¶ CBK 1：安全与风险管理
¶ 1.1 安全基本原则
业务角度|安全专业角度 ==》保护信息CIA,不是平均，可能会有重点的方面，但是这三个要素同等重要。
CIA
机密性 Confidentiality、完整性Integrity、可用性Availability
机密性：
攻防⻆度分析
直接攻击：抓包⽹络流量，社会⼯程、肩窥、盗取密码⽂件
被动失误：身份验证不充分，⽂件遗留在打印机上，未锁屏以及⼀些未知原因
管理员的不当⾏为，安全策略中的疏漏，OWASP Top10配置有误
控制措施：
加密、加噪、严格的访问控制、VPN、充分的⼈员培训
考题中传递机密性的词语：
敏感性、判断⼒、关键性、隐藏、保密、隐私、隔绝、隔离
完整性
以下三个⽅⾯：
防篡改：防⽌未经授权的主题进⾏修改。
防误改：防⽌授权主体进⾏未经授权的修改，如引⼊错误。
防替换：验证客体内外的⼀致性。
攻防⻆度分析
直接攻击：恶意修改交易数据，中间⼈攻击
被动失误：修改或删除⽂件，覆盖了重要⽂件版本
控制措施：
⽣成SAH1或MD5等散列，特点： 单向产⽣不可逆的摘要、由变⻓数据产⽣定⻓消息、可能遭遇⽣⽇攻击之类的哈希爆破。
考题中传递完整性的词语：
准确性、真实性、可信性、有效性、不可否认性、问责制/记账性、职责、完整性、全⾯性
可⽤性
攻防⻆度分析
直接攻击：程序员删库跑路，设备故障，DOS攻击、恶意代码
被动失误：delete忘记加select等各种误删误操作
控制措施
有⾜够的备份
考题中传递可⽤性的词语：
可⽤性、可访问性、及时性
三性的优先级排序
根据业务本身属性和企业特点来决定，例如：
军⽅和政府机构，应优先考虑保密性
私营企业，应优先考虑可⽤性
电商，应优先考虑完整性
公共服务器，如健康云，应优先考虑可⽤性
¶ 1.2 安全定义
脆弱性(漏洞)：系统中允许威胁来破坏其安全性的缺陷。
威胁：利用脆弱性而带来的任何潜在危险。
风险：威胁源利用脆弱性的可能性以及相应的业务影响。
暴露：造成损失的实例。
控制（对策）：消除或减低潜在的风险。
¶ 1.3 控制类型措施
控制措施分类：
按类别（物理、逻辑|技术、行政(管理)）、
按功能分（预防 、检测、恢复、威慑、指引、补偿、保护）
¶ 1.4 安全框架
安全计划是由很多实体构成的框架：逻辑、管理和物理的保护机制、程序、业务过程和人，这一切一起工作为环境提供一个保护级别。
企业架构
Zachman：Zachman 框架是一个二维模型，它使用了6个基本的疑问词（什么、如何、哪里、谁、何时、为何）和不同的视知观点（计划人员、所有者、设计人员、建设人员、实施人员和工作人员）二维交叉，它给出了企业的一个整体性理解。
**TOGAF（The Open Group Architecture Framework）**架构允许技术架构设计师从企业的不同视角（业务、数据、应用程序和技术）去理解企业，以确保开发出环境及组件所必需的技术，最终实现业务需求。
SABSA是是一个分层模型，它在第一层从安全的角度定义了业务需求。
ToGAF：可以用它来开发其它架构（业务、数据、技术等） DoDAF：美国国防部，实现互操作性 MoDAF：英国国防部
安全计划架构
ISO/IEC 27000 系列 27000 概述 27001 ISMS要求 27002 实践代码 27003 实施指南 27004 度量 27005 风险管理 27007 审计 27015 金融行业 27031 业务连续性 27799 医疗机构
安全控制架构
COBIT v5 （Control Objectives for Information and related Technology，信息及相关技术的控制目标）提供IT企业治理的框架，安全合规审计
COSO内部控制-集成框架
NIST SP 800-53
安全流程管理架构
ITIL一种以流程为基础、以客户为导向的IT服务管理指导框架
Six Sigma流程改进方法论 识别过程中的缺陷，进行改进
CMMI能力成熟度模型集成（Capability Maturity Model Integration，CMMI）标准化方式改进组织的开发过程
安全计划的能力成熟模型
| 0级 | 无管理 | 无过程 | 无评估 |
| 1级 | 过程不可预测 | 临时和紊乱 | 被动行为 |
| 2级 | 过程可重复 | 未成熟且开发中 | 为IT涉及的安全 |
| 3级 | 过程可定义 | 文档化和充分沟通 | 过程可定义 |
| 4级 | 过程可管理 | 可监控和可测量 | 安全和映射的业务目标 |
| 5级 | 过程可优化 | 自动化实践 | 结构化和企业范围 |
谨慎考虑/恪尽职守
应尽关注/应有的谨慎 Due Care
具有相同训练经历和经验的⼈，在给定的情况下所应达到的谨慎。
个⼈或组织的法律责任被认为是⾏驶应有的谨慎。
只是开展⼀系列活动来维持应尽职责的⼯作，如打补丁。
尽职调查 Due Diligence
⼀种对应有谨慎的管理推动⾏为。
是制定计划、策略和流程来保护组织的利益，如研究漏洞。
¶ 1.19 道德
ISC)2 职业道德规范
保护社会、公共利益与基础设施，赢得必要的公众信心与信任
行事端正、诚实、公正、负责、守法
勤奋尽责、专业胜任
推动行业发展、维护职业声誉
组织的道德规范
计算机道德十诫：
不得使用计算机伤害他人
不得干预其他人的计算机工作
不得窥探其他人的计算机文件
不得使用计算机进行盗窃
不得使用计算机提交伪证
不得复制或使用尚未付款的专利软件
在未获授权或未提交适当赔偿的前提下，不得使用他人的计算机资源
不得盗用他人的知识成果
应该考虑你所写的程序或正在设计的系统的社会后果
在使用计算机时，应考虑尊重人类
RFC1087：被称为“道德与Internet”，概述了IAB人为的不道德和不可接受的行为相关的概念：
故意寻求访问未获授权的Internet资源
破坏Internet的使用
通过有目的的行为浪费资源（人、容量和计算机）
破坏计算机信息的完整性
危害他人的隐私安全
在进行Internet范围的实验时出现过失
企业道德标准
**Fail Safe:**针对⼈，失败情况下保障⼈员安全，如：机房⻔对外开 **Fail Secure:**针对系统、服务，失败情况下保障系统安全，如：被⿊客攻击后关闭外部访问
¶ 1.2 理解和应用安全概念
保密性、完整性、可用性、真实性和不可否认性
¶ 1.2.2 真实性、不可否认性
真实性：即数据是可信的或真实的，并源于其声称的来源。这与完整性有关，但与验证它是否来自声称的来源更密切相关。当数据具有真实性时，接收者可以高度确信数据来自其声称的来源，并且在传输（或存储）过程中没有发生变化。
不可否认性:指通信双方在信息交互过程中，确信参与者本身，以及参与者所提供的信息的真实同一性，即所有参与者都不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。
**实现：**使用不可否认功能，虽然不能防止通信参与方否认通信交换行为的发生，但是能在产生纠纷时提供可信证据，有利于纠纷解决。网络环境中的不可否认可以分为起源的不可否认和传递的不可否认，主要通过数字签名技术实现。
¶ 1.3 评估和应用安全治理的原理
将安全功能与业务战略、目标、使命和宗旨相关联
组织过程（例如，收购、剥离、治理委员会）
组织角色和职责
安全控制框架
安全规划的框架（最顶层）：ISO27001，如何开发和维护信息安全体系
企业架构开发（搭建骨架）
¶ 1.4 确定合规性和其他要求
» 合约、法律、行业标准和监管要求 » 隐私要求
¶ 1.5 理解在全球背景下与信息安全相关的法律和监管问题
» 网络犯罪和数据泄露 » 许可和知识产权 (IP) 要求 » 进口/出口控制 » 跨境数据流 » 隐私
¶ 1.6 理解调查类型的要求（即行政、刑事、民事、监管、行业标准）
¶ 1.7 制定、记录和实施安全政策、标准、程序和指南
¶ 1.8 对业务连续性 (BC) 要求进行识别、分析及优先级排序
» 业务影响分析 (BIA) » 制定和记录范围和计划
¶ 1.9 协助制定和实施人员安全政策和程序
» 员工筛选与雇佣 » 雇佣协议与政策 » 员工入职、调动和离职流程 » 供应商、顾问与承包商协议与控制 » 合规策略要求 » 隐私策略要求
¶ 1.10 理解并应用风险管理概念
» 识别风险与漏洞 » 风险评估/分析 » 风险响应 » 对策选择与实施 » 适用的控制类型（如预防、检测、纠正） » 控制评估（安全与隐私） » 监控与测量 » 报告 » 持续提高（如风险成熟度模型） » 风险框架
¶ 1.11 理解并应用威胁建模的概念和方法
¶ 1.12 应用供应链风险管理 (SCRM) 概念
» 与硬件、软件和服务相关的风险 » 第三方评估和监控 » 最低安全要求 » 服务水平要求
¶ 1.13 制定并维护安全意识、教育和培训计划
» 安全意识宣贯与培训的方法和技术（例如，社会工程、网络钓鱼、安全冠军、游戏化） » 定期内容审查 » 方案效果评估