CISSP官方学习指南第7版#第5章

=Start=

缘由：

备考CISSP，学习、整理在看《CISSP官方学习指南（第7版）》时的一些知识点，方便以后快速复习。

正文：

参考解答：

第5章保护资产的安全

5.1 对资产进行分类和标记

资产安全的第一步是对资产进行分类和标记。

5.1.1 定义敏感数据

敏感数据指所有不公开或未分类的信息，可能包括组织需要保护的机密、专有信息，或因数据对组织的价值或组织为遵守现行法律、法规而保护的任何其他类型的数据。

1.个人身份信息
个人身份信息(PII)是指任何可以识别个人的信息。

2.受保护的健康信息
受保护的健康信息(PHI)是任何与个人健康有关的信息。在美国，健康保险流通与责任法案(HIPAA)授权保护PHI。

3.专有数据
专有数据指的是任何帮助组织保持竞争优势的数据。可以是开发的软件代码、产品的技术计划、内部流程、知识产权或商业秘密。如果竞争对手能够访问私有数据，就可能会严重影响组织的主要任务。

5.1.2 定义分类

组织通常会在安全策略或在单独的数据策略中包括数据分类。数据分类识别的是数据对于组织的价值，并对数据的机密性和完整性保护至关重要。策略确定了组织内使用的分类标签，还确定了数据所有者如何确定合适的分类以及人员应如何根据分类保护数据。

绝密——绝密标签适用于这样的信息，”未授权披露通常可能会对国家安全带来可以由原分类组织识别或描述的特别严重的损害。”
保密——保密标签适用于这样的信息，”未授权披露通常可能会对国家安全带来可以由原分类组织识别或描述的严重损害。”
机密——机密标签适用于这样的信息，”未授权披露通常可能会对国家安全带来可以由原分类组织识别或描述的损害。”
非机密——非机密信息指不符合上述绝密、保密、机密标签描述的任何信息。在美国，非机密信息任何人都可用，尽管通常要求个人使用信息自由法案(FreedomOfInformationAct,FOIA)中确定的程序来申请这些信息。

对于CISSP考试来说，只要记住”敏感信息”是指任何未公开或分类的信息。

5.1.3 定义数据安全要求

在定义了数据分类后，对数据的安全要求进行定义也很重要。比如，组织应该采取什么步骤保护邮件的安全性?

5.1.4 理解数据状态

在数据静止、传输以及使用过程中，保护数据的安全性是非常重要的。静态数据是指存储在介质(例如，硬盘、USB闪存盘、存储区域网(SAN)和备份磁带)上的数据。传输数据(有时称为动态数据)是指那些通过网络传送的数据，包括通过有线或无线在内网上传输的数据以及在公共网络(如互联网)上传输的数据。使用中的数据是指在临时存储区中正在被应用程序使用的数据。

5.1.5 管理敏感数据

管理敏感数据的一个主要目标是防止数据泄露。数据泄露会使任何一个未被授权的实体查看或访问敏感数据。

明确各组织内部人员在查询数据时应当遵循的几个基本步骤，以降低数据泄露的可能性。

1.标记敏感数据
2.管理敏感数据
3.存储敏感数据
4.销毁敏感数据

下面的列表包括一些与销毁数据相关的常见术语：

擦除——擦除介质上的数据就是对文件、文件的选择或整个介质执行删除操作。
消除——消除或重写是使介质可以重新使用的一个准备过程，这个过程可以确保消除的数据不会通过传统的工具恢复。
清除——清除是比消除更强烈的一种形式，是指在安全性较差的环境中使介质达到可再次使用的准备过程，确保原始数据使用任何己知方法都不会恢复。清除过程是将消除过程多次重复，并结合其他方法，如去磁法来完全清除数据。即使清除过程会除去所有残留的数据，但这种方法并不总是可靠的。
解除分类——解除分类是指在非机密情况下对介质或系统进行清除，以使其能够再次使用的准备过程。可以使用清除来为解除分类做准备，但是在安全性较低的情况下，为确保安全解除分类介质而做出的努力比花钱买新介质的成本更高。此外，尽管用任何己知的方法都不能恢复清除的数据，但是似乎还有可以使用的方法。为了规避风险，许多企业选择不解除分类任何介质。
净化——净化是指从系统或介质中删除数据，确保数据不会以任何形式恢复。当一台计算机被处置时，净化包括确保所有的非易失性存储器己被删除或被破坏，系统在任何驱动器中都不含CD/DVD光盘，且内部硬盘(硬盘驱动器和SSD)己被净化、删除和/或销毁。净化指的是破坏介质或使用一种可靠的方法将机密数据从介质上清除，但不破坏介质。
消磁——消磁工具会建立一个强大的磁场区域，从而以消磁的方法擦除介质上的数据。技术人员通常使用消磁的方法将磁带上的数据清除，从而使其回到最初状态。硬盘也可以消磁，但是我们不建议那样做。硬盘消磁通常会破坏访问数据的电路。但是，并不确定硬盘上的数据是否被完全清除。可能会有人在干净空间中启动驱动并在不同的驱动上安装盘片来读取数据。消磁不会对CD、DVD或SSD造成影响。
销毁——销毁是介质生命周期的最后阶段，也是清除介质数据的最安全方法。当销毁介质时，一定要确保其不能再使用或修复，并且数据不能从被破坏的介质上提取。销毁方法包括焚烧、破碎、粉碎、解体，并使用腐蚀性或酸性化学物质溶解。有些组织将高级机密的磁盘驱动器盘片取下，并单独销毁它们。

5.保留资产
保留要求适用于数据或记录、含有敏感数据的介质和系统，以及接触敏感数据的人员。记录保留和介质保留是资产保留的最重要元素。

5.1.6 应用密码学保护机密文件

保护数据机密性的一个主要方法就是加密。

1.应用对称加密保护数据
2.应用传输加密保护数据

5.2 定义数据角色

5.2.1 数据所有者
数据所有者是数据的最终责任人。

5.2.2 系统所有者
系统所有者是拥有含机密数据的系统的人。

5.2.3 业务/任务所有者
业务/任务所有者在不同的组织中角色也不同。NISTSP800-18指的是业务/任务所有者作为项目经理或信息系统所有者。同样，业务/任务所有者的责任可以和系统所有者的责任有重叠或相同。

5.2.4 数据处理者
一般来说，数据处理者是用来加工数据的任意系统。然而，在欧盟的数据保护条文中，数据处理者有更确切的定义。欧盟数据保护法将数据处理者定义为“一个自然人或法人，他拥有个人资料，仅代表数据控制者的利益”。在该条文中，数据控制者是一个控制数据过程的人或实体。

5.2.5 管理员
数据管理员负责将数据以合适的方式授予人员。他们不一定必须拥有全部管理者权限和特权，但是他们可以分配权限。管理员分配权限时需要基于最低权限准则和须知，只有在工作有需要时才会授予使用者。管理员通常会使用基于角色的访问控制模型来分配权限。换句话说，他们将用户账号添加至群组，然后授予群组权限。当用户不再需要访问数据时，管理员就将他们的账户从群组中移除。

5.2.6 保管者
数据所有者经常将每天的任务委任给保管者。通过以适当方式保存和保护数据，保管者协助保护数据的安全性和完整性。例如，保管者会根据备份策略确保数据备份。如果管理员在数据上有配置的审计，保管者也同样会保存这些记录。

5.2.7 用户
用户就是任何通过计算系统获取数据并完成工作任务的人。用户只能获取他们需要用来完成工作任务的数据。也可以把用户想象成员工或最终用户。

5.3 保护隐私

5.3.1 使用安全基线

基线提供了一个起点，确保最低安全标准。

5.3.2 审视和定制

审视是指评估基线安全控制，然后只选择那些适用于想保护的IT系统的控制。
定制是指修改基线内的安全控制列表，使其与组织的使命相适应。

5.3.3 选择标准

在选择基线内的安全控制时，组织需要确保控制符合某些外部安全标准。外部元素通常定义了对组织的强制性要求。

考试要点：

理解数据分类的重要性。数据所有者负责定义数据分类，确保系统和数据被正确标记。此外，数据所有者定义保护不同分类的数据的需求，比如对静态数据和传输中的敏感数据进行加密。数据分类通常在安全策略或数据策略中定义。

知道PII和PHI。个人身份信息(PII)是任何可以识别个人的信息。受保护的健康信息(PHI)是指任何与特定个人的健康有关的信息。许多法律、法规都规定保护PII和PHI。

知道如何处理敏感信息。敏感信息是指所有类型的机密信息，正确地管理它们可以帮助防止由于未经授权的披露而失去保密。适当的管理包括标志、处理、存储和破坏敏感信息。组织经常漏掉标记的两个区域是充分保护承载敏感信息的备份介质以及在介质和设备生命周期结束时对其进行净化。

理解记录保留。记录保留策略确保在需要数据时，将数据保存在可用状态，在不需要数据时将其破坏。许多法律、法规都规定数据要在特定的时间内进行保存，但是没有正式的规定，因此组织会在策略中指定保留时间。审计跟踪数据需要保持足够长的时间来重建过去的事件，但是组织必须确定他们想要调查多久之前的数据。许多组织当前的趋势是通过对电子邮件实施短期保留策略来减少法律责任。

知道不同角色之间的区别。数据所有者负责分类、标记和保护数据。系统所有者负责处理数据的系统。业务和任务所有者拥有流程，并确保系统对组织的价值。数据处理者通常是为组织处理数据的第三方实体。管理员基于数据所有者提供的指导方针授权访问数据。用户在执行工作任务的过程中访问数据。保管者负责日常存储和保护数据。

了解7条安全港原则。欧盟数据保护法规定保护隐私数据。第三方同意遵守7条安全港原则，以确保它们遵守欧盟数据保护法。7条原则是通知、选择、向前传输、安全性、数据完整性、访问和执行。

了解安全控制基线。安全控制基线提供一份组织可以用作基线的控制清单，并不是所有的基线适用于所有的组织。然而，组织可以应用审视和定制技术来选择满足自身需求的基线。

参考链接：

CISSP官方学习指南第7版（中文）-文字版带完整书签

=END=

7 11 月, 2017

Docker

KnowledgeBase, Security

CISSP