SAR / RAR

  CYB610 Project  3     You are an Information A ssurance  Ma nageme nt O ffice r, IAMO , a t a n o rg aniza tio n o f yo ur   choosing. One morning, as  you're  g ettin g re ady  fo r  w ork,  yo u se e a n e m ail  fr o m  K are n, yo ur   manager. She asks you to  co me  to  h er  office  a s  so on a s  yo u g et in .

    When you arrive to your w ork,  yo u h ead st ra ig ht to  Ka ren's  office . “ S orry  fo r th e im pro m ptu   meeting,” she says, “but w e h ave  a  b it  o f a n e me rgency.  T here 's  been a  se curit y  bre ach  a t th e   Office of Personnel Mana geme nt.”     We don't know how this ha ppened, b ut w e n eed to  ma ke su re it  d oesn 't  h appen a gain , sa ys   Karen. You'll be receiving  an e ma il  w it h  mo re in fo rma tio n o n th e se curit y  bre ach . U se  th is  in fo  to   assess the information sy stem  vuln era bilit ie s  of th e O ffice  o f Pe rso nnel  M anagem ent.

    At your desk, you open K are n's  ema il.  Sh e's  give n yo u a n O PM  re port fr o m  th e O ffice  o f th e   Inspector General, or OIG.  Yo u h ave  st udie d th e O PM  OIG  re port a nd fo und th at th e h acke rs   were able to gain access  th ro ugh co mp romi se d cre dentia ls.  T he se curit y  bre ach  co uld  h ave   been prevented, if the Of fice  o f Pe rso nnel  Ma nageme nt, o r  O PM,  h ad a bid ed b y  pre vi ous   auditing reports and securi ty  fin din gs.  In  a ddit io n, a cce ss to  th e d ata base s co uld  h ave  b een   prevented by implementin g va rio us  encryp tio n sch ema s and co uld  h ave  b een id entif ie d a fte r   running regularly schedul ed sca ns  of th e syst ems.

    Karen and the rest of the  le adersh ip  te am  want yo u to  co mp ile  yo ur fin din gs  in to  a  S ecu rit y   Assessment Report or SA R. Yo u w ill  a lso  cre ate  a  R isk  Asse ssment R eport, o r R AR , in  w hich   you identify threats, vulnera bilit ie s,  ri sks,  a nd like lih ood o f e xp lo it a tio n a nd su ggest ed   remediation.