CISSP All-in-One Exam Guide
viii
All-in-1 / CISSP All-in-One Exam Guide, 5th Ed. / Harris / 160217-8
Risk Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
The Risk Analysis Team . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
The Value of Information and Assets . . . . . . . . . . . . . . . . . . . . . . . . . 78
Costs That Make Up the Value . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
Identifying Threats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
Failure and Fault Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
Quantitative Risk Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
Qualitative Risk Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
Quantitative vs. Qualitative . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
Protection Mechanisms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
Putting It Together . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
Total Risk vs. Residual Risk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100
Handling Risk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
Policies, Standards, Baselines, Guidelines, and Procedures . . . . . . . . . . . . . 102
Security Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Standards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
Baselines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
Guidelines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
Procedures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
Implementation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
Information Classification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
Private Business vs. Military Classifications . . . . . . . . . . . . . . . . . . . 11 2
Classification Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 5
Layers of Responsibility . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 7
Who’s Involved? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 7
The Data Owner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125
The Data Custodian . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125
The System Owner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
The Security Administrator . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
The Security Analyst . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
The Application Owner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
The Supervisor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
The Change Control Analyst . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
The Data Analyst . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
The Process Owner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
The Solution Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
The User . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
The Product Line Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
The Auditor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
Why So Many Roles? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
Personnel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
Structure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
Hiring Practices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
Employee Controls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
Termination . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
Security-Awareness Training . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134
Different Types of Security-Awareness Training . . . . . . . . . . . . . . . . 135
Evaluating the Program . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136
Specialized Security Training . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138
Quick Tips . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Answers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148
FM.indd viiiFM.indd viii 12/16/2009 2:20:15 PM12/16/2009 2:20:15 PM
