in2120 - d01 begreper

Hva er sikkerhet?

Sikkerhet er beskyttelse av verdier mot skade.

Nevn noen typer sikkerhet.

Fysisk sikkerhet
Samfunnssikkerhet
Nasjonal sikkerhet
Sivil sikkerhet
Personsikkerhet
Miljøsikkerhet
Informasjonssikkerhet
Personvern

Hva er informasjonssikkerhet?

Informasjonssikkerhet er å beskytte informasjonsverdier mot skade.

Hvilke informasjonsverdier skal beskyttes?

Data, programvare, konfigureringer, utstyr og infrastruktur.

Hvordan kan informasjonsverdier skades?

Ved brudd på et eller flere av sikkerhetsmålene Konfidensialitet, Integritet og Tilgjengelighet (KIT).

Nevn noen alternative begreper for informasjonssikkerhet.

Datasikkerhet, IT-sikkerhet, IKT-sikkerhet, cybersikkerhet, digital sikkerhet.

Hva er kilder til krav om informasjonssikkerhet?

Vanlig god praksis, risikovurdering og regelverk.

Hva er målsettingen for styring av informasjonssikkerhet?

Å oppnå en god balanse mellom sikkerhetsrisiko og sikkerhetstiltak

Hva er verdier innen informasjonssikkerhet?

Informasjonsressurser som er av verdi for organisasjonen, for eksempel data, systemer, applikasjoner, nettverk, enheter, tjenester og mennesker.

Hva er en trussel?

Et potensielt angrepsscenario som kontrolleres av en trusselaktør, og som kan skade organisasjonens verdier.

Hva er en sårbarhet?

Manglende sikkerhetstiltak mot trusler og evne til å håndtere hendelser.

Hva er et sikkerhetstiltak?

Metode for å forhindre trusler eller redusere konsekvenser av hendelser.

Nevn noen typer sikkerhetstiltak.

Fysiske tiltak, teknologiske tiltak, organisatoriske tiltak.

Hva står KIT for?

Konfidensialitet, Integritet og Tilgjengelighet.

Hva er personvern?

Et tilleggsmål til KIT som omhandler beskyttelse av personopplysninger.

Hva er konfidensialitet?

Egenskapen av at informasjon ikke blir gjort tilgjengelig eller vist til uautoriserte individer, entiteter eller prosesser.

Nevn noen trusler mot konfidensialitet.

Datatyveri og datalekkasje.

Nevn noen sikkerhetstiltak for å ivareta konfidensialitet.

Kryptering, kryptografiske kommunikasjonsprotokoller (f.eks. TLS), autentisering og tilgangskontroll, anonymisering (f.eks. VPN), skallsikring, sikkerhetskultur og bevissthet.

Hva er dataintegritet?

Egenskapen av at data ikke har blitt endret eller slettet på en uautorisert måte.

Hva er systemintegritet?

Egenskapen av å opprettholde korrekthet og kompletthet av dataressurser.

Nevn noen sikkerhetstiltak for å ivareta integritet.

Hashing, MAC, kryptering, konfigurasjonsstyring, endringsledelse, autentisering, tilgangskontroll, sertifisert programvare, sikkerhetskultur og bevissthet.

Hva er tilgjengelighet?

Egenskapen av at data og tjenester er tilgjengelige og anvendbare ved forespørsel fra en autorisert entitet.

Nevn noen trusler mot tilgjengelighet.

Tjenestenekt, overlastangrep (DoS/DDoS), løsepengevirus, forsinkelse av tidskritiske funksjoner.

Nevn noen sikkerhetstiltak for å ivareta tilgjengelighet.

Redundans av ressurser, failover-konfigurasjon, brannmur, sikkerhetskopiering, hendelsesrespons og beredskap.

Hva er brukerautentisering?

En prosess der en bruker oppgir sin identitet og beviser at de er den de påstår å være.

Nevn noen typer autentikatorer.

Passord, personlig kryptografisk brikke (f.eks. BankID, OTP-generator), ID-kort, biometri.

Hva er formålet med systemautentisering?

Korrekt identifisering av systemer gjennom nettverk.

Hva er formålet med sporbarhet?

Å kunne spore hendelser og handlinger til bestemte brukere og entiteter, slik at de må stå til regnskap for sine handlinger.

Hva er pålitelighet?

Egenskapen at systemer ikke inneholder (mange) feil eller svakheter, og kan tolerere visse feil uten at funksjonaliteten faller ut.

Hva er tilgangsautorisering?

Å spesifisere tilgangsrettigheter for entiteter (brukere, roller og prosesser)

Hva er tilgangskontroll?

En prosess som foregår etter autentisering, der systemet avgjør om en bruker er autorisert til å utføre en handling eller få tilgang til ressurser.

Hva kan tolkes som "informasjonsverdier"?

Informasjon og relaterte ressurser som benyttes i forbindelse med behandling av informasjon.

Hva er et alternativt mål for informasjonssikkerhet enn KIT?

Å redusere cyberrisiko.

hva er forskjellen på en sikkerhetshendelse og en sikkerhets-event?

En sikkerhetshendelse er et bekreftet cyberangrep, mens en sikkerhets-event er noe som indikerer et mulig cyberangrep.

Kan brukerautentisering garantere dataautentisitet? Hvorfor/hvorfor ikke?

Nei. Selv om en bruker er autentisert, kan falske data sendes fra klientcomputeren. En annen person kan bruke computeren uten brukerens viten, eller computeren kan være infisert med en trojaner.

Nevn noen trusler mot bruksfasen av IAM.

Angripere kan gjette passord.
Biometrisk autentisering kan manipuleres.
Autentiserte brukere får uautorisert tilgang til ressurser.

Nevn noen trusler mot konfigureringsfasen av IAM.

Brukeren registreres med feil navn.
Autentikatoren (f.eks. passord) stjeles ved utsending.
Det konfigureres for vid tilgangsautorisasjon.

Beskriv et eksempel på et angrep som kan gi brudd på konfidensialitet.

En student får tak i en forelesers passord til eksamensplattformen og får tilgang til eksamensoppgavene før eksamen.

Beskriv et eksempel på et angrep som kan gi brudd på integritet.

En student hacker seg inn i karaktersystemet og gir seg selv bedre karakter.

Beskriv et eksempel på et angrep som kan gi brudd på tilgjengelighet.

en student leier et botnett for å kjøre et DDoS-angrep mot eksamensplattformen for å få eksamen avlyst.