变更管理---正常变更/紧急变更/标准变更

两个原则：

1. 未经授权的变更零容忍
2. 原则上没有回退方案的变更流程是不允许审批通过的

变更和配置的关系：所有的变更是针对配置项的变更

CMDB：配置管理数据库，用于记录所有配置项的变更信息

变更要包含正式的测试过程，所有的变更都要可撤销

数据分配是为了通过成本效益的方式对数据提供保护，是根据数据的秘密性，敏感性和机密性来保护数据的主要方式

高级管理层必须对所有策略问题签字

数据所有者对所属的数据有管理权和负责

管理和减少安全风险：机密性/完整性/可用性

机密性：避免未授权泄漏

机密性--对立面--泄露

机密性的被破坏：受到未经授权的访问/泄露

机密性的保护措施：加密禁止数据，加密传输，访问控制

加密属于预防性控制措施，属于事前措施。

完整性：未经授权的主题不允许修改

完整性--对立面--修改/篡改

散列验证（哈希验证）--md5验证

CRC：传输循环冗余校验

可用性：经过授权的主体呗及时准许和不间断的访问客体

CIA，机密性、完整性、可用性。

IAAAA，识别、认证、授权、审计、 可问责（不可抵赖）、不可否认。

系统操作日志的重要性。日志非常重要。

安全培训的先决条件是意识

必须让员工知道违反信息安全的后果是什么

1、物理安全：阻拦。拒绝  检测  延缓

2、

1、CBC初始向量 确保完整性  CFB初始向量异常重要 加密效率低

2、计数器模式，

3、RSA 与ECC的比较。ECC更快。消耗资源少

4、IPsec 链路加密，

1、应用白名单

2、BYOD  签署AuP  和数据所有权  

1、SAML 网络认证标准。基于web的单点登录解决方案

2、

1、可信平台，对主板上加密处理芯片的描述 TPM芯片。用于存储和管理加密密钥。

2、

1、橘

1、擦除（Erasing），删除

2、消除，clean 复写

3、清除，Purging，介质清除工具

4、净化，Sanitization，物理损坏，介质清除工具

5、消磁

6、销毁，物理销毁

7、公有云，加密

8、

将基于风险的管理概念运用到供应链

1、变更，审批，分级分类分层

2、紧急变更，必须得到授权，在测试环境测试完成后上生产，尤其是打补丁

3、标准变更，高频率，预授权，低风险

4、原则，a、未经授权的变更零容忍。b、没有回退方案的变更是不允许通过的 

5、配置，所有的变更是针对于配置项的变更

6、cmdb，配置管理服务器

7、数据分类，按照成本效益方式对数据进行合理的保护

8、数据分类，商业分类/政府分类

9、

1、加密是一种预防性控制措施

2、机密性是防止数据未经授权的泄漏

3、完整性，没有被未经授权的篡改

4、可用性建立在完整性之上

5、银行的完整性最重要

6、磁盘阵列

7、故障切换配置，cluster，

8、最不安全的就是账号密码验证

9、

风险（RISK）：外部威胁；内部弱点

外部威胁是客观存在，不能控制

威胁是指会造成资产损失、破坏、变更丢失或泄漏的任何行为或非行为，或者是指阻碍访问或阻止资产维护的行为

脆弱性： 资产的弱点或者缺乏防护措施称之为脆弱性

风险=威胁*脆弱性。（风险=概率*影响）： 某种威胁利用脆弱性导致资产损害的可能性；

防护措施/对策是指能消除脆弱性的方法

攻击： 威胁主体对脆弱性的利用

风险管理： 1. 风险评估，识别威胁和脆弱性 ，由管理层决定哪些风险可以接受；定量分析（AL E），定性分析（高中低）

定性风险评估（Delphi）：专家、匿名、多轮、趋同（消除偏见）

风险处置措施： 

1. 风险消减（Risk Mitigation）

2.风险转让（ Risk Assignment）：保险、外包

3.风险接受（Risk Acceptance）：主动接受残余风险（成本太高，不具备成本效益原则）；被动接受

4.风险威慑（Risk Deterrence）：安全摄像机、指示性标语、警告标语

5. 规避风险（Risk Avoidance）： 选择风险低于默认：

人员安全问题

人是信息安全的关键因素，大多数信息安全事件通常来自于组织内部

主要措施； 

1. 签订保密协议（NDA，保护组织的机密信息，不会被以前的员工泄漏）

敬业协议（考试考得少）

2.加强在职人员的安全管理

3.严格控制人员的离职程序（归还资产；删除/禁用账号、权限；）

背景调查： 可以防止雇佣到不合格的人

人员安全管理最佳实践

1. 职责分离（必考），

BCP, 业务连续性 -战略

DR P -运营

BCM（BCP+DRP）ISO 22301

考证可以了解： DRI，BCI， EDRP

BCM：

1. 启动/初始化 initial 设定应急管理组织架构，发生重大事件时，可以快速做出补救，决策；

决策层，指挥层（在现场），执行层（干活的）

2.风险评估（分析组织面临的风险和漏洞）

3.业务影响分析（必考） BIA，

  3.1 哪些系统是重要系统，哪些是不重要的系统（业务中断带来的损失，业务owner确认）

  3.2 系统恢复的优先级是什么（判断业务之间的依赖关系）

  3.3 RTO/RPO恢复的目标值

4.业务连续性恢复策略： 业务的备份策略（温备、热备、冷备、双活）

5. 应急响应&应急管理（人员安全第一）

6.BCP/DRP的制定（预案），发生风险的情况下对业务的影响降至最低；

7.预案是否可以用（测试和演练，drill test）

8. 培训（培训人的安全意识）

9.危机管理（不考），不要说谎

10.沟通（不考）

BCP 被破坏，启用DRP

特殊行业要考虑法律法规

6R模型

风险评估，

（计算题可能会考）可能性评估（概率）ARO（业务每年预期遭受特定灾难的次数）

1， 暴露因子（exposure factor），风险对资产造成损失的程度,例如损失70%的建筑物会被损坏

2.单一损失期望（single loss expentancy SLE）,发生风险后预计造成的货币损失； SLE=AV*EF

3.年度损失期望（Annualized Loss exspentancy ALE）ALE=SLE*ARO

基础设施要做冗余保护

信息安全培训是强制性的

安全政策、标准、流程和指南

Policy： 1. 高级管理层制定且审批;2.强制性的

标准： 强制性的，不能裁剪（PCI DSS， 27001）

指南是option，可选的；说明应当部署哪些安全机制。而不是特定产品的详细配置

流程： detail，工作中也称之为SOP

可接受的使用策略（Acceptable use policy）--Aup //是一个常规文档，类似于行为手册，BYOD，不遵守该策略会导致工作行动警告、惩罚或者解聘

基准（baseline），安全的最低级别要求，关闭哪些端口，共享服务，弱口令账号密码；好处是 统一管理、统一恢复

专利有效保护期20年（商业限制更严格）

版权保护70年

商业秘密： 签署保密协议（NDA，Non-Disclosure Agreement）

进出口限制：个人信息出境数据流管理

（考点）跨境数据流动

1. 如果个人身份信息要跨境使用，必须脱敏

2.企业运营数据不受限制

PCI DSS 支付（强制性标准），只有供应商也有PCI DSS认证，才可以共享数据

供应商管理（SLA）

定期对SLA进行review

法律的分类： 

1. 刑法，犯罪行为

2.民法，民事纠纷

3.