Table 7-3 Measures template and ins

Table 7-3 Measures template and instructions
Candidate Measures A number of example candidate measures are provided in Table 7-4. Additional details on these measures, including how they are calculated and used, are provided in SP 800-55, Rev 1.
Information Security Performance Measurement Implementation
Once developed, information security performance measures must be implemented and integrated into ongoing information security management operations. For the most part, it is insufficient to simply collect these measures once (although some activities only require the collection of data for one particular purpose, such as certification and accreditation, described later in this chapter). Performance measurement is an ongoing, continuous improvement operation.
Percentage of the organization's information systems budget devoted to information security
Percentage of high vulnerabilities mitigated within organizationally defined time periods after discovery
Percentage of information systems personnel that have received security training
Average frequency. of audit records review and analysis for inappropriate activity
Percentage of new systems that have completed certification and accreditation prior to their implementation
Percentage approved and implemented configuration changes identified in the latest automated baseline configuration
Percentage of information systems that have conducted annual contingency plan testing
Percentage of users with access to shared accounts
Percentage of incidents reported within required time frame per applicable incident category
Percentage of system components that undergo maintenance in accordance with formal maintenance schedules
Percentage of media that passes sanitization procedures testing
Percentage of physical security incidents allowing unauthorized entry into facilities containing information assets
Percentage of employees who are authorized access to information systems only after they sign an acknowledgment that they have read and understood the appropriate policies
Percentage of individual screened before being granted access to organizational information and information systems
Percentage of vulnerabilities remediated within organizationally specified time frames
Percentage of system and service acquisition contracts that include security requirements and/or specifications
Percentage of mobile computers and devices that perform all cryptographic operations using organizationally specified cryptographic modules operating in approved modes of operations
Percentage of operating system vulnerabilities for which patches have been applied or that have been otherwise mitigated

ผลลัพธ์ (ไทย) 1:

ตารางที่ 7-3 มาตรการแม่และคำแนะนำ ผู้สมัครประเมินตัวเลขของผู้สมัครเช่นมาตรการไว้ในตาราง 7-4 รายละเอียดเพิ่มเติมในมาตรการเหล่านี้ รวมทั้งวิธีคำนวณ และ ใช้ ไว้ใน SP 800-55, 1 รอบการทำงานข้อมูลความปลอดภัยประสิทธิภาพการวัดการใช้งานเมื่อพัฒนา ประเมินประสิทธิภาพการรักษาความปลอดภัยของข้อมูลต้องดำเนินการ และในการจัดการความปลอดภัยของข้อมูล ส่วนใหญ่ เป็นพอเพียงรวบรวมมาตรการเหล่านี้หนึ่งครั้ง (ถึงแม้ว่ากิจกรรมบางอย่างต้องเก็บรวบรวมข้อมูลสำหรับวัตถุประสงค์เฉพาะหนึ่ง เช่นออกใบรับรองและการรับรอง อธิบายไว้ในบทนี้) การวัดประสิทธิภาพการทำงานเป็นการดำเนินการปรับปรุงอย่างต่อเนื่อง ต่อเนื่องเปอร์เซ็นต์ของงบประมาณระบบข้อมูลขององค์กรทุ่มเทเพื่อความปลอดภัยของข้อมูลเปอร์เซ็นต์ลดลงภายในระยะเวลาที่กำหนด organizationally หลังจากค้นพบช่องโหว่สูงเปอร์เซ็นต์ของข้อมูลระบบบุคลากรที่ได้รับการฝึกอบรมความปลอดภัยความถี่เฉลี่ย การตรวจสอบระเบียนตรวจสอบและวิเคราะห์สำหรับกิจกรรมที่ไม่เหมาะสมเปอร์เซ็นต์ของระบบใหม่ที่เสร็จสิ้นการรับรองและรับรองก่อนการดำเนินเปอร์เซ็นต์ได้รับการอนุมัติ และดำเนินการเปลี่ยนแปลงในการกำหนดค่าอัตโนมัติพื้นฐานล่าสุดเปอร์เซ็นต์ของระบบข้อมูลที่ได้ดำเนินการทดสอบแผนฉุกเฉินประจำปีเปอร์เซ็นต์ของผู้ใช้ที่มีสิทธิ์เข้าถึงบัญชีที่ใช้ร่วมกันเปอร์เซ็นต์ของปัญหาด้านรายงานภายในกรอบเวลาที่จำเป็นต่อประเภทเหตุการณ์ที่เกี่ยวข้องเปอร์เซ็นต์ของคอมโพเนนต์ของระบบที่ได้รับการบำรุงรักษาตามกำหนดการบำรุงรักษาทางเปอร์เซ็นต์ของสื่อที่ส่งผ่านการทดสอบขั้นตอนการรักษาสุขอนามัยเปอร์เซ็นต์ของปัญหาด้านความปลอดภัยทางกายภาพให้สิ่งอำนวยความสะดวกที่ประกอบด้วยสินทรัพย์ที่เป็นข้อมูลเข้าที่ไม่ได้รับอนุญาตเปอร์เซ็นต์ของพนักงานที่ได้รับอนุญาตเข้าถึงข้อมูลระบบเท่านั้นหลังจากที่พวกเขาลงชื่อรับทราบว่า พวกเขาได้อ่าน และเข้าใจนโยบายที่เหมาะสมเปอร์เซ็นต์ของแต่ละบุคคลในการคัดกรองก่อนการเข้าถึงข้อมูลองค์กรและข้อมูลระบบเปอร์เซ็นต์ของช่องโหว่ remediated ภายในกรอบเวลาที่กำหนด organizationallyเปอร์เซ็นต์ของสัญญาซื้อระบบและบริการที่มีการรักษาความปลอดภัยหรือข้อมูลจำเพาะเปอร์เซ็นต์ของคอมพิวเตอร์มือถือและอุปกรณ์ที่ดำเนินการเข้ารหัสลับทั้งหมดที่ใช้โมดูลที่เข้ารหัสลับที่ระบุ organizationally ที่ทำงานในโหมดการอนุมัติของการดำเนินงานเปอร์เซ็นต์ของช่องโหว่ของระบบปฏิบัติการซอฟต์แวร์ที่มีการใช้หรือที่ได้ถูก mitigated มิฉะนั้น

ผลลัพธ์ (ไทย) 2:

ตารางที่ 7-3 มาตรการแม่แบบและคำแนะนำ
มาตรการสมัครจำนวนของมาตรการเช่นผู้สมัครที่ให้บริการในตารางที่ 7-4 รายละเอียดเพิ่มเติมเกี่ยวกับมาตรการเหล่านี้รวมถึงวิธีการที่พวกเขาจะถูกคำนวณและใช้มีไว้ใน SP 800-55 เรฟ 1.
รักษาความปลอดภัยข้อมูลการดำเนินการวัดประสิทธิภาพ
เมื่อการพัฒนาประสิทธิภาพการทำงานของมาตรการรักษาความปลอดภัยข้อมูลจะต้องดำเนินการและบูรณาการอย่างต่อเนื่องเป็นข้อมูลการดำเนินงานการจัดการความปลอดภัย ส่วนใหญ่ก็ไม่เพียงพอที่จะเพียงแค่การเก็บรวบรวมมาตรการเหล่านี้ได้ทันที (แม้ว่ากิจกรรมบางอย่างเท่านั้นที่ต้องเก็บรวบรวมข้อมูลเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งโดยเฉพาะเช่นการรับรองและการรับรองที่อธิบายไว้ในบทนี้) การวัดประสิทธิภาพการทำงานอย่างต่อเนื่องในการดำเนินงานปรับปรุงอย่างต่อเนื่อง.
ร้อยละของงบประมาณระบบสารสนเทศขององค์กรที่อุทิศให้กับการรักษาความปลอดภัยข้อมูล
ร้อยละของช่องโหว่สูงลดลงภายในช่วงเวลาที่กำหนดองค์กรหลังจากการค้นพบ
ร้อยละของบุคลากรระบบข้อมูลที่ได้รับการรักษาความปลอดภัยการฝึกอบรม
ความถี่เฉลี่ย การตรวจสอบบันทึกการตรวจสอบและการวิเคราะห์สำหรับกิจกรรมที่ไม่เหมาะสม
ร้อยละของระบบใหม่ที่ได้เสร็จสิ้นการรับรองและการรับรองก่อนที่จะมีการดำเนินการของพวกเขา
ร้อยละได้รับการอนุมัติและดำเนินการเปลี่ยนแปลงการกำหนดค่าที่ระบุไว้ในแบบอัตโนมัติการตั้งค่าล่าสุดพื้นฐาน
ร้อยละของระบบสารสนเทศที่มีการดำเนินการแผนฉุกเฉินการทดสอบประจำปี
ร้อยละของผู้ใช้ ที่มีการเข้าถึงไปยังบัญชีที่ใช้ร่วมกัน
ร้อยละของรายงานการเกิดอุบัติเหตุภายในกรอบเวลาที่จำเป็นต่อการบังคับหมวดหมู่เหตุการณ์ที่เกิดขึ้น
ร้อยละขององค์ประกอบของระบบที่ได้รับการบำรุงรักษาเป็นไปตามอย่างเป็นทางการตารางการบำรุงรักษา
ร้อยละของสื่อที่ผ่านการทดสอบขั้นตอนการฆ่าเชื้อ
ร้อยละของเหตุการณ์ความปลอดภัยทางกายภาพช่วยให้รายการไม่ได้รับอนุญาตเข้าไปในสถานที่ที่มีข้อมูล สินทรัพย์
ร้อยละของพนักงานที่ได้รับอนุญาตเข้าถึงระบบข้อมูลเท่านั้นหลังจากที่พวกเขาลงนามรับทราบว่าพวกเขาได้อ่านและทำความเข้าใจนโยบายที่เหมาะสม
ร้อยละของแต่ละบุคคลการคัดกรองก่อนที่จะเข้าถึงที่ได้รับการองค์กรข้อมูลและระบบสารสนเทศ
ร้อยละของช่องโหว่ remediated ภายในเวลาที่กำหนดองค์กรกรอบ
ร้อยละ ระบบและการซื้อสัญญาบริการที่มีความต้องการความปลอดภัยและ / หรือข้อกำหนด
ร้อยละของเครื่องคอมพิวเตอร์มือถือและอุปกรณ์ที่ดำเนินการเข้ารหัสลับทั้งหมดที่ใช้ระบุองค์กรโมดูลการเข้ารหัสลับการดำเนินงานในโหมดการอนุมัติของการดำเนินงาน
ร้อยละของช่องโหว่ของระบบปฏิบัติการที่แพทช์ได้ใช้หรือมี รับลดลงเป็นอย่างอื่น