بليز ابي تقرير

لوو سمحتوو ابي تقرير عن امن البيانات><بليييييييييييييييز:s55:

اتمنى انه يفيدك
.....
المبادئ الأساسية
وهي من أهم المفاهيم قبل اكثر من عشرين عاما، وأمن المعلومات قد عقدت السرية والنزاهة وتوافر (المعروفة باسم الثالوث سي آي ايهCIA) والمبادئ الأساسية لأمن المعلومات. العديد من المتخصصين في مجال أمن المعلوماتالذي نؤمن إيمانا راسخا بأن المساءلة ينبغي أن يضاف كمبدأ أساسي لأمن المعلومات.
[عدل] السرية

السرية هو المصطلح المستخدم لمنع الكشف عن معلومات لأشخاص غير مأذون لهم بالأطلاع عليها أو الكشف عنها. على سبيل المثال، بطاقة الائتمان والمعاملات التجارية على شبكة الإنترنت يتطلب رقم بطاقة الائتمان على أن تنتقل من المشتري إلى التاجر ومن التاجر لانجاز وتجهيز المعاملات على الشبكة. يحاول النظام فرض السرية عن طريق تشفير رقم البطاقة أثناء الإرسال، وذلك بالحد من الأماكن التي قد تظهر (في قواعد البيانات، وسجل الملفات، النسخ الاحتياطي، والإيصالات المطبوعة، وهلم جرا)، وذلك بتقييد الوصول إلى الأماكن التي يتم تخزين الرقم والبيانات بها. إذا كان الطرف غير المصرح به يحصل على رقم البطاقة بأي شكل من الأشكال ،وبذلك فقد تم انتهاك مبدأ السرية في حفظ وتخزين البيانات.
خرق السرية يتخذ أشكالا عديدة. تلصص شخص ما على شاشة الكمبيوتر لسرقة كلمات سر الدخول ،أو رؤية بيانات سرية لديك بدون علم منك يمكن أن يكون خرقا للسرية. إذا الكمبيوتر المحمول يحتوي على معلومات حساسة عن موظفي الشركة هو سرق أو بيع، يمكن أن يسفر عن انتهاك لمبدأ السرية. إعطاء معلومات سرية عبر الهاتف هو انتهاك لمبدأ السرية إذا كان الطالب غير مخول أن يحصل على المعلومات.
السرية أمر ضروري (لكنها غير كافية) للحفاظ على الخصوصية من الناس الذين المعلومات الشخصية لنظام التعليق.
[عدل] سلامة

في مجال أمن المعلومات، السلامة تعني الحفاظ على البيانات من التغيير والتعدل من الاشخاص الغير مخول لهم بذلك. عندما يقوم شخص بقصد أو بغير قصد انتهاك سلامة أو الإضرار أو حذف ملفات البيانات الهامة وهو غير مخول بذلك فهذه انتهاك لسلامة البيانات، وعندما يصيب فيروس كمبيوتر ويقوم بتعديل بيانات أو اتلافها فهذا انتهاك سلامة بيانات، وعندما يكون الموظف قادرا على تعديل راتبه في قاعدة البيانات والمرتبات، وعندما يقوم مستخدم غير مصرح له بتخريب موقع على شبكة الإنترنت، وهلم جرا.
[عدل] توافر

يهدف أي نظام للمعلومات لخدمة غرضه، يجب أن تكون المعلومات متوفرة عند الحاجة إليها. وهذا يعني أن الأنظمة الحاسوبية المستخدمة لتخزين ومعالجة المعلومات، والضوابط الأمنية المستخدمة لحمايته، وقنوات الاتصال المستخدمة للوصول إلى ذلك يجب أن يعمل بشكل صحيح. توافر عالية نظم تهدف إلى ما زالت متاحة في جميع الأوقات، ومنع انقطاع الخدمة بسبب انقطاع التيار الكهربائي، أو تعطل الأجهزة، اونظام الترقيات والتحديث. ضمان توافر ينطوي أيضا على منع الحرمان من الخدمة الهجمات.
في عام 2002، Donn باركر اقتراح نموذج بديل لوكالة المخابرات المركزية الثالوث الكلاسيكي (CIA) الذي وصفه يتكوم من ستة عناصر من المعلومات. العناصر هي السرية، حيازة، سلامة، أصالة، توافر والأداة. وقائع Parkerian hexad هي موضع نقاش بين المتخصصين في مجال الأمن.
وأبسط أنواع الحماية هي استخدام نظام التعريف بشخص المستخدم ووثوقية الاستخدام ومشروعيته وهذه الوسائل تهدف إلى ضمان استخدام النظام أو الشبكة من الشخص المخول بالاستخدام وتضم هذه الطائفة كلمات السر بأنواعها، والبطاقات الذكية المستخدمة للتعريف، ووسائل التعريف البيولوجية والتي تعتمد على سمات معينة في الشخص المستخدم متصلة ببنائه البيولوجي المفاتيح المشفرة ويمكن ان نضم إلى هذه الطائفة ما يعرف بالاقفال الإلكترونية التي تحدد مناطق النفاذ.
اذاً نلاحظ مما سبق ان كل هذه التكنولوجيا التي وصل إليها العالم لا يمكن ان تعيش من دون امن المعلومات فعلى سبيل المثال نظام البنوك لو لم يكن هناك امن المعلومات لاستطاع أي شخص ان يدخل على النظام ويغير حسابه ويصبح مليونير من لا شيء.
[عدل] إدارة المخاطر

والمعالجة الشاملة للموضوع إدارة المخاطر هو خارج عن نطاق هذا المقال. ومع ذلك، سوف تقدم تعريفا مفيدا لإدارة المخاطر تكون كذلك بعض المصطلحات الأساسية ويشيع استخدامه في عملية إدارة المخاطر.
ينص التعريف التالي لإدارة المخاطر : "إدارة المخاطر هي عملية التعرف على نقاط الضعف والتهديدات الموجهة إلى موارد المعلومات التي تستخدمها المنظمةاو الشبكة المعلوماتية في تحقيق الأهداف التجارية او الاخرى، والحد والتقليل من نقاط الضعف إن وجدت، لتأخذ في الحد من المخاطر إلى مستوى مقبول، على أساس قيمة للموارد المعلومات إلى المنظمة. "
هناك أمران في هذا التعريف التي قد تحتاج إلى بعض التوضيح. أولا، عملية إدارة المخاطر هو تكرار العمليات الجارية ويجب أن يتكرر إلى ما لا نهاية لان بيئة العمل المتغيرة باستمرار، والتهديدات الجديدة والضعف تظهر كل يوم. والثانية اختيار التدابير المضادة (الرقابة) المستخدمة لإدارة المخاطر يجب أن توازن بين الإنتاجية، والتكلفة، وفعالية التدابير المضادة، وقيمة الموجودات وحماية البيانات.
الخطر هو احتمال أن شيئاما سيئا سيحدث يسبب الأذى لأحد الأصول المعلوماتية (أو الخسارة في الأصول). الضعف هو الضعف التي يمكن أن تستخدم لتعريضها للخطر أو التسبب في ضرر لأحد الأصول المعلوماتية. التهديد أي شيء فعل (أو من صنع الإنسان فعل من أفعال الطبيعة) بأن لديه القدرة على التسبب في ضرر.
احتمال أن يشكل تهديدا سوف تستخدم من التعرض للضرر يتسبب في خطر. عندما لا يشكل تهديدا استخدام الضعف لالحاق الاذى، لما له من أثر. في سياق أمن المعلومات، وأثر هو خسارة لتوافر والنزاهة والسرية، وربما غيرها من الخسائر (الدخل المفقود، والخسائر في الأرواح وخسائر في الممتلكات العقارية). وتجدر الإشارة إلى أنه ليس من الممكن تحديد جميع المخاطر، ولا هو ممكن للقضاء على جميع المخاطر. المخاطر المتبقية يسمى المخاطر المتبقية.
[عدل] تقييم للمخاطر

السياسة الأمنية،
تنظيم أمن المعلومات، # إدارة الأصول،
امن الموارد البشرية،
الجسدية الأمن البيئي،
الاتصالات وإدارة العمليات، # التحكم في الوصول،
اقتناء نظم المعلومات وتطويرها وصيانتها أو ما يسمى ب التحديث، # أمن المعلومات إدارة الحادث،
إدارة استمرارية الأعمال
التوافق التنظيمي.
== عملية إدارة المخاطر يتألف من == .تحديد الموجودات وتقدير قيمتها. تشمل ما يلي : الناس والمباني والأجهزة والبرامج والبيانات (الإلكترونية والمطبوعة وغيرها)، واللوازم.
.إجراء تقييم التهديد. وتشمل : أفعال الطبيعة، أعمال الحرب والحوادث والأفعال الضارة القادمة من داخل أو خارج المنظمة.
.إجراء تقييم الضعف، ولكل الضعف، وحساب احتمال أن يكون للاستغلال. تقييم السياسات والإجراءات والمعايير، والتدريب، الأمن المادي، مراقبة الجودة والأمن التقني.
.في حسبانها تأثير كل ذلك من شأنه أن يكون خطرا على كل الموجودات. استخدام التحليل النوعي أو التحليل الكمي.
.تحديد واختيار وتطبيق الضوابط المناسبة. تقدم ردا متناسبا. النظر في الإنتاجية، وفعالية التكاليف، وقيمة الموجودات.
.تقييم فعالية تدابير المكافحة. ضمان توفير الضوابط اللازمة لحماية فعالة من حيث التكلفة دون فقدان ملحوظ في الإنتاجية.
عن أي خطر معين، يمكن أن تختار الإدارة التنفيذية قبول المخاطرة استنادا إلى انخفاض القيمة النسبية للموجودات، وتواتر حدوث منخفضة نسبيا، وأثر انخفاض نسبي على الأعمال التجارية. أو، قد تختار القيادة التخفيف من المخاطر من خلال تحديد وتنفيذ تدابير الرقابة المناسبة للحد من مخاطر. في بعض الحالات، يمكن أن يكون خطر نقل إلى آخر أعمال التأمين عن طريق شراء أو التسنيد إلى آخر الأعمال. قد واقع بعض المخاطر يمكن الجدال فيها. في مثل هذه الحالات قد تختار القيادة إنكار المخاطر. هذا هو في حد ذاته يشكل خطرا محتملا
[عدل] اعتماد وتدقيق أمن المعلومات

أصبحت النظم المعلوماتية وقواعد البيانات وشبكات الاتصال عصب العالم المعرفي والصناعي والمالي والصحي وغيرها من القطاعات. حيث أصبح من المهم الحفاظ على أمن المعلومات بعناصره الرئيسية الثلاث: السرية والصوابية والاستمرارية. وعلى المستوى العالمي يبرز نظام الأيزو للاعتماد والتقييم والتقييس 27001 لضمان أمن المعلومات. كما يوجد نظام HIPAA في الولايات المتحدة الأمريكية لضمان أمن المعلومات الصحية ونظام COBIT من ISACA لأمن المعلومات.
[عدل] الضوابط

عندما يختار الإدارة للتخفيف من المخاطر، فإنها تفعل ذلك من خلال تنفيذ واحد أو أكثر من ثلاثة أنواع مختلفة من الضوابط.
[عدل] الإدارية

الرقابة الإدارية (وتسمى أيضا الضوابط الإجرائية) تتألف من الموافقة الخطية والسياسات والإجراءات والمعايير والمبادئ التوجيهية. الرقابة الإدارية تشكل إطارا لإدارة الأعمال التجارية وإدارة الأفراد. انها إطلاع الناس على كيفية عمل ما وهو كيفة تشغيل العمليات اليومية ويجب أن تجرى. القوانين واللوائح التي أنشأتها الهيئات الحكومية هي أيضا نوع من الرقابة الإدارية لأنها أبلغ الأعمال. بعض قطاعات الصناعة والسياسات والإجراءات والمعايير والمبادئ التوجيهية التي يجب اتباعها—الدفع صناعة بطاقات) معيار أمن البيانات المطلوبة من قبل تأشيرة الدخول وماستر كارد هو مثال على ذلك. ومن الأمثلة الأخرى على ضوابط إدارية وتشمل الشركات السياسة الأمنية، سياسة كلمة السر، سياسات التوظيف، والسياسات التأديبية.
الرقابة الإدارية تشكل أساسا للاختيار وتنفيذ الضوابط المنطقية والفيزيائية. الضوابط المنطقية والفيزيائية هي مظاهر الرقابة الإدارية. الضوابط الإدارية لهما أهمية قصوى.
[عدل] منطقي

الضوابط المنطقية (وتسمى أيضا الضوابط التقنية) استخدام البرمجيات والبيانات لرصد ومراقبة الوصول إلى نظم المعلومات والحوسبة. على سبيل المثال :كلمات السر، والجدران النارية، وكشف التسلل، قوائم التحكم بالولوج، وتشفير البيانات والضوابط المنطقية.
رقابة هامة من المنطقي أن يتم التغاضي عن كثير من الأحيان هو مبدأ الامتيازات الأقل. أل مبدأ الامتيازات الأقل يتطلب أن الفرد أو برنامج أو عملية النظام لا يتم منح أي امتيازات وصول أكثر من ضرورية لأداء المهمة. وثمة مثال صارخ على عدم التقيد بمبدأ الأقل امتياز هو تسجيل الدخول إلى ويندوز المستخدم المسؤول لقراءة البريد الإلكتروني وتصفح الإنترنت. انتهاكات من هذا المبدأ يمكن أن يحدث أيضا عند الفرد بجمع امتيازات الوصول إضافية بمرور الوقت. هذا يحدث عندما العمال تغيير واجبات العمل، أو أنهم ترقيته إلى منصب جديد، أو أنهم نقل إلى قسم آخر. امتيازات الوصول التي تتطلبها مهامهم الجديدة كثيرا ما أضيف على امتيازاتها وصول القائمة بالفعل والتي قد لا تكون ضرورية أو مناسبة.
[عدل] المادية

الضوابط المادية رصد ومراقبة البيئة في مكان العمل ومرافق الحوسبة. كما رصد ومراقبة الدخول والخروج من هذه المرافق. على سبيل المثال الأبواب والأقفال، والتدفئة وتكييف الهواء والدخان وأجهزة إنذار الحريق ونظم إخماد الحريق، والكاميرات، ووضع المتاريس، والمبارزة، وحراس الأمن، وتأمين الكابلات، وما إلى ذلك فصل الشبكة، ومكان العمل في مجالات وظيفية هي أيضا الضوابط المادية.
رقابة هامة المادية التي كثيرا ما يتم تجاهلها في الفصل بين الواجبات. الفصل بين الواجبات ويضمن أن الفرد لا يستطيع إكمال المهمة الحاسمة بنفسه. على سبيل المثال : الموظف الذي يقدم طلبا لسداد لا ينبغي أيضا أن يكون قادرا على أن يأذن بدفع أو طباعة الشيك. مبرمج تطبيقات لا ينبغي أن يكون أيضا مسؤول الملقم أو مدير قاعدة البيانات—هذه الأدوار والمسؤوليات يجب أن تكون مفصولة عن بعضها البعض
[عدل] شهادات لخبراء أمن المعلومات

تعد CISA مدقق نظم المعلومات المعتمد أحد أبرز الشهادات في إدارة وتدقييق النظم المعلوماتية. كما تعتبر شهادة CISSP خبير أمن معلومات معتمد شهادة مهمة في أمن المعلومات. كما توجد شهادات متخصصة في أغلب الشركات الكبيرة لتخصص أمن المعلومات مثل ميكرسوفت وسن وسيسكو وغيرها من الشركات

اقتباس:

---

المشاركة الأصلية كتبت بواسطة روعة الفجر

اتمنى انه يفيدك
.....
المبادئ الأساسية
وهي من أهم المفاهيم قبل اكثر من عشرين عاما، وأمن المعلومات قد عقدت السرية والنزاهة وتوافر (المعروفة باسم الثالوث سي آي ايهcia) والمبادئ الأساسية لأمن المعلومات. العديد من المتخصصين في مجال أمن المعلوماتالذي نؤمن إيمانا راسخا بأن المساءلة ينبغي أن يضاف كمبدأ أساسي لأمن المعلومات.
[عدل] السرية

السرية هو المصطلح المستخدم لمنع الكشف عن معلومات لأشخاص غير مأذون لهم بالأطلاع عليها أو الكشف عنها. على سبيل المثال، بطاقة الائتمان والمعاملات التجارية على شبكة الإنترنت يتطلب رقم بطاقة الائتمان على أن تنتقل من المشتري إلى التاجر ومن التاجر لانجاز وتجهيز المعاملات على الشبكة. يحاول النظام فرض السرية عن طريق تشفير رقم البطاقة أثناء الإرسال، وذلك بالحد من الأماكن التي قد تظهر (في قواعد البيانات، وسجل الملفات، النسخ الاحتياطي، والإيصالات المطبوعة، وهلم جرا)، وذلك بتقييد الوصول إلى الأماكن التي يتم تخزين الرقم والبيانات بها. إذا كان الطرف غير المصرح به يحصل على رقم البطاقة بأي شكل من الأشكال ،وبذلك فقد تم انتهاك مبدأ السرية في حفظ وتخزين البيانات.
خرق السرية يتخذ أشكالا عديدة. تلصص شخص ما على شاشة الكمبيوتر لسرقة كلمات سر الدخول ،أو رؤية بيانات سرية لديك بدون علم منك يمكن أن يكون خرقا للسرية. إذا الكمبيوتر المحمول يحتوي على معلومات حساسة عن موظفي الشركة هو سرق أو بيع، يمكن أن يسفر عن انتهاك لمبدأ السرية. إعطاء معلومات سرية عبر الهاتف هو انتهاك لمبدأ السرية إذا كان الطالب غير مخول أن يحصل على المعلومات.
السرية أمر ضروري (لكنها غير كافية) للحفاظ على الخصوصية من الناس الذين المعلومات الشخصية لنظام التعليق.
[عدل] سلامة

في مجال أمن المعلومات، السلامة تعني الحفاظ على البيانات من التغيير والتعدل من الاشخاص الغير مخول لهم بذلك. عندما يقوم شخص بقصد أو بغير قصد انتهاك سلامة أو الإضرار أو حذف ملفات البيانات الهامة وهو غير مخول بذلك فهذه انتهاك لسلامة البيانات، وعندما يصيب فيروس كمبيوتر ويقوم بتعديل بيانات أو اتلافها فهذا انتهاك سلامة بيانات، وعندما يكون الموظف قادرا على تعديل راتبه في قاعدة البيانات والمرتبات، وعندما يقوم مستخدم غير مصرح له بتخريب موقع على شبكة الإنترنت، وهلم جرا.
[عدل] توافر

يهدف أي نظام للمعلومات لخدمة غرضه، يجب أن تكون المعلومات متوفرة عند الحاجة إليها. وهذا يعني أن الأنظمة الحاسوبية المستخدمة لتخزين ومعالجة المعلومات، والضوابط الأمنية المستخدمة لحمايته، وقنوات الاتصال المستخدمة للوصول إلى ذلك يجب أن يعمل بشكل صحيح. توافر عالية نظم تهدف إلى ما زالت متاحة في جميع الأوقات، ومنع انقطاع الخدمة بسبب انقطاع التيار الكهربائي، أو تعطل الأجهزة، اونظام الترقيات والتحديث. ضمان توافر ينطوي أيضا على منع الحرمان من الخدمة الهجمات.
في عام 2002، donn باركر اقتراح نموذج بديل لوكالة المخابرات المركزية الثالوث الكلاسيكي (cia) الذي وصفه يتكوم من ستة عناصر من المعلومات. العناصر هي السرية، حيازة، سلامة، أصالة، توافر والأداة. وقائع parkerian hexad هي موضع نقاش بين المتخصصين في مجال الأمن.
وأبسط أنواع الحماية هي استخدام نظام التعريف بشخص المستخدم ووثوقية الاستخدام ومشروعيته وهذه الوسائل تهدف إلى ضمان استخدام النظام أو الشبكة من الشخص المخول بالاستخدام وتضم هذه الطائفة كلمات السر بأنواعها، والبطاقات الذكية المستخدمة للتعريف، ووسائل التعريف البيولوجية والتي تعتمد على سمات معينة في الشخص المستخدم متصلة ببنائه البيولوجي المفاتيح المشفرة ويمكن ان نضم إلى هذه الطائفة ما يعرف بالاقفال الإلكترونية التي تحدد مناطق النفاذ.
اذاً نلاحظ مما سبق ان كل هذه التكنولوجيا التي وصل إليها العالم لا يمكن ان تعيش من دون امن المعلومات فعلى سبيل المثال نظام البنوك لو لم يكن هناك امن المعلومات لاستطاع أي شخص ان يدخل على النظام ويغير حسابه ويصبح مليونير من لا شيء.
[عدل] إدارة المخاطر

والمعالجة الشاملة للموضوع إدارة المخاطر هو خارج عن نطاق هذا المقال. ومع ذلك، سوف تقدم تعريفا مفيدا لإدارة المخاطر تكون كذلك بعض المصطلحات الأساسية ويشيع استخدامه في عملية إدارة المخاطر.
ينص التعريف التالي لإدارة المخاطر : "إدارة المخاطر هي عملية التعرف على نقاط الضعف والتهديدات الموجهة إلى موارد المعلومات التي تستخدمها المنظمةاو الشبكة المعلوماتية في تحقيق الأهداف التجارية او الاخرى، والحد والتقليل من نقاط الضعف إن وجدت، لتأخذ في الحد من المخاطر إلى مستوى مقبول، على أساس قيمة للموارد المعلومات إلى المنظمة. "
هناك أمران في هذا التعريف التي قد تحتاج إلى بعض التوضيح. أولا، عملية إدارة المخاطر هو تكرار العمليات الجارية ويجب أن يتكرر إلى ما لا نهاية لان بيئة العمل المتغيرة باستمرار، والتهديدات الجديدة والضعف تظهر كل يوم. والثانية اختيار التدابير المضادة (الرقابة) المستخدمة لإدارة المخاطر يجب أن توازن بين الإنتاجية، والتكلفة، وفعالية التدابير المضادة، وقيمة الموجودات وحماية البيانات.
الخطر هو احتمال أن شيئاما سيئا سيحدث يسبب الأذى لأحد الأصول المعلوماتية (أو الخسارة في الأصول). الضعف هو الضعف التي يمكن أن تستخدم لتعريضها للخطر أو التسبب في ضرر لأحد الأصول المعلوماتية. التهديد أي شيء فعل (أو من صنع الإنسان فعل من أفعال الطبيعة) بأن لديه القدرة على التسبب في ضرر.
احتمال أن يشكل تهديدا سوف تستخدم من التعرض للضرر يتسبب في خطر. عندما لا يشكل تهديدا استخدام الضعف لالحاق الاذى، لما له من أثر. في سياق أمن المعلومات، وأثر هو خسارة لتوافر والنزاهة والسرية، وربما غيرها من الخسائر (الدخل المفقود، والخسائر في الأرواح وخسائر في الممتلكات العقارية). وتجدر الإشارة إلى أنه ليس من الممكن تحديد جميع المخاطر، ولا هو ممكن للقضاء على جميع المخاطر. المخاطر المتبقية يسمى المخاطر المتبقية.
[عدل] تقييم للمخاطر

السياسة الأمنية،
تنظيم أمن المعلومات، # إدارة الأصول،
امن الموارد البشرية،
الجسدية الأمن البيئي،
الاتصالات وإدارة العمليات، # التحكم في الوصول،
اقتناء نظم المعلومات وتطويرها وصيانتها أو ما يسمى ب التحديث، # أمن المعلومات إدارة الحادث،
إدارة استمرارية الأعمال
التوافق التنظيمي.
== عملية إدارة المخاطر يتألف من == .تحديد الموجودات وتقدير قيمتها. تشمل ما يلي : الناس والمباني والأجهزة والبرامج والبيانات (الإلكترونية والمطبوعة وغيرها)، واللوازم.
.إجراء تقييم التهديد. وتشمل : أفعال الطبيعة، أعمال الحرب والحوادث والأفعال الضارة القادمة من داخل أو خارج المنظمة.
.إجراء تقييم الضعف، ولكل الضعف، وحساب احتمال أن يكون للاستغلال. تقييم السياسات والإجراءات والمعايير، والتدريب، الأمن المادي، مراقبة الجودة والأمن التقني.
.في حسبانها تأثير كل ذلك من شأنه أن يكون خطرا على كل الموجودات. استخدام التحليل النوعي أو التحليل الكمي.
.تحديد واختيار وتطبيق الضوابط المناسبة. تقدم ردا متناسبا. النظر في الإنتاجية، وفعالية التكاليف، وقيمة الموجودات.
.تقييم فعالية تدابير المكافحة. ضمان توفير الضوابط اللازمة لحماية فعالة من حيث التكلفة دون فقدان ملحوظ في الإنتاجية.
عن أي خطر معين، يمكن أن تختار الإدارة التنفيذية قبول المخاطرة استنادا إلى انخفاض القيمة النسبية للموجودات، وتواتر حدوث منخفضة نسبيا، وأثر انخفاض نسبي على الأعمال التجارية. أو، قد تختار القيادة التخفيف من المخاطر من خلال تحديد وتنفيذ تدابير الرقابة المناسبة للحد من مخاطر. في بعض الحالات، يمكن أن يكون خطر نقل إلى آخر أعمال التأمين عن طريق شراء أو التسنيد إلى آخر الأعمال. قد واقع بعض المخاطر يمكن الجدال فيها. في مثل هذه الحالات قد تختار القيادة إنكار المخاطر. هذا هو في حد ذاته يشكل خطرا محتملا
[عدل] اعتماد وتدقيق أمن المعلومات

أصبحت النظم المعلوماتية وقواعد البيانات وشبكات الاتصال عصب العالم المعرفي والصناعي والمالي والصحي وغيرها من القطاعات. حيث أصبح من المهم الحفاظ على أمن المعلومات بعناصره الرئيسية الثلاث: السرية والصوابية والاستمرارية. وعلى المستوى العالمي يبرز نظام الأيزو للاعتماد والتقييم والتقييس 27001 لضمان أمن المعلومات. كما يوجد نظام hipaa في الولايات المتحدة الأمريكية لضمان أمن المعلومات الصحية ونظام cobit من isaca لأمن المعلومات.
[عدل] الضوابط

عندما يختار الإدارة للتخفيف من المخاطر، فإنها تفعل ذلك من خلال تنفيذ واحد أو أكثر من ثلاثة أنواع مختلفة من الضوابط.
[عدل] الإدارية

الرقابة الإدارية (وتسمى أيضا الضوابط الإجرائية) تتألف من الموافقة الخطية والسياسات والإجراءات والمعايير والمبادئ التوجيهية. الرقابة الإدارية تشكل إطارا لإدارة الأعمال التجارية وإدارة الأفراد. انها إطلاع الناس على كيفية عمل ما وهو كيفة تشغيل العمليات اليومية ويجب أن تجرى. القوانين واللوائح التي أنشأتها الهيئات الحكومية هي أيضا نوع من الرقابة الإدارية لأنها أبلغ الأعمال. بعض قطاعات الصناعة والسياسات والإجراءات والمعايير والمبادئ التوجيهية التي يجب اتباعها—الدفع صناعة بطاقات) معيار أمن البيانات المطلوبة من قبل تأشيرة الدخول وماستر كارد هو مثال على ذلك. ومن الأمثلة الأخرى على ضوابط إدارية وتشمل الشركات السياسة الأمنية، سياسة كلمة السر، سياسات التوظيف، والسياسات التأديبية.
الرقابة الإدارية تشكل أساسا للاختيار وتنفيذ الضوابط المنطقية والفيزيائية. الضوابط المنطقية والفيزيائية هي مظاهر الرقابة الإدارية. الضوابط الإدارية لهما أهمية قصوى.
[عدل] منطقي

الضوابط المنطقية (وتسمى أيضا الضوابط التقنية) استخدام البرمجيات والبيانات لرصد ومراقبة الوصول إلى نظم المعلومات والحوسبة. على سبيل المثال :كلمات السر، والجدران النارية، وكشف التسلل، قوائم التحكم بالولوج، وتشفير البيانات والضوابط المنطقية.
رقابة هامة من المنطقي أن يتم التغاضي عن كثير من الأحيان هو مبدأ الامتيازات الأقل. أل مبدأ الامتيازات الأقل يتطلب أن الفرد أو برنامج أو عملية النظام لا يتم منح أي امتيازات وصول أكثر من ضرورية لأداء المهمة. وثمة مثال صارخ على عدم التقيد بمبدأ الأقل امتياز هو تسجيل الدخول إلى ويندوز المستخدم المسؤول لقراءة البريد الإلكتروني وتصفح الإنترنت. انتهاكات من هذا المبدأ يمكن أن يحدث أيضا عند الفرد بجمع امتيازات الوصول إضافية بمرور الوقت. هذا يحدث عندما العمال تغيير واجبات العمل، أو أنهم ترقيته إلى منصب جديد، أو أنهم نقل إلى قسم آخر. امتيازات الوصول التي تتطلبها مهامهم الجديدة كثيرا ما أضيف على امتيازاتها وصول القائمة بالفعل والتي قد لا تكون ضرورية أو مناسبة.
[عدل] المادية

الضوابط المادية رصد ومراقبة البيئة في مكان العمل ومرافق الحوسبة. كما رصد ومراقبة الدخول والخروج من هذه المرافق. على سبيل المثال الأبواب والأقفال، والتدفئة وتكييف الهواء والدخان وأجهزة إنذار الحريق ونظم إخماد الحريق، والكاميرات، ووضع المتاريس، والمبارزة، وحراس الأمن، وتأمين الكابلات، وما إلى ذلك فصل الشبكة، ومكان العمل في مجالات وظيفية هي أيضا الضوابط المادية.
رقابة هامة المادية التي كثيرا ما يتم تجاهلها في الفصل بين الواجبات. الفصل بين الواجبات ويضمن أن الفرد لا يستطيع إكمال المهمة الحاسمة بنفسه. على سبيل المثال : الموظف الذي يقدم طلبا لسداد لا ينبغي أيضا أن يكون قادرا على أن يأذن بدفع أو طباعة الشيك. مبرمج تطبيقات لا ينبغي أن يكون أيضا مسؤول الملقم أو مدير قاعدة البيانات—هذه الأدوار والمسؤوليات يجب أن تكون مفصولة عن بعضها البعض
[عدل] شهادات لخبراء أمن المعلومات

تعد cisa مدقق نظم المعلومات المعتمد أحد أبرز الشهادات في إدارة وتدقييق النظم المعلوماتية. كما تعتبر شهادة cissp خبير أمن معلومات معتمد شهادة مهمة في أمن المعلومات. كما توجد شهادات متخصصة في أغلب الشركات الكبيرة لتخصص أمن المعلومات مثل ميكرسوفت وسن وسيسكو وغيرها من الشركات

---

مشكووووووووووووورة ختيه و ما تقصرين ....