CISSP AIO7 学习笔记 - 第二章资产安全 2.1-2.8小节附送脑图

简单脑图

疯狂补作业，休息时间全补上，这章比较简单，一篇就可以搞完。。。GOGOGOGO

2.1 信息生命周期

生命周期模型描述了一个实体在其生命周期中经历的变化。
在宏观层面上，我们可将信息分为四个阶段

获取
- 通过从其他地方复制或是从头开始创建这两种方式中的一种来获取信息。
- 在获取信息之后，和在它可以使用之前，建立索引。
- 应用一些策略性的控制，比如存储、访问、可用性。
使用
- 从安全角度看，在信息生命周期中的这一阶段，确保其机密性、完整性和可用性是最大的挑战
存档
- 数据备份是当前正在使用的数据集的副本，其目的是能恢复丢失的原始数据。备份数据通常会随着时间推移而变得越来越没用。
- 数据存档是对不再使用的数据集的拷贝，保留目的是防备在将来某个时间点用到它。
处置，即销毁数据
- 数据销毁的处理方式是指，我们需要将数据传输到另一方，然后在数据存储空间上销毁它。

2.2 信息分类

分类是一个持续的过程，而非一次性的努力。

信息可以通过灵敏程度、关键程度或两者混合来进行分类。无论哪种方式，分类的目的都是量化一个组织丢失了信息后可能承受多少损失。每个分类级别都应有自己的处理和销毁要求。

下面的分类由高到低列出商业公司的信息敏感级别

机密
隐私
敏感
公开

下面的分类由高到低列出军事机构的信息敏感级别

绝密
秘密
机密
敏感但未分类
未分类

数据分类措施,下面概述了正确分类计划的必要步骤:
(1) 定义分类级别。
(2)指定确定如何分类数据的准则。
(3) 任命负责为数据分类的数据所有者。
(4) 任命负责维护数据及其安全级别的数据看管员。
(5) 制订每种分类级别所需的安全控制或保护机制。
(6) 记录上述分类问题的例外情况。
(7) 说明可用于将信息保管转交给其他数据所有者的方法。
(8) 建立定期审查信息分类和所有权的措施。向数据看管员通报任何变更。
(9) 指明信息解密措施。
(10) 将这些问题综合为安全意识计划，让所有员工都了解如何处理不同分类级别的数据。

2.3 责任分层

高级管理层持续对组织负有最终责任。

行政管理层

首席执行官chief executive officer (CEO)负责组织机构的日常管理工作。通常由董事会主席担任，是公司内地位最高的人。担任这个角色的人负责从宏观角度监督公司的财务、战略规划和运营。
首席财务官chief financial officer (CFO))负责公司的账目和财务活动以及组织机构的总体财务结构。
首席信息官chief information officer (CIO))处于公司组织结构的较低层。他们负责向CEO或CFO上报，并且负责组织机构内部信息系统和技术的战略使用与管理。
首席隐私官chief privacy officer (CPO)，设立该职位主要是因为公司在保护各种类型数据方面面临日益增长的需求。这个角色负责确保客户、公司和雇员数据的安全，避免公司陷入刑事和民事诉讼，并防止公司由于数据泄露而登上新闻头条。这个职位通常由律师担任，会向CSO汇报。
首席安全官chief security officer (CSO))负责了解公司面临的风险和将这些风险缓解至可接受的级别。
首席信息安全宫chief information Security officer(CISO)和CSO可能比较接近，CISO通常更加关注技术问题，并且具有IT背景。CSO 则通常需要更深入地理解业务风险，包括物理安全(而不仅是技术风险)。

数据所有者

数据所有者(也称为信息所有者)通常是一名管理人员，他负责管理某个业务部门，对特定信息子集的保护和应用负最终责任。

数据看管员

数据看管员(也称为信息看管员)负责数据的保护与维护工作。

系统所有者

系统所有者负责一个或多个系统，每个系统可能保存并处理由不同数据所有者拥有的数据。

安全管理员

安全管理员负责实施和维护企业内具体的安全网络设备和软件。

主管

主管这一角色也称为用户管理者，其最终负责所有用户活动和由这些用户创建和拥有的任何资产。

变更控制分析员

变更控制分析员负责批准或否决变更网络、系统或软件的请求。

数据分析员

数据分析员负责保证以最佳方式存储数据，从而为需要访问和应用数据的公司与个人提供最大的便利。

用户

在与工作关联的任务中，任何例行使用数据的个人都是用户。

审计员

审计员的目标是确保组织机构遵循了自己制定的策略和适用的法律法规。

2.4 保留策略

唯一通用的是需要确保你的组织具有并遵循文档化的数据保留策略。只有一个简单的策略当然是不够的，你必须确保其得以遵守，而且通过定期审计来文档化。

查看你的组织适用的法律或监管所要求的最长保留期限，然后将该期限应用到你的所有数据保留上。
隔离那些有强制保留要求的特定数据集，并做相应的处理。

制定保留政策

每个数据保留策略的核心是解决三个基本问题:

我们保存什么数据?
- 分类法
- 分级法
- 标准化
- 索引
我们保存这些数据多长时间?
我们在哪里保存这些数据?
保留数据的决定必须是谨慎、具体和可执行的。

电子发现

电子存储信息的发现(Electronically Stored Information, ESI)或称电子发现是由法院或外部律师制定的、与法律程序有关的所有ESI 的过程。如下是电子发现参考模型但(Electronic Discovery Reference Model,EDRM)的标识的8个步骤，它们既不一定是必需的，也不必以线性方式执行:
(1) 对命令所需的数据进行识别。
(2) 保存此数据以确保在遵照命令执行时不会被意外销毁。
(3) 从可能存在的各种存放区域收集数据。
(4)确保使用正确格式处理数据及其元数据。
(5) 审查数据以确保其相关性。
(6) 进行适当的上下文数据分析。
(7) 按照请求生成最终数据集。
(8) 向外部受众展示数据以证明或反驳索赔。

2.5 保护隐私

数据所有者的一个责任就是数据分类和批准披露的请求。
数据处理者这些个人理解什么是可接受的行为的边界，并且(同样重要的是)知道当数据被以不符合策略的方式意外或有意地处理时该怎么做。对于这个群体的隐私保护方面的关键问题是培训和审计。
数据残留
- 覆盖，至少七次，被取代
- 消磁
- 加密
- 物理损毁
收集的限制
- 适用的法律和法规
- 你的组织收集的个人数据类型及其生命周期的考虑因素也必须有明确的书面策略。

2.6 保护资产

数据安全控制

静态数据，放在存储设备中的数据，解决方案：加密
动态中的数据，节点之间传递的数据，解决方案，强加密
使用中的数据，对软件进行测试。

介质控制

介质应该被清楚地标记和记录，其完整性应该被验证，并且当不再需要时其存储的数据应该被正确地擦除。
无论是在介质库中还是由其他系统及个人管理，介质管理都应包括以下属性和任务:

追踪(审计日志记录）
有效实现访问控制
追踪(本地或异地)备份版本的数量和位
对介质变更的历史记录归档
确保环境条件不会危及介质的安全
确保介质的完整性
定期清查介质
执行安全处置活动

2.7 数据泄露

数据泄露防护(Data Leak Prevention, DLP)

数据清点
数据流
数据保护策略
- 备份和恢复
- 数据生命周期
- 物理安全
- 安全文化
- 隐私
- 组织变革
实现、测试和调优
- 敏感数据感知
- 策略引擎
- 互操作性
- 准确性

网络DLP(NDLP)
HDLP对运动中的数据应用保护策略。

端点DLP(EDLP)

EDLP 能实现通常NDLP无法达到的防护等级，但EDLP的主要缺点在于其复杂性。

混合DLP(HDLP)
DLP的另一种方法是在整个企业中部署NDLP和EDLP

2.8 保护其它资产

1、保护移动设备

列出所有移动设备(包括序列号)，以便在被盗并恢复时可以正确识别。
通过应用安全配置的基线加固操作系统。
在笔记本电脑上对BIOS 进行密码保护。
将所有设备注册到各自的供应商，并在设备被盗时向供应商提交报告。如果设备在被盗后进行修理，而你已报告了失盗情况，则供应商将标记该设备。
坐飞机时，请勿将移动装置作为行李托运。总是随身携带。
不要任移动设备无人看管，也不要将其放在一个不起眼的手提箱中。
使用符号或数字标记设备以便正确识别。
尽可能使用带电缆的插槽锁将笔记本电脑连接到固定的物体。
将移动设备上的所有数据备份到受组织控制的存储库。
加密移动设备上的所有数据。
启用远程设备上的数据擦除功能。

2、保护纸质记录

教育员工正确处理纸质记录。
尽量减少纸质记录的使用。
确保工作环境保持整沽，以便易于分辨敏感文件是否暴露在外，并定期审核工作环境，以确保敏感文件不被暴露。
在完成后，立即将所有敏感文件锁起来。
禁止将敏感的文书工作带回家。
为所有文书标明分类等级。理想情况是，还应包括所有者的姓名和处置说明(例如保留期限)。
在员工离开办公室时对员工的包进行随机搜查，以确保敏感材料不被带回家。
使用十字切碎纸机销毁不需要的敏感纸张。对于非常敏感的文件，请考虑烧毁它们。

3、保险箱

墙体保险箱，嵌入墙体，容易隐藏
楼层保险箱，嵌入地板p 容易隐藏
独立保险箱，单独使用
储藏室式保险箱，带插槽，方便插入贵重物品
保险库，足够大，足以提供步入式保险箱