应用安全治理原则
为什么组织要做安全？ 只有业务上发起需求，目标是维持业务流的稳定性
考点：商业论证（业务案例）： 说服领导要投入安全资源要靠业务案例（商业论证），不做这个有什么损失
安全管理计划最有效的方式： 自上而下
公司高级管理层为安全负责，所以制定组织的安全策略
最终用户遵守并执行就可以
考点：变更管理（2-3道题）源自于IT服务管理（ITIL）
变更管理流程分类：
1. 正常变更（normal），提交变更记录，变更影响分析，审批节点
审批需要分级分类分层，变更之前要Build and Test （变更之前做一次测试）
重大变更需要做一次回顾，哪些地方好，哪些地方不足
2. 紧急变更（emergency）：例如勒索病毒，并不能按照正常变更流程走，但仍然必须获得授权，并且先测试，再上生产（尤其是打补丁）
3.标准变更： 高频率，预授权，低风险
变更原则：
1. 未经授权的变更0容忍（负责基础设施的人员）
2. 没有回退方案的变更是不允许审批通过的
配置管理：
1.变更和配置管理之间是什么关系？
所有的变更都是对配置项的改动
CMDB记录所有的变更、故障记录
数据分类：
Public、Internal、Confidential、Restricted Use
数据分类的目的是1. 为了按照成本效益的方式对数据进行保护；2. 如果数据是机密的，那存储数据的设备也需要是机密的；
数据分类的步骤：
1.确定管理人员并定义他们的职责
2.指定如何对信息进行分类和标记的评估标准
3.为每个资源进行分类和添加标签（数据所有者主导这个步骤，但必须有监督人员进行检查，数据的访问控制权限也由owner说了算）。
。。。
安全角色和责任：
高级管理层，对所有的策略问题签字
安全专家：制定和实现安全策略
数据Owner： 最终数据保护的管理者
数据管理员： 执行者，完成上级任务，数据备份、存储
用户： 遵守组织信息安全政策，最小特权原则
审计人员： 做检查和测试、内部控制措施是否落实，审计证据可靠性，第三方提供的报告最具说服力；
考点，应尽关注，应尽职责（Due Diligence）
应尽关注，其实是对管理层的要求
应尽职责，注重执行、落地
