セキュリティホール
ITリスクを専門的に管理する適切な方法は、 ISO / IEC 27002やRisk ITなどの情報セキュリティ管理システムを採用し、上層部が定めたセキュリティ戦略に従ってそれらに準拠することである。
情報セキュリティの重要な概念の一つが原則である深層防護すなわちできる多層防衛システムをセットアップするには:
悪用を防ぐ
攻撃を検出して阻止する
脅威エージェントを見つけて起訴する
侵入検知システムは、攻撃の検知に使用されるシステムのクラスの一例である。
物理的セキュリティは、情報資産を物理的に保護するための一連の対策である。誰かが情報資産に物理的にアクセスできる場合、正当なユーザーがリソースを利用できないようにするのは非常に簡単である。
優れたセキュリティレベルを満たすために、コンピュータ、オペレーティングシステム、およびアプリケーションが満たす必要のある基準のセットがいくつか開発されている。ITSECと共通基準は2つの例である。
脆弱性は以下に関連している:
システムの物理的環境
人事
管理
組織内の管理手順とセキュリティ対策
事業運営およびサービス提供
ハードウェア
ソフトウェア
通信機器および設備
周辺機器
そしてそれらの組み合わせ。
純粋な技術的アプローチでは物理的資産さえ保護できないことは明らかである。適切な注意を払って従うことを動機付けた、保守要員が施設や手順を十分に理解している人々に入るようにするための管理手順が必要である。詳細はソーシャルエンジニアリングを参照されたい。
脆弱性の悪用の4つの例:
攻撃者が、オーバーフローの弱点を見つけて使用し、マルウェアをインストールして機密データをエクスポートする。
攻撃者が、マルウェアが添付された電子メールメッセージを開くようにユーザーを誘導する。
インサイダーが、強化された暗号化プログラムをサムドライブにコピーし、自宅でそれをクラックする。
洪水が、1階に設置されたコンピュータシステムを損傷する。
情報セキュリティ管理に関連する一連のポリシーである情報セキュリティ管理システム(information security management system, ISMS)は、 リスク管理の原則に従って、所定のポリシーに適用される規則や規制に従ってセキュリティ戦略が確立されていることを確認するための対策を管理するために開発された国。これらの対策はセキュリティコントロールとも呼ばれるが、情報の送信に適用される場合はセキュリティサービスと呼ばれる。