CISP学习笔记

最近在学习CISP的知识，做了一些笔记，有不到位的地方请大家批评指正

第一章：信息安全保障

• 信息安全保障基础
  •  信息安全概念
    • ISO对信息安全的定义（考题）

为数据处理系统建立和采取技术、管理的安全保护，保护计算机阴间、软件、数据不因偶然的或恶意的原因而受破坏、更改、泄露 技管并重：70%管理、30%技术

• • • 信息安全

对信息资产进行CIA保护，防止恶意或者非法访问（非授权）

• • • 信息安全管理对象（信息资产）：

包括人员在内的有价值得到资产，人的安全性永远是第一位的

• • • CIA（信息资产安全属性）：

保密性、完整性、可用性

• • • 信息安全原因：

内因：脆弱性（信息系统逐渐复杂化） 例如：0 day 、勒索病毒、ms17-010等 外因：            自然环境：             人为：故意：攻击、病毒、社工等                            非故意：错误、失误等

• • 信息安全特征：
    • 系统性
    • 动态性

没有绝对的安全，具有生命周期

• • • 开放性
    • 非传统
  • 信息安全问题
    • 狭义：

以IT技术为范畴的安全

• • • 广义：

保障业务的连续性 适度安全（考虑成本）

• • 威胁情报与态势感知

建立在大数据的收集分析基础之上

• • 信息安全属性（CIA）:
    • confidentiality：机密性（泄露） 加密                                     

HTTP、ftp  ：明文传输                                      https 、ftps、sftp等：密文传输

• • •  integrity：完整性（未授权的篡改）

md5  hash

• • • availability：可用性

保护授权用户能够对信息系统或资源进行及时可靠地访问 冗余：人员冗余 、hsrp、群集 灾备：RAID、NAS、DAS、SAN等

• • 信息安全其他属性
    • 真实性

对信息来源进行判断，能够对伪造的源进行鉴别

• • • 可问责性

审计（日志、记录、行为等）

• • • 不可否认性

签名、证书

• • • 可靠性

特定的条件下完成系统使命

• • 信息安全视角
    • 国家视角
      • 网络战
      • 国家关键基础设施建设
      • 法律法规建设与标准化
    • 企业视角
      • 业务连续性
      • 资产保护
      • 合规性
    • 个人视角
      • 隐私防护
      • 社工
      • 个人资产安全
  • 信息安全阶段
    • 通讯安全
      • 威胁

搭线窃听、密码学分析

• • • 计算机安全
      • 威胁：

非法访问、恶意代码、弱口令

• • • 信息系统安全
      • 威胁：

入侵、信息对抗

• • 网络空间安全
• 信息安全保障框架
  • PDR模型:基于时间的模型（防护/检测、响应）

Pt > Dt + Rt     S就是安全的

• • PPDR模型：（策略/防护/检测/响应）动态模型（考虑管理因素）

Policy：核心 保护：根据信息系统可能出现的问题而采取的安全预防措施 检测：是响应的依据 响应：应急响应/恢复/

• • IATF： 信息保障技术框架
    • 核心思想：深度防御（一层一层防御）
    • 核心三要素：
      • 人（信息安全保障第一要素）

培训、安全管理、策略流程等

• • • • 技术（信息安全保障的重要手段）

防护、检测、响应、恢复

• • • • 操作（信息安全保障主动防御体系）

风险评估过、灾备

• • • 三防护一支撑：
      • 计算环境（服务器、客户机、系统、数据等）

鉴别 访问控制 加密

• • • • 网络和基础设施

骨干网可用性 vpn保护措施

• • • • 边界安全
      • 支撑性基础设施：
        • KMI（密钥管理基础设施）/PKI
        • 检测响应
  • 风险

事件发生的概率和影响的组合

• • 信息系统安全保障

在信息系统全周期中，通过人、技术、管理和过程实现信息系统的安全属性(CIA)

• • 信息系统生命周期

规划 设计 实施 运维 废弃

• • ISPP：信息系统保障轮廓
  • ISST：信息系统安全目标
  • CMMI：能力成熟度（等级）
  • SABSA：一问一答

做什么 为什么这么做 如何做 谁来做 在哪做 什么时候做

• • • 生命周期

规划、设计、实施、管理度量