Rheoli gweithgareddau profi diogelwch gwybodaeth
Trosolwg
Y weithgaredd o asesu system i weld a oes gwendidau diogelwch yw profi diogelwch gwybodaeth. Mae profi diogelwch rhwydwaith neu seilwaith yn cynnwys asesu dyfeisiau rhwydwaith, gweinyddwyr, a gwasanaethau seilwaith rhwydwaith eraill fel Gwasanaeth Enw Parth (DNS) i weld a oes gwendidau diogelwch. Yn gyffredinol, mae profi diogelwch rhaglenni yn cyfeirio at brofi rhaglenni meddalwedd arferol neu fasnachol i weld a oes gwendidau diogelwch. Mae profi diogelwch rhaglenni ar y we yn canolbwyntio'n benodol ar raglenni sydd ar gwe, ac mae profi diogelwch rhaglenni symudol yn canolbwyntio ar brofi rhaglenni symudol.
Defnyddir rhai mathau cyffredin o brofion diogelwch. Fel arfer, mae asesiad o wendidau yn cynnwys sganio am faterion diogelwch. Defnyddir cyfuniad o gyfarpar awtomataidd a thechnegau asesu â llaw i gadarnhau a oes gwendid, ond heb fanteisio ar y gwendid hwn mewn gwirionedd.
Mae profion treiddio yn nodi gwendidau ac yn manteisio arnynt. Y nod yw efelychu ymosodwr go iawn a all dorri i mewn i system a dwyn neu addasu data neu effeithio ar argaeledd systemau. Mae profion amser cynnal yn cynnwys asesu'r system ar gyfer materion diogelwch o safbwynt defnyddiwr terfynol. Mae adolygu cod yn golygu asesu rhaglen drwy adolygu ei god ffynhonnell. Mae peidio ag adolygu cod yn gadael system yn agored i fwy o risg o fygythiadau mewnol maleisus.
Mae'r safon hon yn diffinio'r cymwyseddau sy'n gysylltiedig â rheoli gweithgareddau profion diogelwch er mwyn helpu i benderfynu ar lefel cadernid system wybodaeth i wrthsefyll bygythiadau a gwendidau diogelwch gwybodaeth. Mae hyn yn cynnwys rheoli adnoddau, gweithgareddau ac amcanion i'w cyflawni. Mae hyn yn cynnwys cynllunio, cynnal ac adrodd ar brofion treiddio cynhwysfawr, yn ogystal â dylunio polisïau, safonau a phrosesau sefydliadol a'u rhoi ar waith.
Meini prawf perfformiad
Mae'n rhaid eich bod chi'n gallu:
- arwain a rheoli tîm profi diogelwch gwybodaeth, gan ddyrannu adnoddau'n effeithiol a rhoi hyfforddiant a datblygiad ar waith yn unol â gofynion sefydliadol
- dylunio, rhoi ar waith a chynnal prosesau, gweithdrefnau, dulliau, cyfarpar a thechnegau'r safonau profi diogelwch gwybodaeth i adlewyrchu natur newidiol bygythiadau a risgiau diogelwch i'r sefydliad
- ymchwilio, nodi ac ymgorffori dulliau cyfoes i brofi a nodi gwendidau mewn systemau rhwydwaith a gwybodaeth
- dewis a phennu'r cyfarpar mwyaf priodol i'w ddefnyddio yn ystod gweithgareddau profi diogelwch gwybodaeth
- diffinio cwmpas aseiniadau profi diogelwch gwybodaeth yn gywir yn unol â senarios profi a gofynion sefydliadol
- dylunio a gweithredu ymosodiadau rheoledig ar rwydweithiau a systemau gwybodaeth yn rhan o brofion treiddio cynhwysfawr yn unol â safonau sefydliadol
- adolygu’r gwendidau a nodwyd o ganlyniad i brofion diogelwch gwybodaeth a nodi’r effaith bosibl ar systemau ac asedau gwybodaeth y sefydliad
- adolygu canlyniadau profion diogelwch gwybodaeth yn feirniadol, gan nodi materion diogelwch a phennu blaenoriaethau ar gyfer gweithredu a/neu uwchgyfeirio lle bo’n briodol
- cyfleu canlyniadau profion diogelwch gwybodaeth i ystod o gynulleidfaoedd, gan gyfiawnhau a rhoi tystiolaeth o faterion diogelwch a gwneud argymhellion ar eu hadfer
Gwybodaeth a Dealltwriaeth
You need to know and understand:
- pwrpas, cyfyngiadau a defnyddioldeb profion diogelwch gwybodaeth
- sut i ddefnyddio'r ystod o offer a thechnegau y gellir eu cymhwyso ar gyfer profion diogelwch gwybodaeth
- rôl a phwysigrwydd gweithgareddau profi diogelwch gwybodaeth rhagweithiol, megis profion gwendid a threiddio i nodi materion diogelwch o fewn seilwaith ac asedau rhwydwaith a systemau gwybodaeth y sefydliad
- canlyniadau a deilliannau gweithgareddau profi diogelwch gwybodaeth wrth nodi materion diogelwch a llywio a chyfarwyddo gweithgareddau adfer
- pwysigrwydd sicrhau bod profion diogelwch gwybodaeth yn cael eu cynnal yn rhagweithiol ac fel mater o drefn/yn rheolaidd drwy gydol cylch bywyd ac oes systemau rhwydwaith a gwybodaeth
- yr ystod o weithgareddau sganio a phrofi y gellir eu defnyddio i nodi gwendidau yn rhwydwaith a system wybodaeth sefydliad
- yr ystod o wendidau cyfredol a nodwyd sy'n bodoli ac y mae angen eu profi
- pwysigrwydd cadw gwybodaeth gyfeirio gyfredol am fygythiadau a gwendidau newydd
- y safonau allanol, y fframweithiau arferion gorau a'r codau ymddygiad y dylai asedau mewn seilwaith systemau gwybodaeth sefydliad gydymffurfio â nhw
- sut i ddylunio, datblygu a rhoi metrigau ar waith ar gyfer monitro statws diogelwch gwybodaeth, rhaglenni, systemau a rhwydweithiau trwy brofion diogelwch gwybodaeth
- sut i gynnal rhestrau o raglenni neu ddyfeisiadau awdurdodedig neu waharddedig i'w defnyddio mewn systemau monitro diogelwch gwybodaeth amddiffynnol