How to protectIn order to identify

How to protect
In order to identify weaknesses in the security system that could be exploited by a perpetrator, a vulnerability and associated risk assessment should be conducted. Throughout the assessment process well-established security principles, including security zones and defence in depth, need to be taken into account.

'Security zones' refers to the concept of defining a series of clearly distinct areas to progressively control unauthorized access, separated by single or a set of security controls. 'Defence in depth' refers to using a layered approach to employ different and often redundant security measures to support and complemrnt each other. Thus,if one layer of defence turns out to be inadequate, another layer of defence may nevertheless prevent a full breach. The different layers may be technological,procedural or organizational by nature and work in coordination.

To estimate site vnlnerabilities, scenarios need to be developed in which the existing security controls are measured against one or several threat levels established in the threat analysis for different type of perpetratrators. In practice the main part of the vulnerability analysis is a 'vulnerability workshop' where a modified SWIFTT (Structured What If Technique) approach is used. Key employees, security staff,facility engineers, operational staff and others are invited to a brainstorming exercise preformed in a structured manner to identify potential access modes to critical assets. The analysis itself is based exploring existing controls, together with potential threats and vulnerabilies with access zones and layers of protection that lead progressively towards the assets to be protected. Each layer is systematically reviewed in terms of strengths and weaknesses, but also evaluated against its potential to deter, detect, delay and deny (the so-called 'D scores') the defined perpetrators. An assessment is then made of the system capability and this is matched against the organization's agreed acceptance criteria for the level of protechion required. In that wat a series of credible scenarios is developed and an evaluation can be made of the system's ability to meet stated objectives, and deficiencies can be identified and addressed.

The objective of the risk analysis is to estimate the risk associated with each scenario that has been developed and prioritzed in the vnlnerability analysis. To do this an estimate of the probability of challenge to your organiztion by any given threat must be made. This can be a difficult and demanding task that will often be associated with a great deal of uncertainty. However, it is an essential task if a security system is to be based on risk rather than relying on potential impact. Clearly this would be an unfortunate position for organizations that possess assets that potentially could cause catastrophic impacts if compromised, but where the credible threat to these assets is insignificant.

Thus risk assessment provides the decision maker with an enhanced basis for making a substantiated decision on wherther or not risk-reducing measures should be implemented to assure adequate security of the owner's asset, and provides a foundation for performing cost-effectiveness studies for proposed controls.

ผลลัพธ์ (ไทย) 1:

วิธีการป้องกันเพื่อระบุจุดอ่อนในระบบที่สามารถนำไปเป็นติงส ความเสี่ยงและประเมินความเสี่ยงที่เกี่ยวข้องควรจะดำเนินการ ตลอดทั้งกระบวนการประเมินความปลอดภัยดีขึ้นหลัก รวมโซนความปลอดภัยและการป้องกันในลึก ต้องการนำมาพิจารณา"เขตปลอดภัย" หมายถึงแนวคิดของการกำหนดชุดของพื้นที่แตกต่างกันอย่างชัดเจนเพื่อความก้าวหน้าได้รับอนุญาต คั่นเดี่ยวหรือชุดของการควบคุมความปลอดภัย 'ป้องกันลึก' หมายถึงการใช้วิธีการแบบการจ้างงานแตกต่างกัน และมาตรการรักษาความปลอดภัยมักจะซ้ำซ้อนสนับสนุน และ complemrnt กัน ดังนั้น ถ้าชั้นหนึ่งของกลาโหมจะออกมาไม่เพียงพอ ชั้นอื่นของกลาโหมอาจแต่ป้องกันละเมิดเต็ม ชั้นที่แตกต่างอาจเป็นเทคโนโลยี ขั้นตอน หรือองค์กร โดยธรรมชาติ และทำงานประสานงานการประเมิน vnlnerabilities ไซต์ สถานการณ์ต้องได้รับการพัฒนาในวัดควบคุมความปลอดภัยที่มีอยู่เทียบกับระดับความเสี่ยงหนึ่ง หรือหลายก่อตั้งในการวิเคราะห์ความเสี่ยงสำหรับชนิดต่าง ๆ ของ perpetratrators ในทางปฏิบัติ ส่วนหลักของการวิเคราะห์ความเสี่ยงเป็น 'จุดอ่อนเชิงปฏิบัติการเรื่อง' ที่มีใช้วิธี SWIFTT (โครงสร้างเทคนิค What If) แก้ไข พนักงานคีย์ พนักงานรักษาความปลอดภัย สิ่งอำนวยความสะดวกวิศวกร พนักงานปฏิบัติงาน และผู้อื่นได้รับเชิญเพื่อการออกกำลังกายระดมสมอง preformed ในลักษณะโครงสร้างการระบุโหมดเข้าเป็นสินทรัพย์สำคัญ ใช้วิเคราะห์ตัวเองด้วยการควบคุมที่มีอยู่ พร้อมกับการคุกคามและ vulnerabilies เข้าโซนและชั้นของการป้องกันที่นำความก้าวหน้าต่อสินทรัพย์ที่จะได้รับการป้องกัน แต่ละชั้นมีระบบตรวจสอบจุดแข็งและจุดอ่อน แต่ยัง ประเมินจากศักยภาพในการขัดขวาง ป้องกัน ความล่าช้า และปฏิเสธ (เรียกว่ามีคะแนน) ความผิดที่กำหนดไว้ ความสามารถในระบบแล้วทำการประเมิน และนี้จับคู่กับขององค์กรตกลงยอมรับเงื่อนไขสำหรับระดับของ protechion ที่ต้องการ ในที่พัฒนาวัดชุดของสถานการณ์ที่น่าเชื่อถือ และสามารถทำการประเมินความสามารถของระบบให้ตรงกับวัตถุประสงค์ที่ระบุไว้ และสามารถระบุ และอยู่ทรงวัตถุประสงค์ของการวิเคราะห์ความเสี่ยงคือการ ประเมินความเสี่ยงที่เกี่ยวข้องกับแต่ละสถานการณ์ที่ได้รับการพัฒนาและ prioritzed ในการวิ vnlnerability ทำการประเมินความน่าเป็นของบริษัทของคุณท้าทาย โดยภัยคุกคามใด ๆ กำหนดให้ต้องทำการ นี้อาจเป็นงานที่ยาก และต้องการที่มักจะเกี่ยวข้องกับความไม่แน่นอนมาก อย่างไรก็ตาม มันเป็นงานสำคัญว่าระบบรักษาความปลอดภัยจะขึ้นอยู่กับความเสี่ยง แทนที่อาศัยในผลกระทบ อย่างนี้จะเป็นตำแหน่งที่โชคร้ายสำหรับองค์กรที่มีสินทรัพย์ที่อาจอาจทำให้เกิดผลกระทบรุนแรงถ้าสมบูรณ์ แต่สำคัญต่อความน่าเชื่อถือสินทรัพย์เหล่านี้ดังนั้นการประเมินความเสี่ยงให้ตัดสิน ด้วยการเป็นพิเศษสำหรับตัดสิน substantiated บน wherther หรือไม่เสี่ยงลดมาตรการดำเนินการเพื่อให้มั่นใจความปลอดภัยเพียงพอของสินทรัพย์ของเจ้าของ และช่วยให้รากฐานสำหรับการดำเนินการศึกษาการประหยัดค่าใช้จ่ายสำหรับการควบคุมการนำเสนอ

ผลลัพธ์ (ไทย) 2:

วิธีการป้องกัน
เพื่อที่จะระบุจุดอ่อนในระบบรักษาความปลอดภัยที่สามารถใช้ประโยชน์จากการกระทำผิด, ความเสี่ยงและการประเมินความเสี่ยงที่เกี่ยวข้องควรจะดำเนินการ ตลอดกระบวนการการประเมินที่ดีขึ้นหลักการรักษาความปลอดภัยรวมทั้งโซนความปลอดภัยและการป้องกันในเชิงลึกจะต้องนำมาพิจารณา. 'ที่โซนความปลอดภัย' หมายถึงแนวคิดของการกำหนดชุดของพื้นที่ที่แตกต่างอย่างชัดเจนในการควบคุมการเข้าถึงความก้าวหน้าที่แยกจากกันโดยเดียว หรือชุดของการควบคุมความปลอดภัย 'การป้องกันในเชิงลึก' หมายถึงการใช้วิธีการที่จะจ้างงานชั้นที่แตกต่างกันและซ้ำซ้อนมักมาตรการรักษาความปลอดภัยในการสนับสนุนและ complemrnt กันและกัน ดังนั้นหากชั้นหนึ่งของการป้องกันจะเปิดออกจะไม่เพียงพออีกชั้นหนึ่งของการป้องกัน แต่อย่างไรก็ตามอาจป้องกันไม่ให้ละเมิดเต็ม ชั้นที่แตกต่างกันอาจจะเป็นเทคโนโลยีขั้นตอนหรือองค์กรโดยธรรมชาติและการทำงานในการประสานงาน. ในการคำนวณมูลค่า vnlnerabilities เว็บไซต์สถานการณ์จำเป็นต้องได้รับการพัฒนาในการที่การควบคุมความปลอดภัยที่มีอยู่จะวัดกับหนึ่งหรือหลายระดับภัยคุกคามที่จัดตั้งขึ้นในการวิเคราะห์ภัยคุกคามสำหรับประเภทที่แตกต่างกันของ perpetratrators ในทางปฏิบัติส่วนหลักของการวิเคราะห์ความเสี่ยงคือ 'การประชุมเชิงปฏิบัติการช่องโหว่' ที่ SWIFTT แก้ไข (Structured เทคนิค What If) วิธีการที่จะใช้ พนักงานคีย์ข้อมูล, พนักงานรักษาความปลอดภัย, วิศวกรสิ่งอำนวยความสะดวกในการปฏิบัติงานของพนักงานและคนอื่น ๆ ได้รับเชิญให้การออกกำลังกายการระดมความคิด preformed ในลักษณะโครงสร้างเพื่อระบุโหมดการเข้าถึงที่อาจเกิดขึ้นกับสินทรัพย์ที่สำคัญ การวิเคราะห์ตัวเองจะขึ้นสำรวจการควบคุมที่มีอยู่ร่วมกันกับภัยคุกคามที่มีศักยภาพและ vulnerabilies พร้อมโซนการเข้าถึงและชั้นของการป้องกันที่นำไปสู่ความก้าวหน้าต่อทรัพย์สินที่ได้รับความคุ้มครอง แต่ละชั้นจะถูกตรวจสอบอย่างเป็นระบบในแง่ของจุดแข็งและจุดอ่อน แต่ยังประเมินเทียบกับศักยภาพในการยับยั้งการตรวจสอบล่าช้าและปฏิเสธ (ที่เรียกว่า 'คะแนน D') กระทำผิดที่กำหนดไว้ การประเมินจะทำแล้วความสามารถของระบบและนี่คือการจับคู่กับการตกลงกันขององค์กรเกณฑ์การยอมรับสำหรับระดับของ protechion ที่จำเป็น ในการที่วัดชุดของสถานการณ์ที่น่าเชื่อถือได้รับการพัฒนาและการประเมินผลสามารถทำจากความสามารถของระบบเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวและข้อบกพร่องสามารถระบุและแก้ไข. วัตถุประสงค์ของการวิเคราะห์ความเสี่ยงคือการประเมินความเสี่ยงที่เกี่ยวข้องกับแต่ละสถานการณ์ที่มี รับการพัฒนาและ prioritzed ในการวิเคราะห์ vnlnerability การทำเช่นนี้ประมาณของความน่าจะเป็นของความท้าทายที่จะ Organiztion ของคุณโดยภัยคุกคามใดก็ตามจะต้องทำ นี้จะเป็นงานที่ยากและความต้องการที่มักจะเกี่ยวข้องกับการจัดการที่ดีของความไม่แน่นอน แต่ก็เป็นงานที่สำคัญหากระบบรักษาความปลอดภัยที่จะต้องอยู่บนพื้นฐานความเสี่ยงมากกว่าอาศัยผลกระทบที่อาจเกิดขึ้น เห็นได้ชัดว่านี่จะเป็นตำแหน่งที่โชคร้ายสำหรับองค์กรที่มีสินทรัพย์ที่อาจจะก่อให้เกิดผลกระทบภัยพิบัติถ้าทำลาย แต่ที่เป็นภัยคุกคามที่น่าเชื่อถือกับสินทรัพย์เหล่านี้เป็นสิ่งที่ไม่มีนัยสำคัญ. ดังนั้นการประเมินความเสี่ยงให้ตัดสินใจด้วยพื้นฐานที่เพิ่มขึ้นสำหรับการตัดสินใจเกี่ยวกับการพิสูจน์ wherther หรือไม่มาตรการลดความเสี่ยงควรจะดำเนินการเพื่อให้มั่นใจว่าการรักษาความปลอดภัยที่เพียงพอของสินทรัพย์ของเจ้าของและให้รากฐานสำหรับการดำเนินการศึกษาความคุ้มค่าสำหรับการควบคุมที่นำเสนอ

ผลลัพธ์ (ไทย) 3:

วิธีการป้องกัน
เพื่อระบุจุดอ่อนในระบบรักษาความปลอดภัยที่สามารถใช้โดยผู้ก่อการ ช่องโหว่ที่เกี่ยวข้องกับการประเมินความเสี่ยงควรดำเนินการ ตลอดกระบวนการประเมินรู้จักหลักการรักษาความปลอดภัย รวมทั้งโซนความปลอดภัยและการป้องกันในเชิงลึก ต้องถ่ายลงในบัญชี

' โซน ' ความปลอดภัย หมายถึง แนวคิดของการกำหนดชุดของพื้นที่ที่แตกต่างกันอย่างชัดเจน ผู้ควบคุมการเข้าถึงที่ไม่ได้รับอนุญาต โดยแยกเดี่ยวหรือชุดของการควบคุมความปลอดภัย” ป้องกันในความลึกหมายถึงการใช้วิธีการที่แตกต่างกันและมักจะจ้างชั้นซ้อนมาตรการรักษาความปลอดภัยเพื่อสนับสนุนและ complemrnt แต่ละอื่น ๆ ดังนั้น , ถ้าหนึ่งชั้นของการป้องกันจะเปิดออกจะไม่เพียงพอชั้นของการป้องกันอื่นอาจยังคงป้องกันการละเมิดเต็ม ชั้นแตกต่างกันอาจเทคโนโลยี กระบวนการ หรือองค์กร โดยงานธรรมชาติและการประสานงาน .

ประมาณ vnlnerabilities เว็บไซต์สถานการณ์ที่ต้องมีการพัฒนาที่มีความมั่นคงที่มีอยู่ การควบคุมจะวัดกับหนึ่งหรือหลายระดับการคุกคามที่ก่อตั้งในการวิเคราะห์ภัยคุกคามสำหรับชนิดที่แตกต่างกันของ perpetratrators . การปฏิบัติในส่วนของการวิเคราะห์ความเสี่ยงเป็น ' ช่องโหว่ ' ที่การประชุมเชิงปฏิบัติการแก้ไข swiftt ( โครงสร้างถ้าเทคนิค ) วิธีการคือใช้ พนักงานคีย์ , เจ้าหน้าที่ความปลอดภัยวิศวกรโรงงาน , เจ้าหน้าที่ปฏิบัติการและคนอื่น ๆได้รับเชิญไปเป็นการออกกำลังกาย preformed ในลักษณะที่มีแบบแผนเพื่อระบุโหมดการเข้าถึงศักยภาพของสินทรัพย์ ที่สําคัญ วิเคราะห์ตัวเองจากการสำรวจการควบคุมที่มีอยู่ด้วยกันกับภัยคุกคามที่มีศักยภาพและ vulnerabilies เข้าโซนและชั้นของการป้องกันที่นำความก้าวหน้าต่อทรัพย์สินที่ต้องป้องกันแต่ละชั้นจะเป็นระบบตรวจสอบในแง่ของจุดแข็งและจุดอ่อน แต่ยังประเมินศักยภาพที่จะเป็นอุปสรรคต่อการตรวจสอบของ ล่าช้า และปฏิเสธ ( เรียกว่า ' D ' กำหนดคะแนน ) ผู้กระทําผิด การประเมินความสามารถของระบบแล้ว และนี้คือการจับคู่กับขององค์กรตกลงยอมรับเกณฑ์ระดับ protechion ที่จําเป็นในวัดเป็นชุดของสถานการณ์ที่กำลังพัฒนา และการประเมินผลที่สามารถสร้างความสามารถในการตอบสนองของระบบระบุวัตถุประสงค์ และข้อบกพร่องที่สามารถระบุและจัดการ

วัตถุประสงค์ของการวิเคราะห์ความเสี่ยงประเมินความเสี่ยงที่เกี่ยวข้องกับแต่ละสถานการณ์ที่ได้รับการพัฒนาและ prioritzed ในการวิเคราะห์ vnlnerability .ทำอย่างนี้ประมาณของความน่าจะเป็นของความท้าทายสำหรับองค์กรของคุณ โดยระบุภัยคุกคามที่ต้องทำ นี้สามารถเป็นงานที่ยากและความต้องการที่มักจะเกี่ยวข้องกับการจัดการที่ดีของความไม่แน่นอน แต่มันเป็นงานที่สำคัญถ้าระบบความปลอดภัยจะขึ้นอยู่กับความเสี่ยงแทนที่จะอาศัยผลกระทบที่อาจเกิดขึ้นชัดเจนนี้ จะเป็นตำแหน่งที่โชคร้ายสำหรับองค์กรที่เป็นเจ้าของทรัพย์สินที่อาจก่อให้เกิดผลกระทบรุนแรง ถ้าจับได้ แต่ที่เป็นภัยคุกคามที่น่าเชื่อถือเพื่อสินทรัพย์เหล่านี้มันไม่สำคัญ

ดังนั้นการประเมินความเสี่ยงให้ตัดสินใจด้วยการปรับปรุงพื้นฐานสำหรับการได้รับการยืนยันการตัดสินใจ wherther หรือไม่ความเสี่ยงลดมาตรการที่ควรจะดำเนินการเพื่อรับประกันความปลอดภัยเพียงพอ สินทรัพย์ของเจ้าของ และมีพื้นฐานการแสดงผลการศึกษาที่เสนอการควบคุม