Chỉ số (metrics) là công cụ được thiết kế để hỗ trợ ra quyết định và khôi phục hiệu năng và trách nhiệm giải trình trong việc thu thập, phân tích, và tài liệu hóa dữ liệu liên quan đến hiệu suất. Điểm của việc đo lường hiệu suất là để quan sát điều kiện của các hoạt động được xem xét và tạo điều kiện cải thiện trong những hoạt động đó bằng cách sử dụng hành động khắc phục, dựa trên các kích thước quan sát được.
Trong khi một trường hợp có thể được tạo ra cho việc sử dụng nhiều thuật ngữ cho các mục toàn diện và tổng hợp hơn, như metrics và measures, tài liệu này làm cho các thuật ngữ này tương ứng.
Giống như một số quy trình CNTT khác, bảo mật có thể tuân theo mô hình vòng đời. Mô hình được trình bày tuân theo các bước cơ bản: IDENTIFY-ASSESS-PROTECT-MONITOR (Xác định - Đánh giá - Bảo vệ - Giám sát). Vòng đời này cung cấp một nền tảng tốt cho bất kỳ vấn đề bảo mật nào. Sử dụng mô hình vòng đời này cung cấp cho chúng ta một hướng dẫn để đảm bảo bảo mật liên tục được cải thiện. Chương trình bảo mật không phải là một đánh giá tĩnh hoặc một sản phẩm hoàn thành. Thay vào đó, nó cần sự chú ý cố định và cải thiện liên tục.
Chính sách và tiêu chuẩn bảo mật là nền tảng cho mọi yếu tố của kế hoạch bảo mật. Chúng đặc biệt quan trọng trong cả quy trình đánh giá và bảo vệ của vòng đời. Quy trình đánh giá sẽ dùng tiêu chuẩn và chính sách làm lõi để tiến hành đánh giá. Tài nguyên sẽ được đo lường dựa trên chính sách bảo mật. Trong quy trình bảo vệ, tài nguyên sẽ được thiết lập để đáp ứng chính sách và tiêu chuẩn. Bây giờ, hãy xem từng giai đoạn của vòng đời và kiểm tra nội dung.
1. Xác định (Identify)
Bước đầu tiên trong bất kỳ chương trình bảo mật nào là hiểu rõ nó đang cố gắng bảo vệ cái gì. Quy trình xác định cần bắt đầu ở cấp cao và đi sâu (drill down).
2. Đánh giá (Assess)
Quy trình đánh giá của Vòng đời Bảo mật xây dựng trên quy trình xác định. Vì tài sản đã được nhận diện, bước tiếp theo là thực hiện một đánh giá bảo mật kỹ lưỡng. Quy trình đánh giá có thể bao gồm nhiều khía cạnh từ xem xét quy trình và thủ tục đến quét lỗ hổng.
Mục tiêu của quy trình đánh giá là kiểm tra tài nguyên ở mọi cấp độ (server, router, tường lửa, ứng dụng, v.v.) không chỉ để phát hiện lỗ hổng, mà còn để thu thập thêm thông tin về mỗi tài nguyên. Cái nhìn cấp cao của tài nguyên được tạo ra trong quy trình xác định được tinh chỉnh với thêm chi tiết.
3. Bảo vệ (Protect)
Vì đã lập bản đồ mạng và hệ thống và nhận diện một số lỗ hổng, cần đưa các hệ thống vào phù hợp với chính sách và tiêu chuẩn bảo mật công ty. Trọng tâm của quy trình này là cấu hình và nâng cấp mỗi hệ thống và thành phần mạng, do đó an ninh của nó được củng cố và tuân thủ chính sách công ty.
4. Giám sát (Monitor)
Giai đoạn cuối cùng của vòng đời bảo mật là giám sát bảo mật đã được tạo ra. Vì đã củng cố an ninh của server, tường lửa và router, cần đảm bảo những thay đổi đó vẫn ở nguyên chỗ. Hơn nữa, cần giám sát tuân thủ của các hệ thống mới được đưa vào doanh nghiệp.