Suggested answers to discussion questions
Download 0.51 Mb.
|
- Navigate this page:
- Then there is a section about other system information
- Employee Permitted actions
- 8.4 Which preventive, detective, and/or corrective controls would best mitigate the following threats
- A salesperson successfully logged into the payroll system by guessing the payroll supervisor’s password. Preventive
| Solution: will vary for each student. Examples of what to expect (from a computer running Windows 7 follow:
The first section should identify the computer (not shown below) and the status of security updates: Next is a section about user accounts and Windows settings: Then there is a section about other system information 8.3 The following table lists the actions that various employees are permitted to perform:
Complete the following access control matrix so that it enables each employee to perform those specific activities:
Use the following codes: 0 = no access 1 = read only access 3= read, modify, create, and delete records 8.4 Which preventive, detective, and/or corrective controls would best mitigate the following threats? An employee’s laptop was stolen at the airport. The laptop contained personally identifying information about the company’s customers that could potentially be used to commit identity theft. Preventive: Policies against storing sensitive information on laptops and requiring that if any such information must exist on the laptop that it be encrypted. Training on how to protect laptops while travelling to minimize the risk of theft. Corrective: Installation of “phone home” software might help the organization either recover the laptop or remotely erase the information it contains. Máy tính xách tay của một nhân viên đã bị đánh cắp tại sân bay. Máy tính xách tay chứa thông tin nhận dạng cá nhân về khách hàng của công ty có khả năng được sử dụng để thực hiện hành vi trộm cắp danh tính. Phòng ngừa: Các chính sách chống lại việc lưu trữ thông tin nhạy cảm trên máy tính xách tay và yêu cầu rằng nếu có bất kỳ thông tin nào như vậy phải tồn tại trên máy tính xách tay và nó phải được mã hóa. Đào tạo cách bảo vệ máy tính xách tay khi đi du lịch để giảm thiểu rủi ro mất cắp. Khắc phục: Việc cài đặt phần mềm “phone home” có thể giúp tổ chức khôi phục máy tính xách tay hoặc xóa từ xa thông tin trong máy tính xách tay. A salesperson successfully logged into the payroll system by guessing the payroll supervisor’s password. Preventive: Strong password requirements such as at least an 8 character length, use of multiple character types, random characters, and require that passwords be changed frequently. Detective: Locking out accounts after 3-5 unsuccessful login attempts; since this was a “guessing” attack, it may have taken more than a few attempts to login. Một nhân viên bán hàng đã đăng nhập thành công vào hệ thống tính lương bằng cách đoán mật khẩu của người giám sát tính lương. Phòng ngừa: Yêu cầu mật khẩu mạnh như độ dài ít nhất 8 ký tự, sử dụng nhiều loại ký tự, ký tự ngẫu nhiên và yêu cầu mật khẩu phải được thay đổi thường xuyên. Thám tử: Khóa tài khoản sau 3-5 lần đăng nhập không thành công; vì đây là một cuộc tấn công "phỏng đoán", có thể phải mất nhiều hơn một vài lần thử để đăng nhập. A criminal remotely accessed a sensitive database using the authentication credentials (user ID and strong password) of an IT manager. At the time the attack occurred, the IT manager was logged into the system at his workstation at company headquarters. Preventive: Integrate physical and logical security. In this case, the system should reject any user attempts remotely log into the system if that same user is already logged in from a physical workstation. Detective: Having the system notify appropriate security staff about such an incident. Tội phạm đã truy cập từ xa vào cơ sở dữ liệu nhạy cảm bằng thông tin xác thực (ID người dùng và mật khẩu mạnh) của người quản lý CNTT. Vào thời điểm cuộc tấn công xảy ra, người quản lý CNTT đã đăng nhập vào hệ thống tại máy trạm của anh ta ở trụ sở công ty. Phòng ngừa: Tích hợp bảo mật vật lý và logic. Trong trường hợp này, hệ thống sẽ từ chối bất kỳ người dùng nào cố gắng đăng nhập từ xa vào hệ thống nếu người dùng đó đã đăng nhập từ một máy trạm vật lý. Thám tử: Có hệ thống thông báo cho nhân viên an ninh thích hợp về một sự cố như vậy. An employee received an email purporting to be from her boss informing her of an important new attendance policy. When she clicked on a link embedded in the email to view the new policy, she infected her laptop with a keystroke logger. Preventive: Security awareness training is the best way to prevent such problems. Employees should be taught that this is a common example of a sophisticated phishing scam. Download 0.51 Mb. Share with your friends:
|