数据角色、采集、位置、维护、保留、残留、销毁

数据所有者与资产所有者、数据所有者可以是一个人

数据托管员是执行者 对数据备份、脱敏执行

不收集数据是防止数据丢失的最好办法

数据销毁最不安全的做法排序

删除--格式化--overwrite-purge-消磁-物理损坏

净化是一个总称

加密擦除--一般指的云上

数据所有者对数据担负最终组织责任

高级管理者对其他资产（如硬件资产）负有最终责任

配置管理系统管理资产

DEVOPS 软件开发平台涉及代码资产也需要管理

数据中心资产需要有准入准出制度 

软件资产清单

物理标签-给人看的

数字水印给系统看的---如DLP系统

敏感数据一定要加密

同态加密--在加密状态下直接使用

去标识化（屏蔽、混淆、令牌化用于信用卡、刷卡机）

匿名化 特征 不可逆  ，就是不能恢复到原始状态

假名化  需要识别原始数据

令牌化-用一组不敏感的数据替代敏感数据元素的过程    （不能逆向还原为原始数据）

NIST 800-34

BIA业务影响分析：数据中心遭到破坏后哪些业务是优先恢复的。三个输出：关键业务、明确优先级、RTO和RPO的要求

业务连续性策略， 满足法律法规的要求

应急架构

BIA 在这一步计算风险

制定恢复策略：依据是什么（就是依据BIA分析的结果）

BCP 应急预案

恢复演练

DRI 国际协会的业务连续性计划人员专业实践

1.项目启动与管理

2.风险评估与控制 RA

3.业务影响分析 BIA

4.制定业务持续策略（基于BIA的结果）

5 应急响应与措施， 任何情况下保护生命安全，

6.编制BCP计划 制定预案

6R模型 1.Reud..     2.响应 3.恢复基础设施  4.业务恢复  5.

# 3.10 管理信息系统生命周期

1、利益相关方的需求。

2、需求分析。系统的需求规范，也称为功能性需求和非功能性需求。

3、架构设计。设计系统蓝图

4、软件开发阶段。

5、集成阶段。持续集成CI：是指所有新代码在开发人员编写玩出立即集成到系统其他部分。可以尽早且经常的识别错误，极大的提高了软件开发效率。

6、验证和确认。确认Verification：符合规范要求标准，技术角度出发；验证Validation：从用户的角度出发，决定软件是否满足用户要求。

7、过度和部署。持续交付CD

# 3.9 设计场所和实施安全控制措施

1、服务机房和数据中心。

2、数据中心安全。尾随：采取安全门；发射安全：法拉第笼

3、介质存储设施。

4、证据存储。数据存储系统要离线，存储所有数据的哈希

5、受限区和工作安全。（1）SCIF敏感隔间

6、电力。（1）浪涌保护器（2）电路或线路调节器，更加先进的浪涌保护器，在数据中心使用。（3）不间断电源，UPS（4）发电机。

7、噪声。光纤比较具备良好的电磁干扰能力

8、温度、湿度和静电。（1）温度（15-32C）（2）冷、热通道是大型服务器机房保持最佳工作温度的一种方式。（3）湿度：20%-80%。

9、水的问题。水电不相容

10、火灾预防。

11、喷火灭火系统。（1）湿管系统（2）干管系统。惰性气体先出来，再出水（3）密集洒水系统：不适用数据系统

12、预响应系统。干管系统的变体，分为两级检测和释放机制。（1）检测到可能的火灾因素，先被允许注水（2）热量足够的时候，才会释放出水（进入第二阶段），如果在喷淋头打开之前，火势已经被扑灭，可以手动复位。  适合人机共存环境的喷水灭火系统

13、气体消防系统。气体灭火堆

# 3.8 将安全原理运用到场所与设施的设计上

1、安全设施计划 secure facility plan。关键路径分析：找出任务关键型的应用程序、流程、运营以及所有必要的支撑元素间的关系。

2、安全实施计划参与物理设施的设计；基于分层防御模型（纵深防御）。

3、站点选择。工业伪装（掩盖和伪装）

4、设施设计。人员的生命安全始终是第一位的.

5、通过环境设计预防犯罪。这里主要是针对物理防御。有三个策略（1）自然环境访问控制。（2）自然环境监视（3）自然环境领域加固。但是上述不能替代实际措施。

6、站点规划过程。

7、站点建设的考虑。（1）应急开关。（2）内部隔断（3）数据中心不应该建在顶层（火灾）和底层（水灾）

8、为环境设计物理安全时，需要注意各类控制功能顺序。威慑、拒绝、检测、延迟、判定、决定

# 3.7 理解密码分析的攻击方法

1、针对密码学的攻击。主动攻击和被动攻击。被动攻击难以防范。

2、暴力攻击。彩虹表是预先计算出来的哈希值。密码加盐是加了随机数的哈希值，可以防止彩虹表。盐值要单独存放，不能和密码一起存放。每个用户拥有唯一的盐值。

3、唯密文攻击

4、已知明文攻击。拥有多条信息的明文和相应的密文，希望寻找加密信息的密钥。

5、选定明文攻击。攻击者可以选择被加密的明文查看对应的密文，了解整个加密原理

6、选择密文攻击。选择要解密的密文，并获得解密后的明文

7、实施攻击。（1）侧信道攻击，通过查看事实推断加密密钥的值；（2）故障注入，引入错误（3）计时攻击（4）中间人攻击，拦截消息（5）hash传递攻击：任然常见于NTLM （5）Kerberos漏洞利用，（6）勒索软件，频繁的备份数据是最有效的方法，或者定期识别弱点。

# 3.6 确定和选择加密解决方案、

1、保密性。保密性通常使用对称加密，完整性、身份验证和不可否认性通常使用非对称性。

2、完整性。通常使用消息摘要来实现，这个摘要叫做数字签名，通过私钥来加密

3、身份认证。确保不可否认性等

4、密钥空间。密钥空间越大，表示不同密钥的数值越多，随机性越大。比如AES 256

5、科克霍夫原则。算法应该是公开的，只要密钥不被人掌握，那么加密系统就是安全的。一般商业领域加密算法都是公开的。

6、单向函数。比如hash。

7、单次密本。一次性密码本是一种完美的加密方案，一旦实现，往往是无法破解的。也就是量子加密 。单次密码本必须要处于物理保护之下，以防泄密。密钥必须至少与被加密的消息一样长。

8、隐写术。将数据隐藏在另一种介质中隐匿数据的方法。

9、块密码和流密码。块密码是对块加密， 流密码是对每个字符进行加密。

10、密码生命周期。除了单次密码本以外，所有密码系统都有使用年限的。

11、对称密码学。（1）相同的密钥（2）加密速度快，适用于批量加密。（3）弱点：密钥分发是主要的问题；对称密钥加密法不提供不可否认性

12、对称算法。（1）IDEA算法是PGP的加密算法。（2）Blowfish，不需要许可证，被许多商用软件产品和操作系统采用。（3）RC4、RC5和RC6，常用于TLS。（4）AES

13、对称密钥管理（1）线下分发（2）公钥加密（3）Diffie-Hellman密钥交换算法。

14、非对称算法。加密的key和解密的key是不一样的。非对称算法的密钥所需的少，只需要2*n，而对称密钥的数量是n*(n-1)/2

15、优点：（1）非对称加密提供了完整性、身份验证和不可否认性。（2）ECC具有速度快、密钥短特点

16、DH算法。解决对称密钥安全分发的问题，不提供加密和数字签名功能。ELGamal是对DH算法的拓展，可以数字签名、加密和交换密钥，但是问题很慢

17、量子密码。用量子比特的多维量子位取代数字计算的二进制。（1）量子霸权，可以很轻松的解决当前RSA、DH算法（2）量子密钥分发

18、量子密钥分发，量子具有不可观测性，无条件的安全，量子密钥分发的本质是一种一次性密码本。

19、hash函数。可以计算消息摘要，执行数字签名算法，确保完整性。 （1）输入任意长度，输出任意长度（2）在任何输入值要相对容易

20、SHA-1算法。联邦政府是SHA-3。

21、RIPEMD消息摘要。在比特币加密货币中执行。

22、数字签名的过程。对消息摘要用发送者私钥签名的过程，生成数字签名。该过程实现了完整性、身份证认证和不可否认性。不提供任何保密性保护（可以用接受者者的公钥加密）。

23、HMAC。基于哈希的消息身份认证码。可以保证消息在传输过程中的完整性、但是不提供不可否认性。依赖于共享密钥，可以提供完整性。

24、公钥基础设施PKI。CA：发证机构；RA：注册机构。

25、证书的生命周期。（1）注册：向CA注册证明自己的身份，这个过程叫做注册。通过CSR提供自己的公钥，CA会创建一个x.509证书，内含身份识别信息和一个公钥拷贝。CA随后会在证书上用CA的私钥写上数字签名，并且把签名的数字证书副本给你。（2）验证，用CA的公钥检查证书的数字签名，接着检查有效期。并且对照证书注销列表CRL和在线状态协议OSCP（实时的查看），确保证书未被注销。（3）证书装订。是OCSP的扩展，减轻原始协议给fazhe

# 3.5 评估并降低安全架构、设计和解决方案方面的漏洞

1、基于客户端的系统。漏洞会使用户及数据和系统面临攻击和破坏的风险。比如Java Applet程序（1）本地缓存。是临时存储客户端以供将来重复使用的任何内容。比如ARP缓存中毒，或者DNS缓存中毒（hosts）。（2）Internet文件缓存。

2、基于服务端。

3、数据库系统。（1）原子性、一致性、隔离性和持久性。ACID模型。（2）术语。候选键、主键（从候选键中选出的唯一标识表中的记录的键）、外键（强制在两个表之间建立关系）。强制性的参照完整性，确保数据的一致性和完整性。

4、数据库系统安全。（1）聚合，核心是收集，通过将大量低级别安全项目或低价值的项目，聚合得到高价值信息。（2）推理，推理有分析，利用人类思维的演绎能力，而不是数据库平台的原始数据能力。（3）解决办法：

5、数据挖掘和数据仓库。利用相关性分析，获得潜在的相关信息。

6、数据分析。从大量信息中提取有用的信息

7、工业控制系统。PLC，HMI，ICS往往没有内置的身份验证和加密机制

8、基于云的系统。IaaS（操作系统以下供应商负责，以上用户负责）、PaaS（操作系统和运行环境由供应商负责）、SaaS（全部都是由供应商负责，用于只需要用）。要熟悉各个云的系统

9、基于云的系统。云部署模型影响云资产的责任分配。（1）公有云  （2）私有云 （3）混合云

10、云计算安全。所有云计算都应该加密（同态加密），加密擦除的方式是删除加密密钥。云租户不应使用云服务商掌握的加密措施。

11、XaaS。一切即服务。

12、分布式系统。主要问题，未经授权的访问等。

13、物联网IoT。物联网设备连接到互联网时的安全性不足是其主要弱点，因为许多物联网设备没有先进的身份验证、加密和其他安全机制。3个哑路由器体系：把物联网隔离在一个网络中。

14、微服务。（1）最小化的容器化形式，微服务在容器化环境中运行。（2）松散的、松散耦合解耦合的

15、容器化。理解容器化和虚拟机的区别

16、无服务架构。和PaaS不同，整个执行环境被调用起来承载一个应用程序。

17、嵌入式系统。通常是静态系统

18、静态系统。目的是防止或者用户实时可能导致安全功能下降。比如VDI也是静态系统

19、高性能计算。边缘计算：数据尽可能和计算资源靠近。雾计算：通常用于工业物联网部署，连接依赖传感器，雾计算的处理在局域网中。

20、虚拟化。（1）快照。可以快速的恢复

21、基础设施即代码。IaC，基础设施云化，要向软件和代码那样堆硬件配置实施管理。

22、不可变架构。服务器一旦部署不可变更，只能替换不能更新。

# 3.4 理解信息系统的安全能力

1、硬件和固件系统安全。嵌入式硬件和固件安全功能要解决两个主要问题：（1）对系统组件的信任（2）保护静态、传输和使用中的数据。

2、可信平台模块 TPM。

3、硬件安全模块。

4、内存保护。

5、meltdown和spectre。这是两个CPU的内存错误。

# 3.3. 基于系统安全要求选择控制措施

1、性能和功能需求。

2、数据保护要求。数据保护的两个关键因素是数据的关键性（BIA）和敏感性。

3、接口要求。高低敏感数据传输，要进行适当的净化

# 理解安全模型的基本概念

2、Brewer and Nash模型（中国墙）。防止利益冲突。

# 3.1 使用安全设计原理来研究、实施与管理工程过程

1、安全设计原则。系统开发的每个阶段都应该考虑安全性。在信息安全早期阶段就要考虑安全。

2、封闭式系统和开放式系统。封闭系统更加安全。

3、开源和闭源。开源依赖审查和评议改进产品。 如果发现漏洞，应该主动报告厂商。

4、威胁建模。前置到设计阶段

5、最小特权。工作所需的最小权利

6、纵深防御。多层的解决方案。

7、安全默认设置。讲到默认设置，通常不是安全的， 要记得修改默认参数。

8、失效安全。失效开放和失效关闭。

# 2.6 确定数据的安全控制和合规要求

1、静态数据。加密是静态数据常见的安全控制。加密可以应用于整个存储卷，称为全盘加密。1（1）可信平台模块TPM，集成在计算机硬件中的微控制器芯片，提供一个加密处理器，系统开启的时候输入密码 （2）自加密硬盘，可以自动加密和解密数据，无需额外的加密软件。

2、传输中的数据。也要加密，TLS（HTTPS），VPN等。

3、使用中的数据。要验证和授权，核心要做做访问控制，要保存好凭据，防止重放攻击（时间戳、序列号）。

4、使用安全基线。安全基线是一个基点、确保了最低的安全配置，并且保持一致。

5、按需定制和范围界定。对基线进行微调。（1）范围界定。考虑哪些应用安全控制，以及需要保护哪些资产的过程。（2）定制是修改安全控制列表以满足组织的特定特征和要求的过程，也可以叫做裁剪。

6、标准选择。

7、数字版权管理。DRM许可证，是一个小文件。

8、DLP数据防泄漏。第一种是基于主机的。第二种是基于网络的（数据要做好分类和标签，要有数字水印）

9、云访问安全代理CASB。对访问的过程要进行监控。

# 2.5 确保适当的资产保留期

1、数据保留策略。 需要有数据保留的政策。最好的方法是分离具有强制保留要求的特定数据集。

2、EOL and EOS。生命周期终止EOL，

# 2.4 管理数据生命周期

1、数据生命周期。收集、存储、使用、共享、保留、销毁

2、数据所有者。是最终的最终责任人、负责分类、决定谁有权访问

3、资产所有者。通常也是数据所有者

4、数据处理者与数据控制者。任何处理数据的系统都可以被称之为数据处理者。

5、数据托管员。托管本质就是干活的，执行者，负责确保CIA，对数据进行备份

6、数据管理员。根据Owner的要求，授予权限，通常使用基于角色的访问控制。将用户添加到用组。

7、用户和主体。主体是访问一个对象（文件或者文件夹）的任何实体。主体可以是用户、程序、进程、服务、计算机或者任何可以访问资源的其他东西。

8、数据收集。防止数据丢失的最简单办法就是不收集数据

9、数据位置。数据位置是指数据备份或数据副本的位置。

10、数据维护。数据维护是指在数据的整个生命周期内组织和维护数据的能力

11、数据保留。法规 NIST SP 800-53 要求是3年，HIPAA要求6年，拥有数据越少，安全损失越少。

12、数据残留。数据删除不充分导致的信息泄露。

13、数据销毁。按照安全等级排序（1）删除 （2）格式化 （也是不安全，只是把数据分区表给抹掉）（3）overwrite覆写 clearing（4）擦除清除purge，使用专门的工具，对硬盘的数据进行销毁，目的是二次利用重复利用。（5）消磁，只对HDD起作用 （6）物理销毁，彻底销毁

14、介质净化指南 NIST SP 800-88 ，净化sanitization是一个总称

15、固定硬盘，最好的办法就是销毁

16、加密擦除。在

# 2.3 安全配置信息和资产

1、信息和资产所有权。数据所有者堆数据担负最终责任。数据所有者可以是高管、总裁或者部门主管。同样高级管理员对其他资产负最终责任。

2、资产管理。配置管理系统CMS。ITIL v3资产与配置管理。

3、硬件资产。处理设备之前，员工会对其进行净化（sanitize）。净化设备会删除所有数据，如果还要用，那就要注意不能最极端的方法。 

4、软件资产清单。软件资产是操作系统和应用程序，

# 2.2 建立信息和资产的处理要求

1、标记敏感数据。水印是给系统看的，物理标签是给人看的。根据数字水印可以用DLP阻拦

2、处理敏感数据。处理值得是介质在有效期内的安全传输，加密是一种好办法.

3、存储敏感数据。放在云上也要加密。新的加密方法 同态加密（不需要解密）。数据的三种状态：静止状态、传输状态、使用状态（访问控制）。数据备份也是要考虑的事情。

4、解除分类。将资产的指定分类改为较低敏感度的过程。（1）数据分类是一个需要详细文档记录的过程

5、去标识化。删除可用于识别个人身份信息的信息，即个人身份信息PII的过程。去标识化用于保护敏感数据的机密性。具体方法有：屏蔽、混淆、令牌化（一般用于信用卡，比如用另外的ID替换信用卡号）、加密

6、匿名化。不可逆的，随机屏蔽是一种有效的数据匿名化方法。匿名化是删除所有相关数据的过程，匿名无法还原到原始状态。

7、假名话。一般是适用于GDPR要求不严格的要求，假名化可以恢复成原来

8、令牌化。经常用于信用卡交易，与加密不同的是，令牌不能被逆向过程恢复成原始数据的值，POS机不能知道信用卡号了。

# 2.1 识别与分类信息和资产

1、对信息和资产进行识别和分类。（1）创建到销毁（2）第一部要对根据数据分类政策进行信息和资产识别分类

2、定义敏感数据。机密的、专业的、受保护的。PHI、PII都是个人隐私，当信息泄露的时候，72小时内通知到个人。

3、PHI健康信息、PII、专有数据（知识产权、商业秘密）企业要保护自己，最好的办法要加密。

4、数据分类。要有成本效益的保护方法，没有正确的分类，那么保护方法就会有误

5、机密、敏感、私有数据（软件代码、员工薪资等）、专业数据、公共数据

6、NIST SP 800-60 信息根据类型进行归类 

7、资产分类。资产分类与数据分类相匹配。数据分类是资产的所有者；CIA的维护、数据的维护和管理是数据托管人。