มेथอดโอลอจีสำหรับความปลอดภัยระบบสารสนเทศมีอะไรบ้าง?

มेथอดโอลอจี (Methodology) คือโครงสร้างที่มุ่งเป้า (Targeted Construct) ที่แสดงแนวทางปฏิบัติ กระบวนการ และกฎเฉพาะสำหรับความสำเร็จหรือการดำเนินการของงานหรือฟังก์ชันเฉพาะเจาะจง มีหลายมेथอดโอลอจีสำหรับความปลอดภัยระบบสารสนเทศ ดังนี้:

มขอดโอลอจีประเมิน INFOSEC (INFOSEC Assessment Methodology - IAM)

วัตถุประสงค์คือการให้วิธีที่สามารถใช้เป็นการควบคุมที่สอดคล้อง (Consistent Control) สำหรับการสำรวจตำแหน่ง INFOSEC ของระบบสารสนเทศอัตโนมัติ (Automated Information Systems) IAM มุ่งเน้นการให้การประเมินค่าระดับสูง (High-level Assessment) ของระบบปฏิบัติการที่ระบุ เพื่อวัตถุประสงค์การระบุช่องโหว่ที่เป็นไปได้ (Possible Vulnerabilities)

IAM แบ่งย่อยเป็น 3 ระยะ ได้แก่ Pre-Assessment (ก่อนประเมิน), On-Site Activities (กิจกรรมบนสถานที่), และ Post-Assessment (หลังประเมิน) ระยะ Pre-Assessment ถูกเสนอเพื่อสร้างความเข้าใจทั่วไปเกี่ยวกับความต้องการผู้ใช้ กำหนดระบบเป้าหมาย (Target Systems) และสร้างกฎการมีส่วนร่วม (Rules of Engagement) สำหรับการประเมินค่า Pre-Assessment สิ้นสุดด้วยแผนการวัดที่เป็นลายลักษณ์อักษร (Written Measurement Plan)

ส่วน On-Site Activities แสดงแรงขับเคลื่อนพื้นฐานของ IAM ในที่ที่มันสร้างผลลัพธ์ของระยะ Pre-Assessment ยืนยันผลลัพธ์เหล่านั้น และดำเนินการรวบรวมและยืนยันข้อมูลเพิ่มเติม

มขอดโอลอจีประเมินค่า INFOSEC (INFOSEC Evaluation Methodology - IEM)

วัตถุประสงค์คือการให้เทคนิคสำหรับการประเมินค่าเชิงเทคนิค (Technical Assessment) ของความเปราะบาง (Susceptibility) ในระบบ และทำให้การออกแบบ INFOSEC จริงของระบบเหล่านั้นถูกต้อง (Legitimate) IEM เป็นมขอดโอลอจีที่ไปพร้อมกัน (Escort Methodology) กับ IAM เข้าสู่ใต้กรอบรวมของ IA-CMM framework แต่เป้าหมายระดับ 2 ของ "Vulnerability Discovery Triad" (ไตรมาสการค้นพบช่องโหว่)

ความแตกต่างระหว่าง IAM และ IEM คือ IEM ดำเนินการประเมินค่าแบบมือปฏิบัติจริง (Actual Hands-on Assessment) ของระบบ เพื่อยืนยันความมีอยู่จริงของช่องโหว่ ตรงข้ามกับผลลัพธ์ของ IAM ที่เป็นการจัดทำเอกสารช่องโหว่ที่เป็นไปได้ในระบบเหล่านั้น

IEM แบ่งออกเป็น 3 ขั้นตอน ได้แก่ Pre-Evaluation (ก่อนประเมินค่า), On-Site (บนสถานที่), และ Post-Evaluation (หลังประเมินค่า) ระยะ Pre-Evaluation เริ่มต้นด้วยการนำเอกสาร IAM Pre-Assessment เป็นอินพุต และจากนั้นประสานงานกฎการมีส่วนร่วมสำหรับการดำเนินการประเมินค่าเชิงเทคนิคของระบบภายใต้เป้าหมาย ระยะนี้สิ้นสุดด้วยแผนการประเมินค่าเชิงเทคนิค (Technical Evaluation Plan)

ระยะ On-Site ของ IEM แสดงขนาดของงานเทคนิคแบบมือปฏิบัติจริง ดำเนินการค้นพบ สแกน และประเมินค่าหลากหลาย ผลการค้นพบทั้งหมดถูกยืนยันทางกายภาพ (Physically Validated) เพื่อให้ได้ประสิทธิภาพ

สุดท้าย ระยะ Post-Evaluation สิ้นสุดมธอดโอลอจีในลักษณะเดียวกับ IAM โดยดึงข้อมูลทั้งหมดที่สร้างขึ้น ใส่ในเอกสารสุดท้าย ที่รายละเอียดผลการค้นพบ คำแนะนำ และแผนทางความปลอดภัย (Security Roadmap)

ระบบบังคับใช้นโยบายเหตุการณ์ความปลอดภัย (Security Incident Policy Enforcement System - SIPES)

วัตถุประสงค์คือการให้มธอดโอลอจีสำหรับการกำหนดและดำเนินการระบบบังคับใช้นโยบายเหตุการณ์ความปลอดภัย มธอดโอลอจีนี้เตรียมไว้เพื่อความสมบูรณ์

แบบร่าง Security Incident Policy Enforcement System (SIPES) แสดงวิธีการที่ค่อนข้างนามธรรม (Relatively Abstract) ในการจัดการความซับซ้อนของการจัดการการตอบสนองเหตุการณ์ (Incident Response Management) เอกสารเริ่มต้นด้วยการแก้ไขความขัดแย้งของนิยามความล้มเหลวภายในระบบ IT และจากนั้นดำเนินต่อไปเพื่อสร้างมธอดโอลอจี "Stateful" ของมัน