organizării. Care este revizuirea cea mai potrivită a planului pentru anul viitor?

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. Se stabilește ca prioritate maximă pentru planul de instruire al anului viitor mărirea de la o dată la de două ori pe an a instruirii pentru angajații obișnuiți
2. Se acordă prioritate includerii în planul anului viitor a instruirii pentru administratorii de sistem și pentru personalul temporar/al firmelor partenere, categorii pentru care planul nu există deloc
3. Deoarece angajații nou-angajați au o rată de participare de 100% și sunt deja stabiliți, se renunță în anul viitor la seminarul de grup pentru noii angajați
4. Se desființează seminarul de grup destinat cadrelor de conducere, care are cea mai mică rată de participare, unificând complet instruirea acestora în e-learning

La compania A, la finalul instruirii anuale se organizează un test de verificare a înțelegerii, iar și în acest an s-au centralizat rezultatele pe domenii, la nivelul întregii companii. Rata medie de răspunsuri corecte a crescut cu 2 puncte față de anul trecut. Pe de altă parte, diferențele între domenii sunt mari, iar un anumit domeniu rămâne constant scăzut. În teren se raportează în continuare incidente evitate la limită (near-miss) legate de scoaterea prin stick USB personal. Dumneavoastră, lider, analizați rezultatele pentru a le reflecta în planul de instruire al anului viitor. Iată rezultatele centralizate. Ce ar trebui făcut mai întâi?

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. Deoarece rata de răspunsuri corecte privind raportarea e-mailurilor suspecte a crescut mult, se renunță din anul viitor la instruirea și întrebările din acest domeniu, redirecționând timpul spre alte domenii
2. Se verifică dacă explicația din materiale privind procedura de solicitare a scoaterii este insuficientă și dacă procedura efectivă de solicitare nu este dificil de folosit, acesta fiind domeniul cu rata de răspunsuri corecte rămasă scăzută
3. Se elimină din testul anului viitor întrebările din domeniul cu rata de răspunsuri corecte scăzută, pentru a ridica media generală
4. Deoarece rata medie de răspunsuri corecte la nivelul întregii companii a crescut față de anul trecut, se folosesc aceleași materiale și aceeași structură și în anul viitor

Compania A a întocmit un manual de răspuns la incidente pentru cazul unei infectări cu ransomware, dar de la întocmire nu a mai efectuat niciun exercițiu timp de jumătate de an. Manualul conține contactele inițiale, cine decide deconectarea de la rețea, cine decide anunțul public. Un exercițiu real, cu oprirea efectivă a sistemului de activitate, este dificil de realizat, din cauza impactului mare asupra liniei de producție. S-a analizat externalizarea exercițiului, dar bugetul acestui an fiscal nu permite. Dumneavoastră, lider, doriți totuși să verificați dacă manualul poate fi folosit efectiv. Care este soluția cea mai potrivită?

1. Considerând inutilă simpla lectură în comun a manualului, se așteaptă până se obține bugetul, apoi se organizează un exercițiu real, cu oprirea efectivă a sistemului de activitate
2. Este suficient ca exercițiul să fie organizat doar de departamentul de sisteme informatice, fără participarea departamentelor de activitate
3. Se distribuie un scenariu ipotetic, se reunesc persoanele implicate, iar fiecare confirmă pe rând acțiunea și decizia proprie următoare, într-un exercițiu la masă, identificând contacte perimate sau lacune în decizie
4. Dacă exercițiul real nu este posibil, nu se organizează niciun exercițiu, înlocuindu-l prin distribuirea manualului tuturor

La compania A, înregistrările de participare la instruirea de securitate informațională erau gestionate de un responsabil, într-un fișier de calcul tabelar pe PC-ul personal. La transferul acestui responsabil, în urma reorganizării fișierelor, s-a constatat că lipsesc înregistrările din ultimii 2 ani. Din nefericire, tocmai atunci a sosit de la comitentul F o solicitare: „Vă rugăm să prezentați o înregistrare a stadiului de instruire aplicat angajaților dumneavoastră.” Instruirea în sine s-a desfășurat anual, iar materialele și e-mailurile de anunț de atunci s-au păstrat. Dumneavoastră, lider, trebuie să răspundeți atât cererii actuale, cât și gestionării viitoare. Care este soluția cea mai potrivită?

1. Fiindcă instruirea s-a desfășurat anual, deși înregistrările lipsesc, este suficientă o explicație verbală a acestui fapt
2. Deoarece înregistrările servesc pentru audit sau verificare de către comitent, se întocmesc doar atunci când apare o cerere
3. Se stabilesc prin regulament responsabilul de păstrare, locul de păstrare și perioada de păstrare a înregistrărilor, eliminând dependența de un singur individ, iar către F se prezintă înregistrările existente, împreună cu măsurile de prevenire a repetării
4. Se reconstituie din memoria participanților și a persoanelor implicate lista participanților din ultimii 2 ani și se prezintă lui F ca înregistrare reală de participare din acea vreme, aplicând aceeași metodă și în viitor

Compania A a organizat exerciții cu e-mailuri de atac țintit timp de 3 ani consecutivi, reflectând de fiecare dată rezultatele în instruire. La primul exercițiu, mulți angajați au deschis mesajul și aproape nimeni nu a raportat, așa că s-a pus accent pe diseminarea punctului de raportare și pe explicarea faptului că raportarea nu atrage sancțiuni. Separat de exercițiu, se înregistrează și numărul mediu lunar de raportări de e-mailuri suspecte primite efectiv de angajați. La următoarea ședință a comitetului, dumneavoastră, lider, urmează să raportați conducerii evoluția din cei 3 ani. Evoluția este cea din tabelul de mai jos. Care este conținutul cel mai potrivit al raportului?

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. Deoarece doar rata de deschidere este un indicator demn de evaluat, se raportează că nu s-au obținut rezultate până când rata de deschidere nu scade sub 10%
2. Deoarece rata de raportare a crescut, dar rata de deschidere nu a ajuns încă la 0%, se raportează că cei 3 ani de exerciții nu au avut niciun efect
3. Deoarece numărul de raportări ale e-mailurilor suspecte primite efectiv continuă să crească, se raportează că, de fapt, conștientizarea de securitate informațională a angajaților a scăzut
4. Se raportează că, pe lângă scăderea ratei de deschidere, continuă creșterea ratei de raportare și scurtarea timpului până la primul raport, iar și raportarea e-mailurilor suspecte reale a crescut, ceea ce arată că comportamentul de raportare se consolidează

La compania A, la comitetul anual de securitate informațională, dumneavoastră, lider, raportați stadiul instruirii. Până acum, raportul s-a concentrat pe fapte de implementare, de tipul „s-a desfășurat e-learning, cu rată de participare de 97%”, iar de fiecare dată conducerea a întrebat: „Și cu asta compania noastră a devenit mai puternică?” Pentru anul viitor se ia în calcul externalizarea parțială a exercițiilor și refacerea materialelor pentru domeniile cu înțelegere scăzută, ceea ce necesită buget. Aveți la îndemână, pe lângă rata de participare, rata de răspunsuri corecte pe domenii la testul de înțelegere, rata de raportare și timpul până la primul raport al exercițiilor, precum și evoluția numărului și tipului de incidente. Care este modul cel mai potrivit de raportare la comitet?

1. Conducerea nu solicită detalii, deci se raportează doar concluzia că nu au apărut probleme majore, fără a menționa evoluția indicatorilor, planul pentru anul viitor sau bugetul necesar
2. Pe lângă rata de participare, se prezintă rata de răspunsuri corecte pe domenii la testul de înțelegere, rata de raportare și timpul până la primul raport al exercițiilor, precum și evoluția numărului și tipului de incidente, propunând ce se schimbă și ce resurse sunt necesare
3. Deoarece efectul instruirii nu poate fi exprimat prin cifre, se raportează doar numărul de sesiuni desfășurate și numărul de participanți
4. Se prezintă doar rata de participare, explicând că neatingerea a 100% se datorează conștientizării scăzute din teren

La compania A se efectuează anual un audit intern privind securitatea informațională. Obiectul auditului din acest an include mecanismul de gestionare a drepturilor de acces, conceput și operat chiar de departamentul de sisteme informatice. La ședința de stabilire a auditorilor, secretariatul a propus: „Cel care cunoaște cel mai bine mecanismul este departamentul de sisteme informatice, așa că ar fi eficient ca supervizorul acelui departament să efectueze auditul.” Supervizorul însuși a spus: „Eu pot verifica repede.” Dumneavoastră, lider, aveți rezerve față de această propunere. Care este reacția cea mai potrivită?

1. Auditul intern fiind o activitate formală, se renunță la el în acest an și se înlocuiește cu rezultatul unei examinări externe a organismului de certificare
2. Independența este doar o cerință formală, așa că se procedează conform propunerii secretariatului, notând în raportul de audit că s-a ținut cont de independență
3. Deoarece persoana cea mai familiarizată cu mecanismul găsește mai ușor deficiențele, se păstrează propunerea secretariatului, cu supervizorul departamentului de sisteme informatice ca auditor
4. Se desemnează o persoană care nu aparține departamentului auditat, departamentul de audit sau un expert extern, iar departamentul de sisteme informatice trece de partea celor care oferă explicații și dovezi

La compania A, în acest an s-a decis începerea auditului intern de securitate informațională, iar un reprezentant al departamentului administrativ a fost desemnat auditor. Acesta a spus: „Am de gând să vizitez fiecare departament și să semnalez pe loc ce mi se pare suspect.” În companie există un regulament de securitate informațională și diverse manuale de proceduri, iar contractele cu prestatorii conțin clauze privind măsurile de securitate. Rezultatul auditului urmează să fie raportat conducerii, iar în caz de constatări se va cere corectare. Dumneavoastră, lider, considerați că departamentele auditate nu vor fi convinse de această abordare. Ce ar trebui făcut mai întâi?

1. Se obțin rapoartele de audit ale altor companii și se adoptă direct, ca observații proprii, constatările consemnate acolo
2. Se enumeră punctele observate la vizitarea fiecărui departament și, dintre acestea, se aleg cele care par importante, ca observații
3. Se stabilesc dinainte domeniul de aplicare al auditului și criteriul de audit — ceea ce servește ca reper pentru a judeca bun și rău (regulament propriu, manuale, clauze contractuale, legislație)
4. Deoarece anunțarea în avans ar permite pregătirea, se efectuează auditul prin surprindere, fără a comunica nici domeniul, nici data, semnalând doar ceea ce se observă pe loc

La compania A, observațiile auditului intern sunt gestionate într-o listă, cu verificarea lunară a categoriei, termenului de corectare și progresului. Categoriile sunt „neconformitate” — nerespectarea regulamentului sau a cerințelor — și „oportunitate de îmbunătățire” — ceva ce poate fi mai bun, deși nu este o încălcare. Astăzi este 20 octombrie, iar dumneavoastră, lider, ați organizat situația pentru ședința de progres. Există elemente la care corectarea nu avansează, unele fiind chiar peste termen. Situația actuală este cea din tabelul de mai jos. Ce ar trebui tratat mai întâi?

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. Se concentrează eforturile pe finalizarea prioritară a Nr. 3, aflat încă în termen, privind pregătirea unei proceduri
2. Se începe corectarea Nr. 1, cu termenul depășit și încă fără responsabil desemnat, privind ștergerea contului unui fost angajat
3. Se emite din nou un avertisment la nivelul întregii companii privind Nr. 5, referitor la documentele lăsate în sala de ședințe
4. Se începe prioritar lucrul la Nr. 4, privind perioada de păstrare a înregistrărilor de instruire, prin ajustarea mențiunii din regulament

Departamentul de vânzări al companiei A a primit anul trecut, la auditul intern, observația „drepturile de acces din vechiul departament ale angajaților transferați nu sunt șterse.” Departamentul a șters pe loc drepturile persoanei vizate și a răspuns departamentului de audit: „Am atenționat responsabilul”, considerând situația corectată. Însă, în auditul din acest an au apărut din nou 3 observații identice. La verificare, s-a constatat că procesarea transferului se face prin sistemul de resurse umane, dar ștergerea drepturilor de acces este lăsată în seama fiecărui departament, care solicită ștergerea atunci când observă situația, fără ca manualul să menționeze acest pas. Dumneavoastră, lider, doriți să opriți repetarea chiar în acest an. Care este reacția cea mai potrivită?

1. Deoarece situația s-a repetat chiar după avertismentul de anul trecut, se sancționează responsabilul care a omis ștergerea vechilor drepturi, conform regulamentului de muncă
2. Chiar înainte de audit, se efectuează o inventariere și ștergere în bloc a drepturilor inutile, pentru a evita observația și anul viitor
3. Fiind o observație care apare în fiecare an, se solicită cu insistență departamentului de audit ca aceasta să fie exclusă din obiectul auditului, ca inevitabilă din punct de vedere practic
4. Se integrează ștergerea drepturilor din vechiul departament ca etapă obligatorie în procedura de transfer, verificând starea implementării printr-o inventariere trimestrială

Săptămâna viitoare, departamentul de vânzări al companiei A urmează să fie supus unui audit intern având ca obiect „scoaterea și păstrarea informațiilor despre clienți”. În realitate, unii angajați, considerând procedura oficială de solicitare prea greoaie, salvează liste de clienți într-un spațiu de stocare cloud contractat personal, fără aprobarea superiorului. Directorul departamentului de vânzări a instruit în ședința internă: „Dacă evaluarea scade din cauza auditului, avem probleme, așa că nu menționați acest subiect decât dacă sunteți întrebați direct.” Dumneavoastră, lider, aveți îndoieli dacă să urmați această instrucțiune. După audit se cere prezentarea unui plan de corectare. Care este reacția cea mai potrivită?

1. Se explică situația reală și numărul de cazuri fără a le ascunde, propunând directorului să prezinte și cauza — dificultatea procedurii oficiale — împreună cu un plan de corectare
2. Se șterg până la data auditului toate fișierele din spațiul de stocare cloud contractat personal, explicând că o astfel de practică nu a existat niciodată
3. Se urmează instrucțiunea directorului, răspunzând formal doar la ce se întreabă, fără a aduce din proprie inițiativă situația reală în discuție
4. Considerând auditul o formalitate, se prezintă doar înregistrările solicitate, iar angajații care cunosc situația reală sunt excluși de la participare

La auditul intern al companiei A, auditorul a intervievat un reprezentant al unui departament de activitate privind stadiul operării și a verificat totodată existența înregistrărilor justificative. Reprezentantul a declarat pentru fiecare element: „Se implementează conform regulamentului”, dar starea înregistrărilor diferă de la un element la altul. Auditorul consideră necesar să judece prin confruntarea declarației cu înregistrările. Rezultatul verificării este cel din tabelul de mai jos. Care este judecata cea mai potrivită a auditorului?

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. Pentru elementele fără înregistrări, auditorul ascultă în detaliu explicația responsabilului, întocmește el însuși un registru și îl tratează direct ca dovadă de audit
2. De vreme ce în teren se declară implementarea, se consideră fără probleme, indiferent de existența înregistrărilor
3. Pentru cererea cu câmpul de aprobare gol și pentru scoaterea bazată pe memorie, fără registru, se consemnează o observație privind insuficiența dovezilor de audit, deoarece implementarea nu poate fi confirmată
4. Chiar și pentru intrarea/ieșirea din spații și instruire, unde există înregistrări, doar declarația responsabilului este insuficientă, așa că se consemnează observație și pentru acestea

La compania A se efectuează anual audit intern de securitate informațională și se întocmește un raport de audit. Însă raportul este doar păstrat de secretariat, fără a exista un moment de raportare către conducere și fără a fi reflectat în planul sau bugetul anului următor. Ca urmare, în fiecare an apar aproape aceleași observații, iar din teren se aud voci precum: „Oricum nu se schimbă nimic.” Auditul de anul acesta s-a încheiat, iar dumneavoastră, lider, tocmai ați primit raportul. Care este reacția cea mai potrivită?

1. Se consideră că rezultatul auditului este o problemă a operării din teren și nu este nevoie de raportare către conducere
2. Fiind auditul o activitate de verificare (Check), se consideră că PDCA s-a încheiat un ciclu odată ce auditul a fost efectuat
3. Deoarece aceleași observații apar în fiecare an din cauza perspectivei fixe a auditorului, se schimbă anual elementele de audit, pentru a evita repetarea acelorași observații
4. Se instituie un forum de revizuire de management prin care conducerea reanalizează rezultatul auditului, situația incidentelor și gradul de atingere a obiectivelor, reflectând deciziile în planul și alocarea de resurse ale anului următor

Compania A, la solicitarea unui partener, urmează să obțină pentru prima dată certificarea ISMS. Responsabilul secretariatului propune: „Scopul este să trecem examinarea, așa că hai să ne inspirăm din regulamentele impresionante ale altor companii pentru un conținut ideal și să reface și înregistrările frumos, pentru examinare.” Operarea reală are părți mai relaxate decât proiectul de regulament; de exemplu, înregistrarea intrării/ieșirii se face săptămânal, nu de fiecare dată. La examinare se verifică atât regulamentul, cât și operarea efectivă. Dumneavoastră, lider, aveți rezerve față de această abordare. Care este cea mai potrivită?

1. Pentru a alinia la operarea din teren, se desființează regulamentul, lăsând decizia la latitudinea fiecărui caz
2. Regulamentul se ajustează la ceea ce compania poate efectiv respecta, iar înregistrările rămase din operarea zilnică se aduc într-o stare în care pot fi prezentate ca dovadă
3. Pentru părțile unde regulamentul și operarea diferă, se operează conform regulamentului doar pe durata examinării, revenind la operarea anterioară după încheiere
4. Fiind scopul trecerea examinării, se întocmește un regulament nou, cu conținut ideal, iar înregistrările se aranjează pentru examinare, apoi se depun astfel

Compania A a fost supusă unei examinări externe și a primit raportul de la organismul de examinare. Raportul clasifică observațiile pe categorii, fiecare categorie având o reacție și un termen diferite. Responsabilul secretariatului spune: „Fiind multe, nu ar fi suficient să tratăm doar pe cele cu termen explicit?” Dumneavoastră, lider, decideți să organizați semnificația categoriilor înainte de a stabili direcția de reacție. Conținutul raportului este cel din tabelul de mai jos. Care reacție a companiei A este necorespunzătoare?

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. Deoarece cele 5 oportunități de îmbunătățire nu au termen și reacția este opțională, nu se consemnează și nu se analizează deloc
2. Se instituie un mecanism intern de urmărire (follow-up) pentru a verifica dacă acțiunile corective au fost realizate până la termen
3. Se alocă și pentru cele 3 neconformități minore câte un responsabil și un termen intern, fiind necesară corectarea și pentru acestea
4. Pentru neconformitatea majoră, se începe imediat analiza cauzei, pregătindu-se prezentarea unui plan de corectare în 30 de zile

La auditul intern al companiei A a apărut observația de neconformitate: „Jurnalele de operare ale sistemului de bază se păstrează doar o săptămână, ceea ce face imposibilă urmărirea retroactivă în cazul unei suspiciuni de fraudă.” Corectarea necesită extinderea stocării și modificarea configurării, cu un cost estimat la câteva milioane de yeni. Departamentul de sisteme informatice a răspuns: „Nu avem alocare bugetară pentru acest an fiscal, nu putem începe”, iar mai sunt 2 luni până la termenul de corectare. Dumneavoastră, lider, ați solicitat de 3 ori rezolvarea, dar situația nu s-a schimbat, iar coordonarea interdepartamentală nu mai poate mișca lucrurile. Care este reacția cea mai potrivită?

1. Se decide, la nivelul departamentului de sisteme informatice, acceptarea riscului, iar dumneavoastră, ca lider, tratați situația drept corectată
2. Se solicită departamentului de audit retragerea temporară a acestei observații, coordonând ca aceeași observație să fie reformulată în anul viitor, când va exista buget
3. Neexistând buget, nu se poate face nimic; se prelungește repetat termenul de corectare și se raportează situația ca fiind în curs de rezolvare
4. Se organizează impactul estimat în caz de imposibilitate a urmăririi, resursele necesare și cine ar accepta riscul dacă se renunță la corectare, apoi se escaladează la conducere pentru decizie