CISSP学习笔记-5（保护资产安全）.pdf

CISSP学习笔记-5（保护资产安全）

保护资产安全

对信息和资产进⾏识别和分类

定义敏感数据

个⼈身份信息 PII

受保护的健康信息 PHI

专有数据

定义数据分类

政/军事

Top secret

Secret

Confidential

Sensitive but unclassified

Unclassified

商业/私营部⻔

Confidential/Proprietary

Private

Sensitive

Public

分级控制

控制类别的选择取决于管理组及安全团队对相应类别信息的安全需求

对所有敏感的数据和程序进⾏严格的和粒度的访问控制

在存储和传输的同时对数据进⾏加密

审计和监视(确定需要什么级别的审计和多⻓时间的⽇志被保留)

定期审查(审查分类层次、数据和程序等相关内容，确保他们仍然与业务需求保持⼀致;数据或应⽤程序可能还需要重新

分类)

职责分离(判断两个或更多的⼈必须参与访问敏感信息，防⽌欺诈⾏为;定义相关程序)

备份和恢复程序(定义)

变更控制程序(定义)

物理安全保护(定义)

信息流动渠道(哪⾥敏感数据驻留，它如何在⽹络上传播)

妥善的数据处理程序，如切碎、消磁，等等(定义)

标记，标识和处理程序Markin(物理存储介质上做标记), Labelin(系统⾥分级标 注)

定义资产分类

与数据分类相匹配，数据等级⾼，存储数据的资产如计算机也是同样等级

理解数据状态

静态数据

也称存储中的数据，就是存储在存储介质中的数据

推荐保护策略

制定并测试数据恢复计划

可移动设备和介质必须进⾏加密，包括笔记本、平板电脑、智能⼿机，可穿戴设备

选择合适的加密⼯具和算法，如AES加密

创建安全的⼝令

使⽤⼝令和密钥管理⼯具

可移动介质应当打上标签

可移动介质应当保存在安全的场所

记录可移动介质的位置，并进⾏跟踪管理

传输中的数据

也称动态数据，针对传输数据的保护，主要通过加密⽅法，防⽌被截获，如链路加密，端到端加密

推荐保护策略

保密数据在任何⽹络上进⾏传输都必须加密，包括内⽹之间的传输

数据可以被Web访问时，必须采⽤安全 加密协议，如TLS1.2/1.3

Email传输必须使⽤PGP或S/MIME， 并将数据通过加密软件加密作为附件

⾮Web数据应当采⽤应⽤级加密

⽹络层采⽤IPsec加密

应⽤和数据库之间通信应采⽤加密

设备之间传输敏感数据应当采⽤加密

使⽤中的数据

应⽤程序所使⽤的存储在缓冲区的数据

确定合规要求

确定使⽤的法律

确定数据安全控制

建⽴信息和资产的处理要求

数据维护

⽅法

分类⽹络

单向⽹桥

技术防护

定期审查数据策略

数据丢失预防 DLP

DLP类型

基于⽹络的DLP

基于云的DLP是⼀个⼦类

为监测企业⽹络数据移动， DLP⽅案使⽤特别的⽹络设备 或内置技术有选择的捕获和分析⽹络流量;

深度报⽂检测( deep packet inspection (DPI))技术，作为DLP的核⼼能⼒， DPI能够越过基本的包头信息阅读数据

包载荷内容