I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 1

L e s s o n 7 S e c u rity A rc h ite c tu re

S e c u rity A rc h ite c tu re C o m p o n e n ts

E f f e c t iv e a n d e ff ic ie n t s e c u r it y a r c h it e c t u r e s c o n s is t o f t h r e e c o m p o n e n t s . T h e s e a r e t h e
p e o p le , p r o c e s s e s , a n d t o o ls t h a t w o r k t o g e t h e r t o p r o t e c t c o m p a n y w id e a s s e t s . T o
a lig n t h e s e c o m p o n e n t s e f f e c t iv e ly , t h e s e c u r it y a r c h it e c t u r e n e e d s t o b e d r iv e n b y
p o lic y s t a t in g m a n a g e m e n t 's p e r f o r m a n c e e x p e c t a t io n s , h o w t h e a r c h it e c t u r e is t o b e
im p le m e n t e d , a n d h o w t h e a r c h it e c t u r e w ill b e e n f o r c e d . T h is e n a b le s t h e a r c h it e c t u r e t o
g u id e m a n a g e m e n t s o t h a t d e c is io n s a r e a lig n e d a n d c o n s is t e n t t h r o u g h o u t t h e e n t ir e I T
la n d s c a p e . T h e a r c h it e c t u r e a ls o s h o u ld b e s t r a t e g ic — it m u s t b e s t r u c t u r e d in a w a y
t h a t s u p p o r t s t h e o r g a n iz a t io n 's b u s in e s s g o a ls .

T h e c o m p o n e n t s d e s c r ib e d b e lo w s h o u ld f o r m p a r t o f a n e f f e c t iv e a n d c a r e f u lly p la n n e d
s e c u r it y a r c h it e c t u r e a n d s h o u l d b e e v a lu a t e d d u r in g a u d it s o f t h e s e c u r it y a r c h it e c t u r e .
T h e s e a re :

 G u id a n c e in t h e a r e a s o f in c id e n t r e s p o n s e , b a s e lin e c o n f ig u r a t io n , a c c o u n t c r e a t io n
a n d m a n a g e m e n t , d is a s t e r r e c o v e r y , a n d s e c u r it y m o n it o r in g .
 I d e n t it y m a n a g e m e n t .
 I n c lu s io n a n d e x c lu s i o n o f w h o a n d w h a t is s u b je c t t o t h e d o m a in o f t h e s e c u r it y
a r c h it e c t u r e .
 A c c e s s a n d b o r d e r c o n t r o l.
 V a lid a t io n a n d a d ju s t m e n t o f t h e a r c h it e c t u r e .
 T r a in in g .
 T e c h n o lo g y .

G u id a n c e

T h e s e c u r it y a r c h it e c t u r e s h o u ld b e c r e a t e d a n d im p le m e n t e d b a s e d o n e s t a b lis h e d
s e c u r it y g u id a n c e ( i. e . , p o lic ie s a n d p r o c e d u r e s ) . T h e s e c o m p a n y w id e p o l ic ie s a n d
p r o c e d u r e s s h o u ld :

 D o c u m e n t a n d c o m m u n ic a t e m a n a g e m e n t 's g o a ls a n d o b je c t iv e s f o r t h e a r c h it e c t u r e .
 D e f in e t h e o r g a n iz a t io n 's r e s p o n s e t o la w s , r e g u la t io n s , a n d s t a n d a r d s o f d u e c a r e
( i. e . , t h o s e a c t io n s t h a t w o u ld b e c o n s id e r e d r e a s o n a b le b y a p r u d e n t in d iv id u a l t o
a v o id h a r m t o a n o t h e r a n d a r e in c lu d e d f r e q u e n t ly in c o n t r a c t u a l a g r e e m e n t s ) .
 I d e n t if y t h e e le m e n t s , f u n c t io n , a n d s c o p e o f t h e s e c u r it y a r c h it e c t u r e .
 S u p p o r t o t h e r f u n c t io n a l p o lic i e s ( e . g . , p o lic ie s t h a t id e n t if y s p e c if ic w a y s t o a c h ie v e a
s a f e , r e lia b le , a n d c o n s is t e n t c u s t o m e r e x p e r ie n c e ) .

S e c u r it y p o lic ie s a n d p r o c e d u r e s a ls o s h o u ld h e lp t h e o r g a n iz a t io n im p le m e n t t h e
e le m e n t s n e e d e d t o s u p p o r t t h e a r c h it e c t u r e . T h e s e e le m e n t s in c lu d e :

 S t a n d a r d s t h a t d e f in e c o m m o n e x p e c t a t io n s o n e a c h s e c u r it y t o o l o r p r o c e d u r e , s u c h
a s t h e o r g a n iz a t io n 's f ir e w a ll d e s ig n o r s p e c if ic a n t iv ir u s s o f t w a r e in u s e .
 P r o c e d u r e s t h a t p r o v id e s t e p - b y - s t e p in s t r u c t io n s o n a c t io n s t o b e p e r f o r m e d t o
c o m p le t e a t a s k , s u c h a s u s e r r e g is t r a t io n o r in c id e n t r e s p o n s e a c t iv it ie s .
 B a s e li n e s t h a t id e n t if y a m in im u m le v e l o f e x p e c t e d p e r f o r m a n c e a n d p r o v id e a
s t a r t in g p o in t f o r m e a s u r in g t h e d e g r e e o f c o m p lia n c e w it h m a n a g e m e n t

J e n n if e r R o x a s -M a g b a n la c , M I T
 I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 2

e x p e c t a t io n s , s u c h a s s e r v e r - b u ild s p e c if ic a t io n s a n d in t r u s io n d e t e c t io n s y s t e m
c o n f ig u r a t io n s .
 G u id e lin e s t h a t p r o v id e g e n e r a l it e m s o r a p p r o a c h e s t o c o n s id e r , s u c h a s p r o d u c t
e v a lu a t io n c r it e r ia o r g o v e r n m e n t r e c o m m e n d a t io n s .

I n c o r p o r a t in g t h e s e e le m e n t s w ill e n f o r c e t h e s e c u r it y p o lic y p r in c ip le s o n e v e r y
b u s in e s s p r o c e s s a n d s y s t e m . F ig u r e 1 illu s t r a t e s a t y p ic a l p o lic y h ie r a r c h y .

F ig u r e 1 . S e c u r it y p o lic y h ie r a r c h y ( C o p y r ig h t © 2 0 0 4 D e lo it t e D e v e lo p m e n t L L C )

Id e n tity M a n a g e m e n t

I d e n t it y m a n a g e m e n t is a n in t e g r a t e d s y s t e m o f c o m p a n y w id e p o l ic ie s , p r o c e s s e s , a n d
t e c h n o lo g ie s t h a t e n a b le s u s e r a c c e s s t o n e t w o r k r e s o u r c e s a n d o n lin e a p p lic a t io n s .
C le a r s e c u r it y r o le s a n d r e s p o n s ib il it ie s n e e d t o b e e s t a b lis h e d f o r a ll c o m p a n y u s e r s a s
p a r t o f t h e id e n t it y m a n a g e m e n t s y s t e m . C o m m o n s e c u r it y a r c h it e c t u r e u s e r s in c lu d e :

 T h e e x e c u t iv e m a n a g e r s r e s p o n s ib le f o r e s t a b lis h in g c o r p o r a t e s t r a t e g y a n d
m o n it o r in g c o r p o r a t e g o a ls .
 T h e in f o r m a t io n s e c u r it y e m p lo y e e s r e s p o n s ib le f o r t h e s e c u r it y e n v ir o n m e n t's d a ily
o p e r a t io n a n d m o n it o r in g .
 T h e a p p lic a t io n a n d d a t a o w n e r s w h o u s e t h e I T a p p lic a t io n s a n d r e la t e d b u s in e s s
d a ta .
 T h e d a t a c u s t o d ia n s o r t h e I T s t a ff r e s p o n s ib le f o r m a in t a in in g I T a p p lic a t io n s a n d
d a t a b a s e in f r a s t r u c t u r e .
 T h e e n d - u s e r s o r e m p lo y e e s w h o in t e r a c t w it h t h e I T a p p lic a t io n s a n d d a t a o n a d a ily
b a s is .
 T h e in t e r n a l a u d it o r s w h o a r e r e s p o n s ib le f o r r e v ie w in g t h e id e n t it y m a n a g e m e n t
s y s t e m 's c o m p lia n c e w it h in t e r n a l a n d e x t e r n a l r u le s .

M a n y o r g a n iz a t io n s e s t a b lis h t h e s e u s e r r o le s a t a m in im u m . W h ic h s p e c if ic r o le s a r e
id e n t if ie d a n d e s t a b lis h e d d e p e n d s o n t h e c o m p a n y 's s tr u c t u r e a n d le v e l o f g r a n u la r it y
a s s o c ia t e d w it h e a c h jo b f u n c t io n .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 3

In c lu s io n a n d E x c lu s io n

T h e s e c u r it y a r c h it e c t u r e s h o u ld p r o t e c t a ll e le m e n t s o f t h e c o m p a n y 's I T e n v ir o n m e n t
— f r o m p u b lic ly a c c e s s ib le W e b a n d e - m a il s e r v e r s a n d f in a n c ia l r e p o r t in g s y s t e m s t o
c o n f id e n t ia l h u m a n r e s o u r c e s ( H R ) d a t a a n d p r iv a t e c u s t o m e r in f o r m a t io n . T o a d d r e s s
t h i s b r e a d t h o f r e s o u r c e s a n d i n f o r m a t i o n , it i s v i t a l t h a t a c o n s i s t e n t a r c h i t e c t u r e b e
d e p lo y e d t h a t t a k e s in t o a c c o u n t w h o is a u t h o r iz e d t o a c c e s s w h ic h s y s t e m s a n d d a t a
( i. e . , in c lu s io n ) a n d w h o is t o b e p r e v e n t e d fr o m a c c e s s in g p a r t ic u la r s y s t e m s a n d d a t a
( i. e . , e x c lu s io n ) . U n d e r s t a n d in g w h o t h e v a r io u s p o t e n t ia l u s e r s a r e a n d t h e p o t e n t ia l
in f o r m a t io n t h e y m ig h t n e e d t o a c c e s s a llo w s t h e o r g a n iz a t io n t o d e t e r m in e w h o m t o
in c lu d e a n d e x c lu d e f r o m d iff e r e n t p o r t io n s o f t h e I T e n v ir o n m e n t .

A c c e s s a n d B o rd e r C o n tro l

A c c e s s t o I T a n d b u s in e s s r e s o u r c e s s h o u ld b e c o n t r o lle d t h r o u g h a s e r ie s o f la y e r s —
fro m b r o a d a n d g e n e r a l t o d is c r e t e a n d g r a n u la r . I n m a n y c a s e s , s t o p p in g t h e m a jo r it y
o f u s e r s a t t h e b o r d e r o f a n e t w o r k a n d a llo w in g o n ly r e c o g n iz e d b u s in e s s p a r t n e r s a n d
e m p lo y e e s t o c o m e t h r o u g h is s u ff ic ie n t t o c o n tr o l a c c e s s . O n c e in s id e a c o m p a n y 's
e n v ir o n m e n t , a c c e s s t o v a r io u s a r e a s s h o u ld b e r e s t r ic t e d b a s e d o n b u s in e s s n e e d . A
t y p ic a l g u id e lin e in t h is r e s p e c t is t h e P r in c ip le o f L e a s t P r iv ile g e , w h ic h s t a t e s t h a t
u s e r s a r e g iv e n t h e m in im u m a c c e s s a n d a u t h o r it y n e c e s s a r y t o p e r f o r m t h e ir r e q u ir e d
jo b f u n c t io n s . D is c r e t e le v e ls o f a s s ig n e d a c c e s s r ig h t s r e s u lt s in a r o b u s t s e c u r it y
m a t r ix t h a t is u n d e r s t a n d a b le a n d m a in t a in a b le w h e n c o m b in e d w it h a d e t a ile d d a t a
c la s s if ic a t io n p r o c e s s t h a t a c c o u n t s f o r t h e v a r y in g s e n s it iv it y o f b u s in e s s in f o r m a t io n .

V a lid a tio n a n d A d ju s tm e n t

D e v e lo p in g s e c u r e b o r d e r s a n d r e s tr ic t in g a c c e s s b a s e d o n b u s in e s s n e e d is n o t a o n e -
t im e p r o c e s s — b u s in e s s e s g r o w a n d c h a n g e , p e o p le c o m e a n d g o , a n d t e c h n o lo g y
a d v a n c e s . T h is c o n s t a n t ly c h a n g in g e n v ir o n m e n t r e q u ir e s t h a t t h e s e c u r it y a r c h it e c t u r e
b e m o n it o r e d c o n t in u o u s ly a n d a d ju s t e d a s n e e d e d . T h e s t a t u s q u o s h o u ld b e v a lid a t e d
p e r io d ic a lly t h r o u g h I T a u d it s , s e c u r it y t e s t in g , a n d r e g u la r a tt e s t a t io n s b y I T
m a n a g e m e n t t o e n s u r e it c o n t in u e s t o m e e t t h e n e e d s o f t h e b u s in e s s . If n o t , t h e
s e c u r it y a r c h it e c t u r e s h o u ld b e m o d if ie d t o p r o v id e t h e r e q u ir e d le v e l o f s e c u r it y a n d r is k
m a n a g e m e n t . ( R e f e r t o t h e s e c u r it y a s s e s s m e n t s s e c t io n f o r in f o r m a t io n o n h o w t o
e v a lu a t e t h e s e c u r it y a r c h it e c t u r e ) .

T ra in in g

B y n a t u r e , m o s t p e o p le a r e h e lp f u l a n d f o c u s o n p e r f o r m in g t h e ir t a s k s e ff ic ie n t ly .
H o w e v e r , t h e y p e r c e iv e s e c u r it y a s a n im p e d im e n t t o t h e ir jo b f u n c t io n a n d g iv e lit t le
t h o u g h t t o t h e r is k s t h e y f a c e e v e r y d a y . A d d it io n a lly , a s a n o r g a n iz a t io n c h a n g e s a n d
n e w s e c u r it y t h r e a t s a r e d is c o v e r e d , t h e s e c u r it y a r c h it e c t u r e a ls o c h a n g e s . R e g u la r
t r a in in g k e e p s s e c u r it y c o n c e r n s fr e s h in t h e m in d s o f e m p lo y e e s a n d a llo w s t h e m to
r e m a in u p d a t e d w it h c u r r e n t p r a c t ic e s a n d m a n a g e m e n t e x p e c t a t io n s .

T e c h n o lo g y

T h e h a r d w a r e a n d s o f t w a r e u s e d t o d e p lo y , m a n a g e , a n d m o n it o r t h e s e c u r it y
a r c h it e c t u r e is t h e e le m e n t m o s t f r e q u e n t ly a s s o c ia t e d w it h s e c u r it y . H o w e v e r , a
s e c u r it y a r c h it e c t u r e t h a t r e lie s o n t e c h n o lo g y a lo n e a n d d is r e g a r d s t h e p e o p le a n d
p r o c e s s e s t h a t im p a c t t h e a r c h it e c t u r e m a y n o t p e r f o r m a s w e ll a s in t e n d e d . B e c a u s e o f

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 4

t h e r a p id n a t u r e o f c h a n g e in t h e t e c h n o lo g y in d u s t r y , n e w s o lu t io n s a r e f r e q u e n t ly
d e p lo y e d t o a d d r e s s e x is t in g c o n c e r n s . A n y t im e a t e c h n o lo g y c h a n g e o c c u r s in t h e
s e c u r it y a r c h it e c t u r e , t h e c h a n g e 's im p a c t o n t h e e x is t in g p e o p le a n d p r o c e s s e s s h o u ld
b e e v a lu a t e d t o d e t e r m in e if r e la t e d c h a n g e s n e e d t o b e m a d e .

D e s ig n F ra m e w o rk s

O r g a n iz a t io n s c a n c h o o s e f r o m a v a r ie t y o f e x is t in g f r a m e w o r k s w h e n c r e a t in g t h e ir
s e c u r it y a r c h it e c t u r e . O n c e s e le c t e d , a f r a m e w o r k o n ly n e e d s t o b e e s t a b lis h e d o n c e to
s im p lif y t h e m a n a g e m e n t o f s e c u r it y d o m a in s , tr u s t le v e ls , a n d d a t a c la s s if ic a t io n .
S u b s e q u e n t ly , t h e f r a m e w o r k c a n b e v a lid a t e d a n d u p d a t e d p e r io d ic a lly o r a s n e e d e d .
T h is f r a m e w o r k a ls o c a n b e u s e d t o d e s ig n , m a n a g e , a n d g r o w t h e s e c u r it y
a r c h it e c t u r e . A u d it o r s s h o u ld r e c o m m e n d t h a t a ll c la s s if ic a t io n le v e ls — s u c h a s s e c u r it y
d o m a in s , t r u s t le v e ls , a n d d a t a c la s s if ic a t io n s — b e r e s t r ic t e d t o a s m a ll, m a n a g e a b le
a m o u n t , d e p e n d in g o n t h e c o m p le x it y o f t h e I T e n v ir o n m e n t.

W h e n m a n a g in g s e c u r it y d o m a in s , t h e I T e n v ir o n m e n t s h o u ld b e c la s s if ie d in t o d is c r e t e ,
lo g ic a l e n t it ie s t h a t e a s e m a n a g e m e n t a c t iv it ie s ( i. e ., g r a n u la r it y ) a n d m in im iz e n e g a t iv e
im p a c t ( i. e ., c o m p a r t m e n t a liz a t io n ) . F o r in s t a n c e , lo g ic a l e n t it ie s c o u ld b e d iv id e d b a s e d
o n t h e ir e x p e c t e d t r u s t le v e ls ( i. e . , t r u s t e d — a r e s tr ic t e d in t e r n a l n e t w o r k , s e m i - tr u s t e d
— a s h a r e d d r iv e t o w h ic h b u s in e s s p a r t n e r s h a v e a c c e s s , a n d u n t r u s t e d — p u b lic
w ir e le s s n e t w o r k s u s e d b y e m p lo y e e s t o w o r k r e m o t e ly ) a n d f u n c t io n le v e ls ( i. e . , a lo c a l
a r e a n e t w o r k f o r u s e r a c c e s s t o a p p lic a t io n s , a t r a n s p o r t n e t w o r k in a c lie n t / s e r v e r
e n v ir o n m e n t t o w h ic h u s e r s d o n o t h a v e a c c e s s , o r a d a t a s t o r a g e n e t w o r k w h e r e a
c o m p a n y 's c r it ic a l in f o r m a t io n r e s o u r c e s a r e s t o r e d ) .

T r u s t le v e ls a r e t h e c r it e r ia u s e d t o d e t e r m in e t h e r e lia b ilit y a n d a c c e s s a u t h o r it ie s o f a n
u n k n o w n u s e r a n d s h o u ld b e h ie r a r c h ic a l i n n a t u r e . H o w e v e r , t h e y c o u ld b e e q u a l o r
u n e q u a l a c r o s s s e c u r it y d o m a in s . F o r e x a m p le , a n H R n e t w o r k in N e w Y o r k ( i. e ., o n e
s e c u r it y d o m a in ) m a y b e e q u a l in t r u s t le v e l t o a n o t h e r H R n e t w o r k in L o s A n g e le s ( i. e .,
a s e c o n d s e c u r it y d o m a in ) . H o w e v e r , b o t h n e t w o r k s a r e c o n n e c t e d a c r o s s t h e I n t e r n e t
( i. e . , a n u n t r u s t e d n e t w o r k ) . T h e r e f o r e , a r e q u e s t f o r L o s A n g e le s d a t a f r o m a n H R c le r k
in N e w Y o r k m ig h t b e f u lly t r u s t e d if t h e d a t a r e q u e s t o r ig in a t e d f r o m t h e N e w Y o r k
n e tw o rk , b u t n o t fro m th e In te rn et.

I n a d d it io n , u s e r s c a n m o v e fr o m a h ig h e r t o a lo w e r a r e a o f t r u s t w it h o u t r e s t r ic t io n . I t is
q u it e c o m m o n f o r a b u s in e s s t o a llo w e m p lo y e e s t o a c c e s s t h e I n t e r n e t f r o m a n in t e r n a l
n e t w o r k w it h o u t a u t h e n t ic a t in g t h e ir id e n t it y , b u t q u it e u n c o m m o n t o a llo w a n y o n e o n
t h e I n t e r n e t a c c e s s t o t h e ir in t e r n a l n e t w o r k w it h o u t a u t h e n t ic a t io n . F u r t h e r m o r e , d a t a
c a n m o v e fr o m a r e a s o f lo w e r t r u s t t o h ig h e r t r u s t, b u t n o t f r o m h ig h e r t o lo w e r . F o r
e x a m p le , f in a n c ia l in f o r m a t io n t h a t is a v a ila b le t o t h e p u b lic o n t h e I n t e r n e t s h o u ld b e
a v a ila b le t o t h e c h ie f f in a n c ia l o f f ic e r ( C F O ) f r o m t h e in t e r n a l n e t w o r k . Y e t, in f o r m a t io n
t h a t is a v a ila b le t o t h e C F O o n t h e in t e r n a l n e t w o r k s h o u ld n o t b e a v a ila b le t o t h e p u b lic
o n t h e I n t e r n e t. F ig u r e 2 b e lo w s h o w s t h r e e d if f e r e n t t r u s t le v e ls u s e d f o r t h e
o r g a n iz a t io n 's p h y s ic a l d o m a in .

J e n n if e r R o x a s -M a g b a n la c , M I T
 I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 5

F ig u r e 2 . T r u s t le v e l c a t e g o r ie s b a s e d o n p h y s ic a l d o m a in s ( C o p y r ig h t © 2 0 0 4 D e lo it t e
D e v e lo p m e n t L L C )

F in a l ly , a ll c o m p a n y d a t a a n d r e s o u r c e s s h o u ld b e c la s s if ie d u p o n e n t r y t o a n
o r g a n iz a t io n , u s in g d e s c r ip t o r s s u c h a s p u b lic , p r iv a t e , p r o p r ie t a r y , p r iv ile g e d ,
c o n f id e n t ia l, t o p s e c r e t , s e n s it iv e , a n d r e s t r ic t e d . T h e s p e c if ic la b e ls u s e d a r e le s s
im p o r t a n t t h a n t h e m e a n in g s a s s ig n e d t o e a c h a n d w h e t h e r t h e y a r e d e f in e d c le a r ly ,
a p p lie d c o n s is t e n t ly c o m p a n y w id e , m a n a g e a b le i n n u m b e r , a n d r e v ie w e d p e r io d ic a lly .
B e c a u s e s e c u r it y c o s t s in c r e a s e a s a c c e s s t o t h e d a t a b e c o m e s m o r e r e s tr ic t e d , a n d
d a t a c la s s if ic a t io n c a n c h a n g e b a s e d o n t h e v a lu e a n d n a t u r e o f t h e in f o r m a t io n , t h e
c la s s if ic a t io n s h o u ld b e a s c o s t e ff e c t iv e a s p o s s ib le a n d b a s e d o n t h e v a lu e o f t h e
in f o r m a t io n . F o r in s t a n c e , c o r p o r a t e p o lic ie s d o n o t n e e d t o b e s t o r e d o n a s e p a r a t e
e n c r y p t e d n e t w o r k o r b e m o n it o r e d b y a n in t r u s io n d e t e c t io n s y s t e m .

A n o t h e r a s p e c t o f d a t a c la s s if ic a t io n is t h a t o f a c c e s s c o n t r o l. A c c e s s t o d a t a a n d
r e s o u r c e s c a n b e g r a n t e d u s in g t h e f o llo w in g t h r e e c o n t r o ls :

 P r in c ip le o f L e a s t P r iv ile g e , in w h ic h a c c e s s is g r a n t e d o n ly t o r e s o u r c e s t h a t a r e
r e q u ir e d f o r s p e c if ic , a u t h o r iz e d f u n c t io n s ( e . g . , a llo w in g a n e m p lo y e e a c c e s s t o
M ic r o s o f t P u b lis h e r o r W o r d ) .
 M a n d a t o r y a c c e s s c o n tr o l, in w h ic h t e c h n ic a l, lo w - le v e l a c c e s s is g r a n t e d b y t h e
c u s t o d ia n o f t h e a p p lic a t io n o r d a t a ( e . g ., a llo w in g o r d e n y in g a c c e s s t o a f ile ) .
 D is c r e t io n a r y a c c e s s c o n t r o l, in w h ic h h ig h - le v e l a c c e s s is e s t a b l is h e d b y t h e
a p p lic a t io n o r d a t a o w n e r b a s e d o n n e e d ( e . g ., c r e a t in g a p u r c h a s e o r d e r ) .

C o m p a n y w i d e d a t a s h o u ld b e c la s s if ie d b a s e d o n t h is r o le - b a s e d a c c e s s c o n t r o l t o
e n a b le t h e o r g a n iz a t io n t o d e f in e r o le s a n d f u n c t io n s , a s w e ll a s g r a n t , m o d if y , o r
r e m o v e u s e r r ig h t s m o r e e ff e c t iv e ly .

J e n n if e r R o x a s -M a g b a n la c , M I T
 I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 6

S e c u rity A s s e s s m e n ts

A s s e s s m e n t s a r e a n e s s e n t ia l c o m p o n e n t o f t h e s e c u r it y a r c h it e c t u r e b e c a u s e t h e y
e n a b le t h e c o m p a n y t o d e t e r m in e t h e a r c h it e c t u r e 's e f f e c t iv e n e s s . A s p a r t o f t h e
a s s e s s m e n t , in t e r n a l a u d it o r s c a n r e c o m m e n d t h a t t h e o r g a n iz a t io n c r e a t e s a c r o s s -
f u n c t io n a l t e a m c o n s is t in g o f t h e f o llo w in g :

 I n f o r m a t io n s e c u r it y s t a f f, s u b je c t - m a t t e r e x p e r t s w h o w ill b e r e s p o n s ib le f o r t h e
a r c h it e c t u r e 's d a ily s e c u r it y .
 I T a n d o p e r a t io n s m a n a g e m e n t s t a ff w h o w ill b e r e s p o n s ib le f o r s u p p ly in g t h e I T
in f r a s t r u c t u r e t h a t s u p p o r t s t h e o r g a n iz a t io n .
 S y s te m a n d n e t w o r k a d m in is t r a t o r s f a m ilia r w it h t h e I T e n v ir o n m e n t a n d r e s p o n s ib le
f o r im p le m e n t in g m u c h o f t h e t e c h n ic a l e le m e n t o f t h e s e c u r it y a r c h it e c t u r e .
 I n t e r n a l a u d it o r s w h o a r e s u b je c t - m a tt e r e x p e r t s in t h e a r e a s o f r is k , c o n t r o ls , a n d
b u s in e s s p r o c e s s o v e r s ig h t .
 O p e r a t io n s s t a ff w h o w ill w o r k w it h t h e in f o r m a t io n s e c u r it y s t a ff t o s e c u r e c o r p o r a t e
IT re s o u rc e s .
 B u s in e s s p r o c e s s a n d in f o r m a t io n o w n e r s w h o u s e t h e s e c u r it y a r c h it e c t u r e a n d
p e r f o r m a k e y r o le in t h e s e c u r it y a r c h it e c t u r e 's s u c c e s s f u l o p e r a t io n .
 L e g a l a n d h u m a n r e s o u r c e s w it h k n o w le d g e o n le g a l, r e g u la t o r y , a n d p e r s o n n e l
is s u e s a n d c o n c e r n s .
 S y s te m o w n e r s w h o a r e r e s p o n s ib le f o r a p p lic a t io n c o n t r o ls , d a t a c la s s if ic a t io n , a n d
g r a n t in g a c c e s s t o I T r e s o u r c e s .
 O u t s id e s e r v ic e p r o v id e r s w it h s p e c ia liz e d t e c h n ic a l s k ills t h a t c a n s u p p le m e n t o r
e n h a n c e in t e r n a l s k il ls .

B e f o r e t h e a s s e s s m e n t , a u d it o r s s h o u ld s o lic it in p u t f r o m e a c h of th e te a m m e m b e rs
a b o v e a s e a r ly in t h e p la n n in g s t a g e a s p o s s ib le t o e n s u r e a ll p o t e n t ia l r is k s a n d
c o n c e r n s a r e a d d r e s s e d a n d a g o o d u n d e r s t a n d in g o f t h e e n v ir o n m e n t is a v a ila b le t o
g u id e t h e d e v e lo p m e n t o f a u d it a c t iv it ie s . I n a d d it io n , a u d it o r s n e e d t o c o n s id e r t h e u s e
o f a n in d e p e n d e n t e x t e r n a l p r o v id e r w it h t h e s k ills a n d t o o ls n e c e s s a r y t o a s s e s s t h e
e n v ir o n m e n t in t h o r o u g h d e t a il if t h e r e q u ir e d c a p a c it y is n o t a v a ila b le w it h in t h e
c o m p a n y . T h is is p a r t ic u la r ly r e le v a n t w h e r e v u ln e r a b ilit y a s s e s s m e n t s a n d p e n e t r a t io n
t e s t in g a r e c o n c e r n e d d u e t o t h e h ig h ly s p e c ia l iz e d n a t u r e o f t h e w o r k a n d t h e
c o n t in u o u s ly e x p a n d in g s c o p e o f t h e t h r e a t e n v ir o n m e n t. I n s o m e c a s e s , it m a y e v e n b e
m o r e e ff ic ie n t t o r e ly o n a s e r v ic e p r o v id e r t o k e e p u p w it h t h e c o n s t a n t f lu x in t h e
r e q u ir e d f ie ld o f k n o w le d g e r a t h e r t h a n a t t e m p t t o g e t in t e r n a l r e s o u r c e s u p t o s p e e d a
f e w t im e s p e r y e a r .

O n c e t h e n e c e s s a r y in f o r m a t io n is g a t h e r e d fr o m t h o s e r e s p o n s ib le f o r e a c h
a r c h it e c t u r e c o m p o n e n t o r a c t iv it y , a u d it o r s a r e r e a d y t o b e g in t h e a s s e s s m e n t p r o c e s s .
T o m a x im iz e t h e ir e f f o r t s , a u d it o r s n e e d t o b e c o m e f a m ilia r w it h in f lu e n c in g f a c t o r s ,
in c lu d in g b u t n o t lim it e d t o :

 C o m m o n in d u s t r y r is k s , s u c h a s c o r p o r a t e e s p io n a g e .
 U n iq u e r is k s t o t h e in d iv id u a l o r g a n iz a t io n , s u c h a s t h e u s e o f a p a r t ic u la r o p e r a t in g
s y s te m .
 S p e c if ic f r a m e w o r k s p u b lis h e d b y g o v e r n m e n t a g e n c ie s , a c a d e m ic r e s e a r c h e r s , a n d
p r o f e s s io n a l o r g a n iz a t io n s .

J e n n if e r R o x a s -M a g b a n la c , M I T
 I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 7

 T h e m e t h o d o lo g y u s e d b y t h e o r g a n iz a t io n in t h e d e s ig n a n d o p e r a t io n o f t h e s e c u r it y
a r c h it e c t u r e .

I n a d d it io n , a u d it o r s s h o u ld c o n s id e r " b r e a k in g " t h e a r c h it e c t u r e in t o m a n a g e a b le
p ie c e s . T o d o t h is , a u d it o r s n e e d t o p e r f o r m a r e v ie w o f t h e d o c u m e n t e d p o lic ie s a n d
p r o c e d u r e s f o r c o m p le t e n e s s , a lig n in g t h e m w it h r e c o g n iz e d s t a n d a r d s a n d b y
r e le v a n c e t o t h e e n v ir o n m e n t a n d b u s in e s s n e e d s . T h is n e e d s t o b e f o llo w e d b y a
r e v ie w o f t h e s e c u r it y o r g a n iz a t io n a n d a s s o c i a t e d b u s in e s s p r o c e s s e s f o r c o n c e r n s
s u c h a s s t a ff in g le v e ls , t r a in in g , a n d s e g r e g a t io n o f d u t ie s . A s e p a r a t e t e c h n ic a l a u d it f o r
d e s ig n , c o n f ig u r a t io n , a n d o p e r a t io n o f t h e s e c u r it y in f r a s t r u c t u r e a ls o s h o u ld t a k e p la c e
a n d m ig h t in c lu d e v u ln e r a b i lit y a n d p e n e t r a t io n t e s t in g .

J e n n if e r R o x a s -M a g b a n la c , M I T