[CISSP备考] Domain2 资产安全

Domain2 资产安全

2.1 识别和分类信息和资产

2.1.1 数据分类

  • 分类标准

    • 按敏感度分类

      • 公开
      • 内部
      • 机密
      • 绝密

    • 按关键性分类

      • 关键
      • 重要
      • 一般

  • 分类责任人

    • 资产所有者

  • 分类目的

    • 合理分配安全资源
    • 确保适当的保护措施

2.1.2 资产分类

  • 资产类型

    • 有形资产

      • 服务器
      • 笔记本电脑
      • 手机
      • 纸质文档

    • 无形资产

      • 数据
      • 软件
      • 知识产权
      • 商业秘密

2.2 建立信息和资产处理要求 核心原则

  • 分类越高，控制越严

  • 机密数据必须加密存储和传输

  • 绝密数据需要双人验证 处理要求要素

  • 标记

    • 电子标记

      • 水印
      • 页眉

    • 物理标记

      • 印章
      • 标签

  • 传输

    • 加密协议

      • TLS (Transport Layer Security，传输层安全)
      • SSL (Secure Sockets Layer，安全套接字层)

    • VPN (Virtual Private Network，虚拟专用网络)

    • 物理押运

  • 存储

    • 加密存储
    • 访问控制
    • 地理限制

  • 访问

    • 最小权限原则
    • 定期审查
    • 及时撤销

2.3 安全地提供信息和资产

2.3.1 信息和资产所有权

  • 数据所有者

    • 定义：业务部门的人

    • 职责

      • 决定"谁能访问"
      • 决定"数据多重要"
      • 承担最终责任

    • 示例：HR经理是员工数据所有者，财务总监是财务数据所有者

  • 数据保管者

    • 定义：IT/安全团队的人

    • 职责

      • 负责"怎么保护数据"
      • 负责实施控制措施

    • 示例：DBA (Database Administrator，数据库管理员) 负责数据库安全

2.3.2 资产清单

  • 关键字段

    • 资产ID
    • 所有者
    • 位置
    • 价值
    • 状态
    • 分类级别

  • 重要性

    • 风险管理的基础
    • 确保所有资产都被识别和保护

2.3.3 资产管理

  • 管理目标

    • 确保资产安全
    • 优化资产使用
    • 降低资产风险

2.4 管理数据生命周期

2.4.1 数据角色

  • 控制者

    • 定义：决定数据处理的目的和方式
    • 示例：公司
    • 职责：承担GDPR (General Data Protection Regulation，通用数据保护条例) 合规责任

  • 处理者

    • 定义：代表控制者处理数据
    • 示例：云服务商、外包商
    • 职责：在授权范围内行动

  • 所有者

    • 定义：业务部门，决定数据的重要性和访问权限
    • 示例：HR经理、财务总监

  • 保管者

    • 定义：IT/安全团队，负责实施数据保护措施
    • 示例：DBA、安全管理员

  • 用户

    • 定义：被授权访问数据的终端用户
    • 示例：员工、合作伙伴

2.4.2 数据收集

  • 收集原则

    • 数据最小化：只收集必要的数据
    • 目的限制：只能用于声明的目的
    • 知情同意：收集前获得用户明确同意
    • 准确性：确保数据准确无误

2.4.3 数据位置

  • 重要性

    • 不同国家/地区有不同的数据保护法规
    • GDPR (General Data Protection Regulation，通用数据保护条例)
    • CCPA (California Consumer Privacy Act，加州消费者隐私法案)
    • 中国《个人信息保护法》

  • 跨境数据流动

    • 必须符合源国和目的国的法律要求
    • 某些数据必须存储在特定国家境内（数据本地化要求）

2.4.4 数据维护

  • 维护活动

    • 数据备份：定期备份，确保数据可恢复
    • 数据更新：保持数据准确性和时效性
    • 数据验证：检查数据完整性和一致性

2.4.5 数据保留

  • 保留原则

    • 只保留必要时间
    • 及时销毁过期数据
    • 定期审查

  • 保留期限

    • 财务记录：通常7年
    • 其他数据：根据业务需求和法规要求确定

2.4.6 数据残留

  • 定义

    • 数据在预期删除后仍然存在的现象

  • 残留位置

    • 磁盘扇区
    • 内存缓存
    • 备份文件

  • 风险

    • 数据可能被恢复
    • 导致敏感信息泄露

2.4.7 数据销毁

  • 销毁方法

    • 物理销毁

      • 粉碎
      • 焚烧
      • 适用：纸质和物理介质

    • 加密擦除

      • 使用专业工具彻底覆盖
      • 适用：电子设备

    • 逻辑删除

      • 删除文件系统条目
      • 不安全，容易恢复

  • 最佳实践

    • 销毁必须彻底
    • 防止数据被恢复
    • 保留销毁记录

2.5 确保适当的资产保留 EOL (End of Life，生命周期结束)

  • 定义

    • 硬件/软件不再受支持

  • 处理措施

    • 退役或替换
    • 安全处置
    • 防止数据泄露
    • 保留必要的文档和记录 支持结束

  • 定义

    • 厂商停止提供技术支持

  • 处理措施

    • 评估安全风险
    • 制定迁移计划
    • 确保业务连续性

2.6 确定数据安全控制和合规性要求

2.6.1 数据状态

  • 使用中

    • 数据正在被处理
    • 安全要求最高
    • 风险：内存泄露、屏幕截图、打印

  • 传输中

    • 数据在网络中传输
    • 需要加密和访问控制
    • 风险：中间人攻击、窃听

  • 静止

    • 数据存储在设备或介质中
    • 需要加密和访问控制
    • 风险：设备被盗、未授权访问

2.6.2 范围界定和定制

  • 范围界定

    • 识别需要保护的数据
    • 确定保护级别
    • 评估合规要求

  • 定制

    • 根据业务需求调整控制措施
    • 平衡安全性和可用性
    • 确保符合法规要求

2.6.3 标准选择

  • 重要标准

    • ISO (International Organization for Standardization，国际标准化组织) 27001
    • NIST (National Institute of Standards and Technology，美国国家标准与技术研究院) SP 800-53
    • PCI DSS (Payment Card Industry Data Security Standard，支付卡行业数据安全标准)
    • HIPAA (Health Insurance Portability and Accountability Act，健康保险可携带性和责任法案)

2.6.4 数据保护方法

  • DRM (Digital Rights Management，数字版权管理)

    • 功能：保护数字内容版权
    • 作用：控制访问和复制
    • 应用：音乐、视频、电子书

  • DLP (Data Loss Prevention，数据泄露防护)

    • 功能：监控和防止敏感数据泄露
    • 作用：检测、阻止、报警
    • 应用：邮件、USB、云存储、网络流量

  • CASB (Cloud Access Security Broker，云访问安全代理)

    • 功能：监控和控制云服务访问
    • 作用：确保云安全合规
    • 应用：SaaS (Software as a Service，软件即服务)、IaaS (Infrastructure as a Service，基础设施即服务)、PaaS (Platform as a Service，平台即服务)

domain2-20260201203205-66ii3co

posted @ 2026-02-01 20:36  Rodericklog  阅读(1)  评论(0)    收藏  举报