域一.安全和风险管理
第一章 实现安全治理的原则和策略
1.1 理解和应用保密性、完整性、可用性的概念
安全基础架构中主要的安全目标和宗旨，安全领域最重要的原则 - CIA三元组
保密性(Confidentiality)
为保障数据、客体或资源保密状态而采取的措施。
目标是阻止或最小化未经授权的数据访问。
完整性(Integrity)
保护数据的可靠性和正确性。
防止了未经授权的数据更改。
可用性(Availability)
- 授权主体被授予实时的、不间断的客体访问权限。
其他安全概念(AAA服务)
- 标识
- 主体声明身份和责任的过程。
- 身份验证(Authentication)
- 验证或测试声明的身份是否有效。
- 授权(Authorization)
- 确保对已通过验证的身份所请求的活动或对客体的访问是可以被赋予的权利和特权。
- 审计(Auditing)
- 追踪和记录主体的操作，以便在验证过的系统中让主体为其行为负责的程序化过程。
- 记账(问责制)
- 标识
保护机制
分层
纵深防御 串行层
抽象
为了提高效率，相似的元素被放入组、类或角色中作为一个集合被指派安全控制、限制或许可
- 数据隐藏
将数据存放在主体无法访问或读取的逻辑存储空间以防止数据被泄露或访问。
隐匿和数据隐藏区别
数据隐藏是指故意将数据存访在未经授权的主体无法查看或访问的位置。
隐匿保持安全是指不告知主体有客体存在，从而希望主体不发现该客体。
- 加密
1.2 评估和应用安全治理原则
安全治理是与支持、定义和指导组织安全工作相关的实践集合。
治理的共同目标是维护业务流程，同时努力实现增长和弹性。
与业务战略、目标、使命和宗旨相一致的安全功能
安全管理计划
- 自上而下
- 首席信息安全官（CISO)
- 首席安全官（CSO）
- 主要关注物理安全
- 信息安全官（ISO）
- 三种计划
- 战略计划
- 战术计划
- 操作计划
组织的流程
安全治理需关注组织的方方面面，包括收购、剥离和治理委员会的流程。
1.变更控制/变更管理
- 变更管理的目标是确保变更不会削减或损坏安全。
2.数据分类/数据分级
- 数据分类是基于数据的保密性、敏感性和秘密性需求而对其进行保护的主要手段。
主要目标是基于指定的重要性与敏感性标签，对数据进行正式化和分层化的安全防护过程。
两种常用分类方案
政府/军事
- 绝密(TOP Secret)：未经授权泄露绝密数据，将对国家安全造成严重影响和严重损害。
- 秘密(Secret)：用于描述具备限制性质的数据。未经授权泄露秘密的数据，将对国家安全造成重大影响和重大损害。
- 机密(Confidential)：用于敏感的、专有的或高度有价值的数据。未经授权泄露将对国家安全造成明显的影响和严重损害。
- 敏感但未分类(Sensitive But Unclassified)：用于内部使用或仅用于办公室使用的数据。 常用于保护可能侵犯个人隐私权的信息。
- 未分类(Unclassified)
商业/私营部门：机密、私有、敏感、公开
组织的角色与责任
高级管理者
- 组织所有者（高级管理者）角色被分配给最终对组织安全的维护负责及最关心资产保护的人员。
安全专业人员
安全专业人员/计算机事件响应小组被分配给受过培训和经验丰富的网络、系统和安全工程师们，负责落实高级管理者下达的指示。
职责是保证安全性，包括编写和执行安全策略。
数据所有者
- 被分配给在安全解决方案中负责布置和保护信息分类的人员。
数据托管员
- 被分配给负责执行安全策略与高级管理者规定的保护任务的人员。
用户
被分配给任何能访问安全系统的人员。
最小特权原则
审计人员
- 负责审查和验证安全策略是否正确执行，以及相关的安全解决方案是否完备。
安全控制框架
信息和相关技术控制目标（COBIT)
COBIT 5的基础是企业IT治理和管理的如下五个关键原则
\1. 满足利益相关方的需求
\2. 从端到端覆盖整个企业
\3. 使用单一的集成框架
\4. 采用整体分析法
\5. 把治理从管理中分离出来
应尽关心和尽职审查
应尽关心
使用合理的关注来保护组织的利益。
指定一种正式的安全框架，包含安全策略、标准、基线、指南和程序。
尽职审查
指具体的实践活动。
将安全框架持续应用到组织的IT基础设施上。
1.3 开发、记录和实施安全策略、标准、程序和指南
安全策略
- 规范化的最高层级文件是安全策略。
- 定义了组织所需的安全范围，讨论需要保护的资产以及安全解决方案需要提供的必要保护程度。
标准、基线和指南
- 标准是战术计划文档，规定了达到安全策略定义的目标贺总体方向的步骤或方法。
- 基线定义了整个组织中每个系统必须满足的最低安全级别。
- 指南提供了关于如何实现标准和基线的建议，并作为安全专业人员和用户的操作指南。
程序
1.4 理解和应用威胁建模的概念和方法
识别威胁
确定和绘制潜在的攻击
执行简化分析
优先级排序和响应