[CISSP备考] Domain2 资产安全

Domain2 资产安全

• 识别和分类信息和资产
  • 数据分类[高频]
    • 按敏感度分类
      • 机密/绝密：最高敏感度，泄露会造成严重损害
        • 示例：国家机密、商业秘密、客户信用卡信息
      • 内部使用 ：仅限内部员工访问
        • 示例：内部政策、员工信息、财务报表
      • 敏感 ：需要特殊保护但不如机密数据敏感
        • 示例：客户联系信息、营销数据
      • 公开 ：可以公开访问的信息
        • 示例：产品目录、公开网站内容
    • 按关键性分类
      • 关键
      • 重要
      • 一般
    • 分类目的
      • 合理分配安全资源，确保适当的保护措施
    • 根据数据的敏感性和重要性将数据分为不同等级，以便实施适当的保护措施。
  • 资产分类
    • 有形资产 ：物理存在的资产
      • 示例：服务器、笔记本电脑、移动设备、存储介质
    • 无形资产 ：非物理存在的资产
      • 示例：知识产权、品牌声誉、客户关系、数据
• 建立信息和资产处理要求
  • 为不同分类等级的信息和资产制定处理标准和程序，确保它们在整个生命周期中得到适当保护。
  • 处理要求内容
    • 访问控制
      • 谁可以访问
      • 访问权限级别
      • 访问审批流程
    • 存储要求
      • 存储位置（本地、云端、异地）
      • 加密要求
      • 存储期限
    • 传输要求
      • 传输方式（加密通道、安全协议）
      • 传输限制（禁止通过不安全渠道传输）
      • 传输记录
    • 使用要求
      • 使用场景和限制
      • 显示要求（屏幕保护、清洁桌面政策）
      • 复制和打印限制
    • 销毁要求
      • 销毁方法（物理销毁、数字擦除）
      • 销毁记录
      • 销毁验证
  • 处理标准
    • 机密
      • 访问控制:严格审批，最小权限
      • 存储:加密存储，访问日志
      • 传输:加密传输，限制传输
      • 使用:仅在安全环境中使用
      • 销毁:物理销毁，验证擦除
    • 内部
      • 访问控制:部门内访问
      • 存储:标准存储
      • 传输:内部网络传输
      • 使用:正常使用
      • 销毁:标准擦除
    • 敏感
      • 访问控制:需要身份验证
      • 存储:基本加密
      • 传输:加密传输
      • 使用:限制复制
      • 销毁:安全擦除
    • 公开
      • 访问控制:无限制
      • 存储:公开存储
      • 传输:任意传输
      • 使用:任意使用
      • 销毁:无需特殊处理
  • 处理程序
    • 文档化 ：将处理要求文档化，确保员工可以查阅
    • 培训 ：对员工进行培训，确保他们理解处理要求
    • 审计 ：定期审计处理要求的执行情况
    • 更新 ：根据业务变化和新的威胁更新处理要求
• 安全地提供信息和资产
  • 信息和资产所有权[高频]
    • 数据所有者
      • 对特定数据集的安全负最终责任，制定分类和处理策略
      • 例如：财务部门负责人是财务数据的所有者
      • 责任
        • 确定数据分类
        • 制定访问控制策略
        • 批准数据访问请求
        • 确保数据符合法规要求
        • 参与数据泄露响应
    • 数据控制者
      • 决定数据处理目的和方式的实体
      • 例如：公司决定如何处理客户数据
    • 数据保管者
      • 负责实施具体的安全控制措施，执行数据所有者的决策
      • 例如：IT管理员实施数据加密和访问控制
      • 责任
        • 实施安全控制措施
        • 管理访问权限
        • 监控数据访问和使用
        • 执行数据备份和恢复
        • 维护数据完整性
    • 数据处理者
      • 代表控制者处理数据的第三方
      • 例如：云服务提供商存储和处理公司数据
    • 用户/主体
      • 访问和使用数据的个人或系统
      • 例如：员工访问工作所需的客户数据
  • 资产清单
    • 记录组织所有资产的详细列表，是资产管理的基础。
    • 资产清单内容
      • 资产类型和描述
      • 资产标识符（序列号、MAC地址等）
      • 资产位置
      • 资产所有者
      • 资产分类
      • 资产价值
      • 资产状态（在用、存储中、已报废）
  • 资产管理
    • 管理资产生命周期的过程，包括获取、使用、维护和处置。
    • 资产生命周期
      • 获取 ：采购或开发资产
      • 部署 ：将资产投入使用
      • 使用 ：资产正常使用期间
      • 维护 ：维护和升级资产
      • 退役 ：资产停止使用
      • 处置 ：安全地处置资产
    • 资产管理实践
      • 资产跟踪 ：跟踪资产的位置、状态和使用情况
      • 资产维护 ：定期维护和更新资产
      • 资产保护 ：实施适当的安全控制措施
      • 资产处置 ：安全地处置资产，确保数据被擦除
  • 资产清单的重要性
    • 了解组织拥有哪些资产
    • 支持风险评估和业务连续性规划
    • 满足合规要求
    • 支持资产跟踪和管理
  • 资产清单维护
    • 定期更新（如每季度）
    • 资产获取时立即添加
    • 资产处置时及时移除
    • 定期审计确保准确性
• 管理数据生命周期[高频]
  • 数据角色
    • 数据所有者 ：对数据安全负最终责任
    • 数据控制者 ：决定数据处理目的和方式
    • 数据保管者 ：实施安全控制措施
    • 数据处理者 ：代表控制者处理数据
    • 用户/主体 ：访问和使用数据
  • 数据收集
    • 数据收集原则
      • 合法性 ：确保数据收集符合法律法规要求
      • 透明性 ：告知数据主体数据收集的目的和方式
      • 同意 ：获得数据主体的明确同意（适用于个人数据）
      • 最小必要 ：只收集必要的数据，不多收集
    • 数据收集方法
      • 直接收集 ：从数据主体直接获取
      • 间接收集 ：从第三方获取
      • 自动收集 ：通过系统自动收集（如网站 cookies）
    • 数据收集的安全考虑
      • 数据最小化 ：只收集必要的数据
      • 目的限制 ：数据收集应限于特定目的
      • 数据质量 ：确保收集的数据准确、完整
  • 数据位置
    • 不同国家/地区有不同的数据保护法规
      • GDPR (General Data Protection Regulation，通用数据保护条例)
      • CCPA (California Consumer Privacy Act，加州消费者隐私法案)
      • 中国《个人信息保护法》
    • 跨境数据传输
      • 必须符合源国和目的国的法律要求
      • 某些数据必须存储在特定国家境内（数据本地化要求）
      • 数据从一个国家/地区传输到另一个国家/地区
    • 数据位置的考虑因素
      • 合规要求 ：不同国家/地区对数据存储有不同的法规要求
      • 数据主权 ：某些国家要求数据必须存储在本国境内
      • 访问需求 ：数据存储位置应考虑谁需要访问这些数据
      • 安全风险 ：不同地区的安全风险和基础设施可靠性
    • 数据本地化
      • 要求数据必须存储在特定国家/地区境内的政策
      • 中国的《网络安全法》要求关键信息基础设施的数据必须存储在中国境内
      • 影响 ：可能增加合规复杂度和成本，但有助于保护国家数据安全
  • 数据维护
    • 数据维护的目标
      • 确保数据的准确性
      • 确保数据的完整性
      • 确保数据的可用性
      • 确保数据符合业务需求
    • 数据维护活动
      • 数据清理 ：删除过时或不准确的数据
      • 数据更新 ：更新数据以保持其准确性
      • 数据备份 ：定期备份数据以防止丢失
      • 数据迁移 ：将数据从一个系统迁移到另一个系统
      • 数据集成 ：将来自不同来源的数据整合
    • 数据质量
      • 数据满足使用要求的程度
      • 维度 ：准确性、完整性、一致性、时效性、相关性
      • 重要性 ：高质量的数据支持更好的业务决策
  • 数据保留
    • 数据保留策略
      • 规定数据应保留多长时间的政策
      • 制定依据
        • 法律法规要求（如税务记录保留期限）
        • 业务需求（如客户服务需要）
        • 合同要求
        • 诉讼考虑（如可能的法律纠纷）
    • 数据保留期限
      • 永久 ：某些数据需要永久保留（如公司章程）
      • 长期 ：3-7年（如财务记录）
      • 中期 ：1-3年（如客户交易记录）
      • 短期 ：少于1年（如临时项目数据）
    • 数据保留的安全考虑
      • 存储安全 ：确保保留数据的存储安全
      • 访问控制 ：限制对保留数据的访问
      • 定期审查 ：定期审查保留的数据，删除不再需要的数据
  • 数据残留
    • 数据在不再需要或应该被删除后仍然存在的情况
    • 数据残留的风险
      • 数据泄露风险，数据可能被恢复
      • 违反数据保护法规
      • 隐私侵犯
    • 数据残留的原因
      • 不完全删除 ：删除文件但数据仍在存储介质上
      • 备份 ：数据可能存在于备份中
      • 缓存 ：数据可能存在于系统缓存中
      • 存储介质 ：旧的存储介质未正确销毁
    • 数据残留的缓解措施
      • 安全删除 ：使用专业工具彻底删除数据
      • 物理销毁 ：对存储介质进行物理销毁
      • 数据清理 ：定期清理系统和备份
      • 监控 ：监控数据残留情况
  • 数据销毁
    • 销毁方法
      • 物理销毁
        • 粉碎 ：使用碎纸机粉碎纸质文档
        • 焚烧 ：焚烧纸质文档和存储介质
        • 消磁 ：使用强磁场消除磁性存储介质上的数据
        • 捣碎 ：物理破坏存储介质（如硬盘）
      • 数字擦除
        • 低级格式化 ：重写存储介质的所有扇区
        • 数据覆写 ：使用随机数据多次覆写存储位置
        • 加密擦除 ：销毁加密密钥，使数据无法解密
      • 逻辑删除
        • 不安全，容易恢复
    • 数据销毁标准
      • NIST 800-88 ：美国国家标准与技术研究所的数据销毁指南
      • DoD 5220.22-M ：美国国防部的数据销毁标准
      • 行业特定标准 ：如金融行业的PCI DSS要求
    • 数据销毁验证
      • 物理验证 ：检查物理销毁的结果
      • 数字验证 ：使用工具验证数字擦除的有效性
      • 文档记录 ：记录销毁过程和结果
  • 数据生命周期总结
    • 收集：获取数据
      • 合法性、最小必要、同意
    • 存储：保存数据
      • 加密、访问控制、备份
    • 使用：处理和分析数据
      • 访问控制、使用限制
    • 共享：与他人交换数据
      • 访问控制、传输加密
    • 维护：更新和管理数据
      • 数据质量、备份
    • 保留：存储必要数据
      • 存储安全、定期审查
    • 销毁：删除不再需要的数据
      • 安全删除、验证
• 确保适当的资产保留[高频]
  • 生命周期结束 (End of Life, EOL)
    • 产品或服务的制造商不再生产或销售该产品
    • 处理措施
      • 退役或替换
      • 安全处置
      • 防止数据泄露
      • 保留必要的文档和记录
  • 支持结束 (End of Support, EOS)
    • 产品或服务的制造商不再提供任何支持，包括安全更新
    • 处理措施
      • 评估安全风险
      • 制定迁移计划
      • 确保业务连续性
  • 资产保留策略
    • 评估 ：定期评估资产的EOL/EOS状态
    • 规划 ：为即将EOL/EOS的资产制定替换计划
    • 预算 ：为资产更新和替换分配预算
    • 风险评估 ：评估继续使用EOL/EOS资产的风险
  • EOL/EOS管理流程
    • 识别 ：识别即将EOL/EOS的资产
    • 评估 ：评估继续使用的风险和影响
    • 计划 ：制定替换或升级计划
    • 执行 ：实施替换或升级
    • 验证 ：验证新资产的功能和安全性
  • 安全考虑
    • EOL/EOS资产的风险 ：不再接收安全更新，可能存在未修补的漏洞
    • 缓解措施
      • 隔离EOL/EOS资产
      • 强化剩余安全控制
      • 加快替换计划
      • 考虑使用第三方支持服务（如果可行）
• 确定数据安全控制和合规性要求
  • 数据状态[高频]
    • 使用中
      • 数据正在被系统或用户访问和处理
      • 安全要求最高：内存加密、访问控制、会话管理
      • 风险：内存泄露、屏幕截图、打印
    • 传输中
      • 数据在网络或设备之间传输
      • 需要加密和访问控制：传输加密、安全协议、VPN
      • 风险：中间人攻击、窃听
    • 静止中
      • 数据存储在物理或数字存储介质中
      • 需要加密和访问控制：存储加密、访问控制、物理安全
      • 风险：设备被盗、未授权访问
    • 安全控制措施
      • 使用中
        • 内存加密、应用级访问控制、会话超时、屏幕保护
      • 传输中
        • TLS/SSL 加密、VPN 连接、SSH 协议、数字签名
      • 静止中
        • 磁盘加密、数据库加密、访问控制列表、物理安全措施
  • 范围界定和定制
    • 范围界定
      • 确定安全控制措施的适用范围
      • 考虑因素
        • 资产的重要性
        • 法规要求
        • 业务需求
        • 风险评估结果
    • 定制
      • 根据组织的特定需求调整安全控制措施
      • 考虑因素
        • 组织规模和结构
        • 业务类型和流程
        • 现有安全控制
        • 技术环境
  • 风险评估与控制选择
    • 风险评估 ：识别和评估风险
    • 控制选择 ：根据风险评估结果选择适当的控制措施
    • 成本效益分析 ：评估控制措施的成本和效益
    • 实施计划 ：制定控制措施的实施计划
  • 数据保护方法[高频]
    • DRM (Digital Rights Management，数字版权管理)
      • 功能：保护数字内容版权
      • 作用：控制访问和复制
      • 应用：音乐、视频、电子书
    • DLP (Data Loss Prevention，数据泄露防护)
      • 功能：监控和防止敏感数据泄露
      • 作用：检测、阻止、报警
      • 应用：邮件、USB、云存储、网络流量
    • CASB (Cloud Access Security Broker，云访问安全代理)
      • 功能：监控和控制云服务访问
      • 作用：确保云安全合规
      • 应用：IaaS (Infrastructure as a Service，基础设施即服务)、PaaS (Platform as a Service，平台即服务)、SaaS (Software as a Service，软件即服务)
  • 标准选择
    • 安全标准
      • 国际标准 ：ISO 27001/27002、ISO 27701（隐私）
      • 国家标准 ：NIST SP 800系列（美国）、GB/T 22080（中国）
      • 行业标准 ：PCI DSS（支付卡行业）、HIPAA（医疗行业）、GDPR（欧盟）
      • 框架 ：COBIT、SABSA、NIST网络安全框架
    • 标准选择考虑因素
      • 行业要求 ：某些行业有特定的标准要求
      • 合规需求 ：满足法规和合同要求
      • 组织规模 ：不同规模的组织适合不同的标准
      • 成熟度水平 ：组织的安全成熟度水平
      • 资源约束 ：实施标准所需的资源
    • 标准实施
      • 差距分析 ：评估组织当前状态与标准要求的差距
      • 实施计划 ：制定标准实施计划
      • 培训 ：对员工进行标准相关培训
      • 审计 ：定期审计标准的实施情况
      • 认证 ：考虑获得标准认证（如ISO 27001认证）