Cynnal asesiadau o wendidau diogelwch gwybodaeth
Trosolwg
Mae gwendidau yn rhoi pwyntiau mynediad posibl lle gall swyddogaeth neu ddata rhwydwaith neu raglen, (gwefan fel arfer) gael eu difrodi, eu lawrlwytho neu eu camddefnyddio. Gallai gwefan nodweddiadol fod â llawer o wendidau posibl. Gall hacwyr osod meddalwedd maleisus (meddalwedd neu god maleisus) drwy fanteisio ar wendidau diogelwch i gael mynediad at wefan a gosod cod maleisus.
Mae dadansoddiad o wendidau, a elwir hefyd yn asesiad o wendidau, yn broses sy'n diffinio, nodi a dosbarthu'r diffygion diogelwch (gwendidau) mewn seilwaith rhwydwaith neu gyfathrebu ac mewn rhaglenni systemau gwybodaeth. Ar ben hynny, gall dadansoddiad o wendidau ragweld effeithiolrwydd gwrthfesurau diogelwch gwybodaeth arfaethedig a gwerthuso eu heffeithiolrwydd gwirioneddol ar ôl eu defnyddio. Mae asesiad o wendidau yn ceisio nodi unrhyw faleiswedd ar systemau yn ogystal â gwendidau ar lefel system a rhwydwaith.
Mae'r safon hon yn cwmpasu'r cymwyseddau sydd eu hangen i gynnal asesiadau o wendidau a sganio maleiswedd. Mae hyn yn cynnwys dilyn prosesau ar gyfer cynllunio a chynnal asesiadau o wendidau, blaenoriaethu adferiad a chynnal ymwybyddiaeth gyfredol o wendidau.
Meini prawf perfformiad
Mae'n rhaid eich bod chi'n gallu:
- dewis a chymhwyso'r dulliau a'r cyfarpar mwyaf priodol i'w defnyddio ar gyfer sganio maleiswedd ac asesiadau o wendidau yn unol â safonau sefydliadol
- cynnal adolygiad beirniadol o ganlyniadau sganio maleiswedd ac asesiadau o wendidau, gan nodi blaenoriaethau ar gyfer gweithgareddau adfer
- asesu gwybodaeth am wendidau er mwyn pennu'r effaith bosibl ar systemau gwybodaeth a seilwaith rhwydwaith y sefydliad
- cyfleu allbynnau asesu o wendidau i hysbysu rhanddeiliaid priodol am yr effaith bosibl ar rwydweithiau a systemau gwybodaeth
- gwneud argymhellion ar gyfer gweithgareddau adfer mewn ymateb i wendidau a nodwyd yn unol â safonau sefydliadol
- argymell gwelliannau i systemau gwybodaeth a seilwaith rhwydwaith y sefydliad i leihau risgiau yn y dyfodol sy'n gysylltiedig â gwendidau a nodwyd
- sicrhau bod gwelliannau y cytunwyd arnynt i seilwaith ac asedau systemau gwybodaeth y sefydliad yn cael eu rhoi ar waith mewn modd amserol
- cymhwyso allbynnau asesiadau o wendidau i lywio sut mae profion diogelwch gwybodaeth, diogelwch gweithredol a rhaglenni rheoli diogelwch gwybodaeth yn cael eu cynllunio a'u hamserlennu
Gwybodaeth a Dealltwriaeth
You need to know and understand:
- yr ystod o asedau gwybodaeth y mae angen cynnal asesiadau o wendidau arnynt
- yr ystod o wendidau a allai beryglu seilwaith ac asedau gwybodaeth sefydliad
- yr ystod o weithgareddau sganio y gellir eu defnyddio i nodi gwendidau a maleiswedd yn systemau a rhwydweithiau gwybodaeth sefydliad a sut i'w cymhwyso
- sut i fonitro ac asesu gwybodaeth mewn adroddiadau allanol am wendidau i nodi gwendidau perthnasol y gallai fod angen ymchwilio iddynt a’u datrys
- sut i ddosbarthu deunydd rhybuddio i swyddogaethau gweithrediadau perthnasol sy'n ymwneud â gwendidau diogelwch gwybodaeth mewn modd amserol ac addas ar gyfer y gynulleidfa darged
- sut i gyflwyno a chyfleu gweithgareddau canfod a chyfryngu gwendidau i noddwyr a rhanddeiliaid
- sut i nodi'r effeithiau posibl ar fusnes os manteisir ar wendidau
- y ffaith y gall bygythiadau a gwendidau newydd ddod i'r amlwg ar unrhyw adeg
- pwysigrwydd blaenoriaethu gwendidau critigol ac argymell camau gweithredu amserol i liniaru'r rhain
- rôl gweithgareddau asesu gwendidau o ran llywio a chyfarwyddo gwrthfesurau i gynnal ac atgyfnerthu cadernid diogelwch gwybodaeth
- pwysigrwydd sicrhau bod prosesau a gweithdrefnau’n cael eu rhoi ar waith a’u dilyn i gyfyngu ar wybodaeth am wendidau newydd yn allanol nes bod adferiad neu liniaru priodol ar gael