Silver Unit 4 ИТ сигурност за потребители (ITQ: ITS)

Activities supporting the assessment of this award

 

Example of work at this level

Критерии за оценка за Silver Unit 4 ITS

 

ITQ ITS - A1 Използване на подходящи методи за намаляване на рисковете, свързани със сигурността на ИТ системи и данни

1.1 Мога да идентифицирам проблемите на сигурността, които могат да застрашат системата
1.2 Мога да предприемам подходящи предпазни мерки, за да защитавам IT данни и системи
1.3 Мога да идентифицирам заплахи за сигурността на информацията, свързани с широкото използване на технологиите
1.4 Мога да предприемам подходящи предпазни мерки, за да запазя сигурността на информацията
1.5 Мога да следвам съответните насоки и процедури за сигурно използване на IT
1.6 Мога да обясня защо е важно данните да се архивират в сигурни резервни копия
1.7 Уверявам се, че моите лични данни са архивирани върху подходящ носител

 

Наръчник на оценителя за интерпретиране на критериите

Обща информация

QCF общо описание за квалификации Silver

  • Постигане на ниво Silver (EQF Level 2) отразява способността да се използват подходящи знания, умения и процедури за изпълнение на рутинни задачи. Това включва отговорността за извършване на задачите и процедурите след получаване на насоки.
  • Използване на знания за факти, процедури и идеи за изпълнение на добре дефинирани рутинни задачи. Информираност за теми, свързани с областта на работа или обучение. 

  • Изпълняване на добре дефинирани рутинни задачи. Изполване на подходящи умения и процедури. Избиране и използване на подходяща информация. Оценяване на ефективността на действията.
  • Поемане на отговорност за изпълнение на задачите и процедурите, и след получаване на насоки при нужда.

 

Изисквания

  • Стандартите трябва да бъдат потвърдени от оценител, обучен на ниво Silver или на по-високо ниво.

  • Оценителите трябва, като минимум, да вписват преценките си си като записи в онлайн дневника на сертификационния сайт.

  • Доказателствен материал за ежедневната работа на кандидатите, послужила като основа за оценка на резултатите, трябва да е налице в тяхното портфолио и онлайн работа. Оценителите трябва да се уверят, че подходящите уеб страници са на разположение на техния акаунт мениджър при поискване, чрез предоставяне на URL.

  • Когато кандидатът събере доказателства за съответствие с всички критерии, чиито спецификации са поочени по-долу, оценителят може да поиска присъждане на квалификация като използва връзката в сертификационния сайт. Аканут мениджърът ще поиска случайна извадка от доказателства за работата на кандидатите, за да потвърди преценката на оценителя.

  • Когато акаунт мениджърът е уверен, че доказателствата са достатъчни, за да бъде присъдена квалификация, успехът на кандидата ще бъде потвърден и сертификатът ще бъде достъпен за отпечатване от уеб сайта.

  • Завършването на това ниво би отнело на обучавания около 10 часа работа.

Метод за оценяване

Оценителите могат да оценят всеки от критериите с L, S и H. "N" означава, че липсва доказателство и е стартовата позиция по подразбиране. L показва известна способност, но все още не е постигната сигурна и уверена способност и все още се изисква помощ. "S" показва, че кандидатът може да отговори на критерия по определената в него спецификация. "H" показва представяне, което надхвърля очакванията в поне няколко аспекта. Кандидатите следва да получат поне "S" по всички критерии, за да покрият секцията.

 

Разширени критерии за оценяване

Използване на подходящи методи за намаляване на рисковете, свързани със сигурността на ИТ системи и данни

1.1 Мога да идентифицирам проблемите на сигурността, които могат да застрашат системата

Кандидатите трябва да са запознати с най-честите рискове за сигурността, които могат да повлияят на начина, по който работят техните компютри и системи

Доказателства: От наблюдения на оценителя и записи от ежедневната работа.

Допълнителна информация и насоки
За идентифициране на рискове може да се приложи обикновена процедура за оценка на риска, като се подберат и подредят по важност възможните проблемни области.
 
Примерни рискове са:
  • Изполване на операционна система, която често е обект на атака от страна на зловреден софтуер.
  • Непоискани електронни съобщения (спам) и прикачени към тях файлове, които могат да повредят системния или приложен софтуер.
  • Рабоата на анти-вирусни програми често забавя останалите операции.
  • Вирусите и зловредния софтуер консумират системни ресурси, без потребителят да знае това.
  • Активирана функция "изскачащи прозорци" (pop-ups) в уеб браузърите и показването на някои видове реклама увеличават шансовете за нежелано сваляне на вируси.
Кандидатите трябва да осъзнават, че най-често ползваните източници на данни - уеб сайтове, преносима USB памет и външни дискове - представляват потенциални източници на вируси, особено на компютърни системи, които работят под по-стари версии на Windows, които е се поддържат добре от антивирусните програми. Физическата сигурност също е важна. Ако модул с памет е изваден от компютъра, той ще продължава да работи, ако има достатъчно оставаща памет, но това ще засегне производителността му.

1.2 Мога да предприемам подходящи предпазни мерки, за да защитавам IT данни и системи

Кандидатите трябва да покажат на практика способността за отговорно отношене към сигурността в тяхната ежедневна работа.

Доказателства: От наблюдения на оценителя и записи от ежедневната работа

Допълнителна информация и насоки

Кандидатите не бива да получат одобрение по този критерий, ако са извършили някое от следните: размяна на пароли с други хора, неуспех в поддържането на сигурността на паролите си, използване на неефективни пароли, сваляне или опит за сваляне на информация, която е в разрез с местните политики или не е известно дали и доколко е сигурна.

Кандидатите трябва са знаят, че на системи с операционна система Windows винаги трябва да се поддържа актуалността на анти-вирусната програма. Ако компютърът е свързан към интернет, трябва да се провери дали има настроена защитна стена (firewall) между клиентската машина и мрежата. Данните трябва да се архивират и бекъп копията трябва да се съхраняват а място, физически отделено от източника.

1.3 Мога да идентифицирам заплахи за сигурността на информацията, свързани с широкото използване на технологиите

Кандидатите трябва да са в състояние да идентифицират някои ключови специфични заплахи, свързани с контекст, познат за тях. Оценителите следва да правят връзки между този критерий и критериите, свързани с безопасност и сигурност в други модули.

Доказателства: От наблюдения на оценителя и записи от ежедневната работа.

Допълнителна информация и насоки

1. Технологии, които са широко възприети и са пряко свързани с комуникации, са много вероятни цели за хора, които искат да нарушат сигурността. Добър пример са адресните файлове на Outlook, които се използват злонамерено за пирамидално разпращане на спам по е-мейл. Особено внимание следва да се отделя при използването на именно такива приложения

2. Използване на пароли с ниско ниво на сигурност, споделяне на пароли, съхраняване на потребителски имена и пароли в браузъри на компютри с публичен достъп.

3. Оставяне на включен компютър без надзор и без потребителят да е избрал опцията "изход", особено на компютри с публичен достъп.

4. Хора, които претендират да са доверени лица или институции, за да получат лична информация от поребителите (Phishing).

5. Предоставяне на лична информация в публични мрежи, което би могло да спомогне за престъпен достъп до индивидуалната идентичност на потребителя.

Трябва да се отбележи, че съществуват множество технологични решения, и че човешкият фактор (липса на опит или квалификация) често оказва по-голямо влияние отколкото недостатъци в технологиите. В общия случай, колкото по-добре е позната и разбрана технологията, толкова по-малко вероятно потребителят да стане жертва на нарушители и престъпници, които имат експертни познания за конкретната технология.


1.4 Мога да предприемам подходящи предпазни мерки, за да запазя сигурността на информацията
 
По същество този критерий е същият като 1.2. Тъй като информацията представлява организирани данни, сигурността обхваща и свързаната с тях информация. 

Доказателства: От наблюдения на оценителя и действително подсигурени потребителски акаунти.
 
Допълнителна информация и насоки
Тъй като информацията създава в потребителя незабавно разбиране, а данните се нуждаят от някакъв вид обработка, е нужна допълнителна грижа за опазването на сигурността на информацията. Кандидатите трябва също да полагат особена грижа, ако им е поверена чувствителна информация на дискове, преносими компютри и памети. Такива физически устройства могат лесно да бъдат загубени. Ако в подсигурена мрежа съществува чувствителна информация, това ще повиши риска за сигурността всеки път, когато информацията се копира на друго устройство или сървър, така че правенето на резервни копия (бекъп) има и недостатъци, освен вече коментираните предимства. Кандидатите могат да използват сигурността като фокусиране на вниманието в идентифициране на ползите и недостатъците от използване на ИКТ. Способността за копиране на информация бързо и лесно е полезна, но е и потенциален риск за сигурността.

1.5 I Мога да следвам съответните насоки и процедури за сигурно използване на IT

Кандидатите трябва да демонстрират, че се съобразяват и спазват политиките и условията за ползване и процедурите, свързани със сигурността. Това може да се свърже с точка 1.2 по-горе на тази страница, тъй като следването на подходящите насоки е подходяща предпазна мярка от гледна точка на сигурността. 

Доказателства: От наблюдения на оценителя и действително подсигурени потребителски акаунти.

 

1.6 Мога да обясня защо е важно данните да се архивират в сигурни резервни копия

Кандидатите трябва да могат да обяснят защо цифровите данни са лесни за повреда или изтриване, и че хардуерът, на който се съхраняват данните може да бъде откраднат или да сеовреди. Поради тази причина, резервните копия трябва да бъдат преместени и съхранявани на място, физически отделено от първоизточника на данните.

Доказателства: От наблюдения на оценителя и проверка на бекъп архивите на кандидатите.

Допълнителна информация и насоки

Тъй като данните могат да се повредят без потребителят да узнае това, е възможно повредени данни неволно да се запишат върху работещ бекъп. Поради това, особено за важни данни, да се разчита само на един бекъп е рисковано. Понякога е възможно да се появи проблем и по време на възстановяване на данни от бекъп копие. Дори при системи, които правят систематичен и пълен бекъп на данни, потребителят отново е зависим от някой, който трябва да предостави резервното копие или да възстанови данните. Струва си да се обмисли дали е подходящо да се прави отделен бекъп на преносимо устройство (USB памет) на ключови данни, просто защото това дава възможност за бързо и удобно възстановяване. Това трябва да се прави при съобразяване със степента на чувствителност на информацията.

Една от глобалите промени, които наблюдаваме в момента в ИТ индустрията, е преход от настолни ИТ системи към такива, базирани изцяло в интернет (т. нар. cloud computing - Бел. ред.). Така голяма част от информацията, обработвана от потребителите, се съхранява и архивира централно, без необходимост потребителите да правят това. От друга страна е важно да се знае, че за определен вид чувствителна информация може да е по-уместно да се държат само офлайн копия.

1.7 Уверявам се, че моите лични данни са архивирани върху подходящ носител

Кандидатите трябва да могат да опишат бекъп(ите), които са приложими в тяхната работа, и да покажат, че управляват информацията си по сигурен начин. Например, възможно е копие от информацията в локалната мрежа да се архивира периодично, като носителите с копията се свалят от мрежата (off-line).

Доказателства: От наблюдения на оценителя и проверка на бекъп архивите на кандидатите.
 

Модериране и проверка

Оценителят трябва да поддържа и съхранява бележките си за поставените оценки за всеки кадидат и да записва всички важни обстоятелства за тях. Оценителите трябва да са подготвени да влязат в диалог и предоставят бележките от оценяването на акаунт мениджъра чрез онлайн дневника. Те трябва да са готови да представят доказателства, които служат за база за поставените оценки, чрез препратка към е-портфолиото на кандидата и чрез подписани свидетелства от наблюдение на живо, свързани с критериите и отговарящи на оценката в онлайн дневника. За да разреши сертифицирането, акаунт мениджъра трябва да се увери, че преценките на оценителя са обосновани.