CISSP 第九章 法律、法规、合规和调查

9.1 计算机法律的方方面面

9.2 计算机犯罪法律的关键点

3种类型的犯罪：
计算机辅助犯罪cpmputer-assistedcrime：使用计算机帮助实施犯罪
例：攻击金融系统盗窃资金和敏感信息

针对计算机的犯罪computer-targetd crime：计算机是受害者
例：ddos攻击、捕获密码或其他敏感数据、安装恶意软件造成破坏、安装嗅探器、实施缓冲区溢出以控制一个系统

计算机牵涉型犯罪computer is incidental：计算机不一定是攻击者或被攻击者，只是攻击发生时涉及其中

9.3 网络犯罪的复杂性

法律规定金融机构必须报告安全违规和犯罪事件，但他们不一定遵守。

9.3.1 电子资产

数据：产品蓝图、社会安全号、医疗信息、信用卡号码、个人信息、商业秘密、军事部署及策略

9.3.2 攻击的演变

APT高级持续性攻击是一群有知识有能力的黑客，寻找一切可以利用的途径进入系统，等到最有利的时间和攻击方向再进行攻击，从而确保其行为不被发现。

APT很难用主机型解决方案检测出来，可以检测网络流量的改变来发现这种攻击。

9.3.3 国际问题

欧洲理事会网络犯罪公约是针对网络犯罪而尝试创建的一个国际性公约。
与其他国家交换数据的全球性组织必须了解和遵守经济合作与发展组织OECD指导原则以及越境信息流规则。

OECD为不同国家提供指导原则，以对数据进行适当保护，使每个国家遵守相同的规则。

非欧洲组织要与欧洲组织有业务往来，并交换特定类型的数据，就需要遵守安全港safe harbor要求。

进出口法律要求：例 瓦森纳协议wassenaar agreement对常规武器和两用货品及技术实施出口管制。

9.3.4 法律的类型

普通法分为刑法、民法/民事侵权、行政（管理）法
民法处理针对个人或公司的伤害而造成的破坏或者损失，结果是经济赔偿或社区服务。
民事侵权：非法入侵、殴打、过失和产品责任等

9.4 知识产权法

知识产权法说明了公司如何保护自己的资产以及在违法时这些法律将如何处理。

9.4.1 商业秘密

公司会要求员工签订保密协议nondisclos
商业秘密保护某种类型的资源不被未授权使用或公开。
商业秘密可以是一个新算法、一个程序的源代码、制作软糖的方法、烤肉酱的成分

9.4.2 版权

版权保护法控制原创作品公开发行、翻印、展览和修改的权利
版权保护的是作品，不是思想。与专利相反。

9.4.3 商标

商标用于保护一个单词、名称、符号、声音、形状、颜色、设备或这些项的组合
商品外观，如可标识的包装袋，也是商标

9.4.4 专利

专利是授予个人或公司的法律所有权，使他们能够拒绝其他人使用或复制专利所指的发明。
发明者的专利被批准后，其他人在一定时间内（通常是批准之日起20年）就不得制造、使用或销售该发明。
专利保护的不是显而易见的作品，可以是思想。

9.4.5 知识产权的内部保护

适当级别的访问控制、审计启用以及适当的存储环境

9.4.6 软件盗版

免费软件、商业软件、学术软件

9.5 隐私

个人可标识信息Personally Identiable Information，PII
PII指可以用来唯一识别、联系或者定位一个人或者可以和其他资源一起用来识别某一个体的数据。

SOX法案对公司如何追踪、管理和报告财务信息提出了专门要求，包括保护财务数据以及其完整性和真实性。是从经济立场保护社会。

HIPPA法案为个人医疗信息和保健数据的存储、使用及传输提供了国家标准及措施。

GLBA也称为金融现代化法案，要求金融机构开发隐私通告，允许客户选择禁止银行与第三方共享个人信息。

计算机欺诈与滥用法案，美国爱国者法案，身份盗窃与赔偿法案

个人信息保护和电子文档法案PIPEDA是为了监控私有部门在常规商业活动中如何收集、使用和披露个人信息而制定的法律。

Basel II用于确定每个金融机构的实际风险并考虑缓解风险，促使成员机构关注和投资于安全举措。

支付卡行业数据安全标准PCI DSS适用于处理、传输、存储或接受信用卡机构的组织结构。

联邦信息安全管理法案FISMA是用了对机构运营和资产提供支持的信息和信息系统进行保护，需要创建记录和实施安全计划。

经济间谍法案定义了商业秘密涉及技术、业务、工程、科学或金融方面

9.6 义务及其后果

高级管理者有义务保护公司不受众多消极活动的影响，如恶意代码、自然灾害、私人干扰和违反法律。

只有实行了适度勤奋，才会有适度关注的发生。

下游责任downstream liability：互相合作的两家公司应该保证他们的活动不会对合作伙伴产生负面影响

SAS70是审计员用来评估服务机构的控制措施的一套审计标准。

9.7 合规性

9.8 调查

事故管理
事故响应措施：分类、调查、遏制、分析、追踪、恢复
计算机取证和适当的证据收集
国际计算机证据组织：IOCE和SWDGE
动机、机会和方式
取证调查过程：标识、保存、收集、调查、分析、呈现、决定
证据和保管链

几种不同的攻击类型：

• salami攻击：会计部门常见，如每次从账户中扣除少量资金
• 数据欺骗：可通过访问和账户控制、监管、审计、职责分离和授权限制来防范
• 密码嗅探
• IP欺骗：IP spoofing
• 垃圾搜寻
• 搭线窃听：属于被动攻击，是非入侵式的。主动攻击（如DDos）是入侵式的
• 域名抢注

9.9 道德