【CISSP备考】第二章-资产安全

资产识别和分类

资产安全的第一步是识别和分类信息和资产。组织常在安全策略中包含分类定义，然后人员根据安全策略要求适当的标记资产。这里所说的安全资产包括敏感数据，用于处理他们的硬件和用于保存他们的介质。

定义敏感数据：

敏感数据时任何非公开或非机密的信息，包括机密的、专有的、受保护的或因其他组织的价值或按照现有的法律和法规而需要组织保护的其他类型的数据。

1、个人身份信息（PII）

2、受保护的健康信息（PHI）

3、专有数据。

定义数据分类：

组织通常在其安全策略或单独的数据策略中包含数据分类。数据分类可识别数据对组织的价值，对于保护数据的保密性和完整性至关重要。

政府分类：绝密、秘密、机密、未分类

非政府分类：机密/专有、私有、敏感、公开

定义资产分类：

资产分类应与数据分类相匹配，例如：如果一台计算机正在处理绝密资产，那么这台计算机也应该被归类为绝密资产。

确定数据的安全控制：

定义了数据和资产分类后，重要的是要定义安全需求并且识别安全控制以满足这些安全需求

理解数据状态：

保护所有状态（包括静止、运动和使用）的数据时很重要的

静态数据：静态数据是存储在系统硬盘、外部USB驱动器、SAN（存储区域网络）和备份磁盘等介质上的任何数据。

动态数据：传输中的数据（有时称为动态数据）是通过网络传输的任何数据。

使用中的数据：使用中的数据指应用程序使用内存或者临时存储缓冲区中的数据。

管理信息和资产：

管理敏感数据的一个关键目标就是阻止数据泄露。

1、标记敏感数据和资产：

标记敏感信息即添加标签：确保用户可以方便的识别任何数据的分类级别。

2、处理敏感信息和资产

处理指的是介质在有效期内的安全传输。

3、存储敏感数据

敏感数据应以防止它收到任何损失类型的影响的方式存储。

4、销毁敏感数据

组织不再需要敏感数据时

5、消除数据残留

数据残留是擦除后仍遗留在介质上的数据，通常将硬盘驱动器上的数据称为剩磁。

使用系统工具删除数据通常会将许多数据保留在介质上，并且很多工具会很容易的取消删除操作

消除数据残留的一种方法是都是用消磁器，消磁器产生一个重磁场，它在磁性介质（如传统硬盘驱动器、磁带和软盘驱动器）中重新调整磁场，使用一定功率的消磁器可靠的重写这些磁场，并且去除数据剩磁，然而它们仅在磁性介质有效

SSD采用集成电路代替旋转磁盘上的磁通，因此，消磁SSD不会删除数据，净化SSD的最佳方法是销毁

保护SSD的另一种方法是确保存储的所有数据被加密，如果净化方法无法去除所有数据残留物，这种方法会使剩余数据不可读。

销毁数据常见术语：

擦除：擦除介质只针对文件执行删除操作，选择一个文件或者整个介质。删除或者移除过程只删除数据的目录或者目录链接，实际数据保留在驱动器上，取决于驱动器的大小，多少空闲空间以及若干其他因素，当新文件写入介质时，最终覆盖擦除的数据

清理：清理或者覆盖操作，以便重新使用介质，并且确保攻击者不能使用传统恢复工具来恢复已经清理的数据。

清除：清除是一种更强烈的清理形式，为在不太安全的环境中重用介质做准备。它提供了使用任何已知方法都无法恢复原始数据的级别。消除过程将多次重复清除，并且可与另一种方法如消磁组合以完全去除数据

消磁：消磁产生一个强磁场，在消磁过程中擦除某些介质上的数据，技术人员通常使用消磁方法从磁带去除数据，目的是使磁带恢复到原来的状态。消除不影响光学CD，DVD或者SSD

销毁：销毁是介质生命周期的最后一个阶段，是最安全的介质净化方法，当销毁介质时，确保介质不能被重用或修复以及不能从被销毁的介质中提取数据时很重要的。销毁方法包括焚烧、粉碎、分解和使用腐蚀性或酸性化学品溶解。

6、确保适当的资产保留期：

保留要求适用于数据或者记录、保存敏感数据的介质、处理敏感数据的系统和访问敏感数据的人员。记录保留和介质保留是资产保留最重要的因素。

人员保留指对人员在组织雇佣时所获得的知识进行保护，签署员工保密协议（NDA）

数据保护方法：

保护数据的保密性的主要方法之一是加密。

对称加密保护数据

传输加密保护数据：如使用L2TP第二层隧道协议配合IPsec（AH提供身份验证ESP提供保密性）对数据进行加密

定义数据所有权：

所有者对保护数据和资产负有主要责任

数据所有者：

数据所有者是对数据负有最终组织责任的人，所有者通常是首席运营官、总裁或者部门主管

数据所有者识别数据的分类、并且确保正确的标记、还确保他们根据分类和组织的安全策略要求有足够的安全控制。

主要责任：

建立适当使用和保护主体数据/信息的规则

向信息系统所有者提供有关信息所在系统的安全要求和安全控制的输入

决定谁有权访问信息系统，以及使用何种特权或访问权限

协助识别和评估信息的公共安全控制状况

资产所有者：

资产所有者是拥有处理敏感数据的资产或系统的人员

资产所有者也称作系统所有者

系统所有者和数据所有者通常是同一个人，但有时不是同一个人

系统所有者要确保系统中处理的数据的安全性，这包括识别出系统处理的最高安全及被的数据，然后系统所有者要确保系统被准确的标记，并提供响应的安全控制欧式以保护数据

数据使用者：

通常、任何处理数据的系统都可以叫做数据使用者。

隐私保护原则的内容：

通知：组织必须告知个人收集和使用信息的目的

选择：组织赋予个人选择退出的权利

向前传输：组织只能将数据传输给符合以上的通知和选择原则的组织

数据完整性和仅收集与自己相关的数据：组织仅可收集为达到通知原则中的目的所需的数据

可访问：个人必须能访问组织持有的个人信息。

方法、强化和责任：组织必须简历一套机制以确保其所有操作都遵守隐私保护原则、并且简历投诉机制以处理来自个人的投诉

1、假名：

一个组织可实施的两种技术安全控制措施时加密和假名：传输中的所有敏感数据和静止的敏感数据都应加密，当有效运用假名，可助于达到安全控制所需的要求、否则，如果想达到相同的控制要求，就必须遵守通用数据保护条例（GDPR）

2、匿名

匿名化是删除所有相关数据的过程，从而无法识别原始主题或人的目的，如果有效的完成匿名化、匿名数据就不必再遵守GDPR

数据真正匿名化较为困难，因为数据推断技术

数据屏蔽是一种匿名化数据的有效方法，数据屏蔽是指交换单个数据列中的数据，以便每一条记录不再代表真实的数据，

如果一个表只有四行三列，那么熟悉此表的人可能还原出一些数据，而一个表如果有十几个列和数千条记录，就不可能还原出数据，屏蔽化是不可逆转的，随机屏蔽后，数据时不能返回到原始状态的

管理员

数据管理员负责授予人员适当的访问权限，管理员未必具有全部管理员权限和特权，但是具备分配权限的能力，管理员根据最小特权和知其所需原则分配权限：

管理员通常使用基于角色的访问控制模型分配权限。就是将用户添加到组，然后向这些组授予权限，当用户不再需要访问数据时，管理员会从该组中移除该用户。

托管员：

数据所有者将日常任务委托给图偶感元，托管员通过正确存储和正确保护数据来帮助保护数据的完整性和安全性。

用户

保护隐私

使用安全基线：

范围界定和按需定制：

选择标准