這些知識點你都了解了嗎？#CISSP-D2：資産安全

知識域2：資産安全

内容概述

資産安全知識域涵蓋資訊和資訊資産在其生命周期中的安全保護，包括恰當的收集、分類、處置以及控制措施的選擇和使用。本知識域的重要概念包括資料的所有權、隐私、資料安全控制和相關密碼學的應用。安全和風險管理知識域包含了許多基本的資訊安全概念、原則以及資訊安全管理相關活動和方法。

資産安全知識域在CISSP CBK中包括（源自于：CBK5）：

一、資産安全概念

資料管理必須遵循一套廣泛适用于組織的原則和程式。完善的資料政策可以指導組織僅僅收集所需的資訊、確定這些資訊安全，并且在不需要的時候安全的銷毀它們。

在許多大型組織中，資料治理委員會負責監督資料政策，并概述了不同職能利益相關方的角色和職責。組織應确定如何管理重要資料的建立、轉換和使用。以上這些描述了資料治理。

資料品質涉及資料的完整性和可靠性。在衡量資料品質時，首要考慮的因素包括準确性、貨币性和相關性。

品質保證（QA）：使用規定的标準來評估和發現資料中的不一緻和其他異常情況，并應用資料淨化技術來傳遞最終産品。QA解決了問題：“資料是否符合目的？”

品質控制（QC）：根據内部标準、流程和程式進行資料品質評估，以控制和監視QA所告知的品質。品質控制解決了以下問題：“資料可以使用嗎？”

記賬錯誤：資料輸入錯誤或不正确的轉錄，這類錯誤應該在資料擷取過程中通過QA來減少。

遺漏錯誤：這些遺漏的資料可能導緻不準确的值、資料資産解釋或者資料計算，這類錯誤很難檢測。

資訊資産生命周期模型描述了：一個實體在其生命周期中，所經曆的變化。企業去管理和控制，對他們的資訊通路，是非常重要的。

**二、辨別和分類資訊和資産

**

了解為什麼以及如何對資料進行分類。對資料進行分類是為将安全控制配置設定過程簡化成配置設定給一組客體而不是單個客體。兩個常見的分類方案是政府、軍事分類和商業私營部門分類。

了解政府/軍事分類方案的五個級别和商業/私營部門分類方案的四個分類級别。

了解解除分類的重要性。一旦資産不再被授權保護其目前指定的分類或敏感級别，就需要解除分類。

**三、确定和維護資訊和資産的所有權

了解不同角色之間的差異。資料所有者負責分類、标記和保護資料。系統所有者負責處理資料的系統。業務擁有者負責過程并確定系統為組織提供價值。資料使用者通常是處理資料的第三方實體。管理者根據資料所有者提供的指南授予資料的通路權限。使用者在執行任務時通路資料。托管員有責任保護和存儲資料。

**四、保護隐私

了解PII和PHI。個人身份資訊(PII)是能夠識别個人的任何資訊。受保護的健康資訊(PHI)是特定的人的任何與健康相關的資訊。許多法律法規規定了PH和PHI的保護。

了解隐私如何适合于安全領域。了解隐私的多重含義/定義，為什麼保護隐私很重要，以及工作環境中與隐私相關的問題。

了解GDPR安全控制。GDPR規定了隐私資料的保護方法。GDPR中提到的兩個關鍵安全控制是加密和假名。假名是用化名替換某些資料元素的過程。這使得識别個人身份更加困難。

**五、確定适當的資産保留

了解記錄儲存。記錄保留政策確定資料在需要時保持可用狀态，在不再需要時銷毀它。許多法律法規要求在特定時段内儲存資料，但在沒有正式規定的情況下，組織根據政策确定保留期。審計蹤迹資料需要保持足夠長的時間以重構過去的事件，但組織必須确定他們要調查多久之前的事。許多組織目前的趨勢是通過實作電子郵件短保留政策來減少法律責任。

**六、确定資料的安全控制

了解資料和資産分類的重要性。資料所有者負責維護資料和資産分類，并確定資料和系統被正确标記。此外，資料所有者還提出了在不同的分類資訊中保護資料的新要求，比如在靜止和傳輸中加密敏感資料。資料分類通常在安全政策或資料政策中定義。

**七、建立資訊和資産處置需求

你需要知道如何管理敏感資訊。敏感資訊是任何類型的機密資訊，适當的管理有助于防止未經授權的洩露導緻機密損失。正确的管理包括對敏感資訊的辨別、處理、存儲和銷毀。組織經常遺漏的兩個方面是充分保護儲存敏感資訊的備份媒體，并在其生命周期結束時對媒體或裝置進行淨化。

了解安全控制基線。安全控制基線提供了組織可作為基線應用的控件清單。并非所有基線都适用于所有組織。然而，組織可應用範圍界定和按需定制技術使基線适應自己的需求。

能夠解釋變更控制和變更管理的概念。安全環境的變更可能引入漏洞、重疊、客體丢失和疏忽，進而導緻出現新的脆弱性。面對變更，維護安全的唯一途徑就是系統性的變更管理。

測一測，看看您掌握了多少？（建議您将聯機複制到PC中測試）

D2：資産安全相關測試：

以下源自AIO8：測試題連結（D2）：

https://jinshuju.net/f/2YexMt

以下源自OSG8：測試題連結（第5章）：

https://jinshuju.net/f/AGrmrV