DE. DP-3: فرآیندهای تشخیص آزمایش می شوند

برای نوع ارزیابی که باید انجام شود ، تیم ارزیابی کننده یا ارزیابی مناسب را انتخاب کنید. یک برنامه ارزیابی کنترل تهیه کنید که دامنه ارزیابی از جمله: کنترل و پیشرفت های کنترل تحت ارزیابی را توصیف می کند. روشهای ارزیابی برای تعیین اثربخشی کنترل استفاده می شود. و محیط ارزیابی ، تیم ارزیابی و نقش ها و مسئولیت های ارزیابی. اطمینان از ...

CA-7: نظارت مداوم

تدوین یک استراتژی نظارت مداوم در سطح سیستم و اجرای نظارت مداوم مطابق با استراتژی نظارت مداوم در سطح سازمان که شامل موارد زیر است: تعیین معیارهای سطح زیر برای کنترل: [تکالیف: معیارهای سطح سیستم تعریف شده از سازمان] ؛ایجاد [تکالیف: فرکانسهای تعریف شده سازمان] برای نظارت و [واگذاری: فرکانسهای تعریف شده توسط سازمان] برای ارزیابی اثربخشی کنترل. ارزیابی های کنترل مداوم مطابق با مداوم…

PM-14: آزمایش ، آموزش و نظارت

اجرای فرایندی برای اطمینان از برنامه های سازمانی برای انجام آزمایشات امنیتی و حفظ حریم خصوصی ، آموزش و نظارت بر فعالیتهای مرتبط با سیستم های سازمانی: توسعه یافته و نگهداری می شوند. و همچنان اجرا شود. و بررسی برنامه های آزمایش ، آموزش و نظارت بر برنامه های سازگاری با استراتژی مدیریت ریسک سازمانی و اولویت های سازمان برای اقدامات پاسخ به ریسک.

SI-3: محافظت از کد مخرب

پیاده سازی [تکالیف (یک یا چند): مکانیسم های محافظت از کد مخرب مبتنی بر امضا ، مبتنی بر امضای ، در ورود و خروج سیستم برای شناسایی و ریشه کن کردن کد مخرب. به طور خودکار مکانیسم های محافظت از کد مخرب را به روز کنید زیرا نسخه های جدید مطابق با سیاست و رویه های مدیریت پیکربندی سازمانی در دسترس هستند. مکانیسم های محافظت از کد مخرب را پیکربندی کنید: انجام اسکن های دوره ای…

SI-4: نظارت بر سیستم

1. از نظر استراتژیک در سیستم برای جمع آوری اطلاعات ضروری سازماندهی سازمان. و 1. در مکانهای موقت در سیستم برای ردیابی انواع خاص معاملات مورد علاقه سازمان. نظارت بر سیستم برای تشخیص: حملات و شاخص های حملات احتمالی مطابق با اهداف نظارت زیر: [واگذاری: اهداف نظارتی تعریف شده از سازمان] ؛و محلی غیرمجاز ، ...

انتشار ویژه Nist 800-171 Revision 2

3. 10. 4: گزارش های حسابرسی دسترسی فیزیکی را حفظ کنید

سازمان ها در انواع سیاهههای مربوط به حسابرسی به کار رفته انعطاف پذیری دارند. سیاهههای مربوط به حسابرسی می توانند رویه ای باشند (به عنوان مثال ، یک گزارش کتبی از افراد که به تسهیلات دسترسی پیدا می کنند) ، خودکار (به عنوان مثال ، ضبط شناسه تهیه شده توسط کارت PIV) یا ترکیبی از آن. نقاط دسترسی فیزیکی می توانند شامل نقاط دسترسی به تسهیلات ، نقاط دسترسی داخلی به سیستم ها یا اجزای سیستم باشند که نیاز به تکمیلی دارند ...

3. 12. 1: به طور دوره ای کنترل های امنیتی در سیستم های سازمانی را ارزیابی کنید تا مشخص شود آیا کنترل ها در کاربرد آنها مؤثر هستند

سازمان ها کنترل های امنیتی را در سیستم های سازمانی و محیط هایی که در آن سیستم ها به عنوان بخشی از چرخه زندگی توسعه سیستم کار می کنند ، ارزیابی می کنند. کنترل های امنیتی حفاظت یا سازمانهای اقدامات متقابل برای برآورده کردن الزامات امنیتی هستند. با ارزیابی کنترل های امنیتی اجرا شده ، سازمان ها تعیین می کنند که آیا حفاظت از امنیت یا اقدامات متقابل وجود دارد و کار می کند ...

3. 12. 3: کنترل های امنیتی را به صورت مداوم کنترل کنید تا از اثربخشی کنترل شده کنترل ها اطمینان حاصل شود

برنامه های نظارت مداوم ، آگاهی مداوم در مورد تهدیدات ، آسیب پذیری ها و امنیت اطلاعات را برای حمایت از تصمیمات مدیریت ریسک سازمانی تسهیل می کند. اصطلاحات مداوم و مداوم دلالت بر این دارد که سازمانها کنترل های امنیتی و خطرات مربوط به امنیت را در فرکانس کافی برای حمایت از تصمیمات مبتنی بر ریسک ارزیابی و تجزیه و تحلیل می کنند. نتایج برنامه های نظارت مداوم باعث ایجاد اقدامات پاسخ به ریسک مناسب توسط…

Cloud Controls Matrix v3. 0. 1

AAC-01: برنامه ریزی حسابرسی

برنامه های حسابرسی باید برای رفع اختلالات فرآیند تجارت تهیه و نگهداری شود. برنامه های حسابرسی باید بر بررسی اثربخشی اجرای عملیات امنیتی متمرکز شود. کلیه فعالیتهای حسابرسی باید قبل از اجرای هرگونه حسابرسی توافق شود.

AAC-02: ممیزی های مستقل

بررسی ها و ارزیابی های مستقل حداقل سالانه انجام می شود تا اطمینان حاصل شود که سازمان به عدم انطباق سیاست ها ، استانداردها ، رویه ها و تعهدات مربوط به انطباق پرداخته می شود.

TVM-01: نرم افزار ضد ویروس / مخرب

سیاست ها و رویه ها باید ایجاد شود ، و پشتیبانی از فرآیندهای تجاری و اقدامات فنی اجرا شده ، برای جلوگیری از اجرای بدافزار بر روی دستگاه های انتهایی کاربر متعلق به سازمانی یا مدیریت شده (به عنوان مثال ، ایستگاه های کاری ، لپ تاپ ها و دستگاه های تلفن همراه صادر شده) و شبکه های زیرساختی IT و ITاجزای سیستم.

انتشار ویژه NIST 800-53 تجدید نظر 4

CA-2: ارزیابی های امنیتی

سازمان: یک برنامه ارزیابی امنیتی را تهیه می کند که دامنه ارزیابی از جمله: کنترل های امنیتی و پیشرفت های کنترل تحت ارزیابی را توصیف می کند. روشهای ارزیابی مورد استفاده برای تعیین اثربخشی کنترل امنیت. و محیط ارزیابی ، تیم ارزیابی و نقش ها و مسئولیت های ارزیابی. کنترل های امنیتی موجود در سیستم اطلاعات و محیط عملکرد آن را ارزیابی می کند ...

CA-7: نظارت مداوم

سازمان یک استراتژی نظارت مداوم را تدوین می کند و یک برنامه نظارت مداوم را اجرا می کند که شامل: ایجاد [تکالیف: معیارهای تعریف شده از سازمان] است که باید مورد بررسی قرار گیرد. ایجاد [تکالیف: فرکانسهای تعریف شده سازمان] برای نظارت و [واگذاری: فرکانسهای تعریف شده توسط سازمان] برای ارزیابی های پشتیبانی از چنین نظارت. ارزیابی های کنترل امنیتی مداوم مطابق با استراتژی نظارت مداوم سازمانی. نظارت بر وضعیت امنیتی مداوم…

PE-3: کنترل دسترسی فیزیکی

سازمان: مجوزهای دسترسی فیزیکی را در [تکالیف: ورود/خروج از سازمان تعریف شده به تسهیلاتی که سیستم اطلاعات در آن قرار دارد] اعمال می کند. تأیید مجوزهای دسترسی فردی قبل از اعطای دسترسی به تسهیلات. و کنترل ورود/خروج به تسهیلات با استفاده از [انتخاب (یک یا چند): [تکالیف: سیستم ها/دستگاه های کنترل دسترسی فیزیکی تعریف شده توسط سازمان] ؛نگهبانان] ؛گزارش های حسابرسی دسترسی فیزیکی را برای [انتساب:…

PM-14: آزمایش ، آموزش و نظارت

سازمان: فرایندی را برای اطمینان از برنامه های سازمانی برای انجام آزمایشات امنیتی ، آموزش و نظارت بر فعالیتهای مرتبط با سیستم های اطلاعات سازمانی: توسعه یافته و نگهداری می کند. و همچنان به موقع اجرا شود. بررسی ، آموزش ، آموزش و نظارت بر برنامه های سازگاری با استراتژی مدیریت ریسک سازمانی و اولویت های سازمان برای ریسک…

SI-3: محافظت از کد مخرب

سازمان: برای شناسایی و ریشه کن کردن کد مخرب ، از مکانیسم های محافظت از کد مخرب در سیستم اطلاعات و ورود به سیستم استفاده می کند. هر زمان که نسخه های جدید مطابق با سیاست و رویه های مدیریت پیکربندی سازمانی در دسترس باشد ، مکانیسم های محافظت از کد مخرب را به روز می کند. مکانیسم های محافظت از کد مخرب را به: انجام اسکن های دوره ای از سیستم اطلاعات [انتساب: فرکانس تعریف شده از سازمان] پیکربندی می کند ...

SI-4: نظارت بر سیستم اطلاعات

سازمان: سیستم اطلاعاتی را برای شناسایی: حملات و شاخص های حملات احتمالی مطابق با [انتساب: اهداف نظارتی تعریف شده از سازمان] نظارت می کند. و اتصالات محلی ، شبکه و از راه دور غیرمجاز ؛استفاده غیرمجاز از سیستم اطلاعات را از طریق [واگذاری: تکنیک ها و روش های تعریف شده سازمان] شناسایی می کند. استفاده از دستگاه های نظارت: از لحاظ استراتژیک در سیستم اطلاعاتی برای جمع آوری اطلاعات ضروری سازماندهی سازمان. و…