这些知识点你都了解了吗？CISSP-D2：资产安全

内容概述

资产安全知识域涵盖信息和信息资产在其生命周期中的安全保护，包括恰当的收集、分类、处置以及控制措施的选择和使用。本知识域的重要概念包括数据的所有权、隐私、数据安全控制和相关密码学的应用。安全和风险管理知识域包含了许多基本的信息安全概念、原则以及信息安全管理相关活动和方法。

资产安全知识域在CISSP CBK中包括（源自于：CBK5）：

一、资产安全概念

数据管理必须遵循一套广泛适用于组织的原则和程序。完善的数据策略可以指导组织仅仅收集所需的信息、确保这些信息安全，并且在不需要的时候安全的销毁它们。

在许多大型组织中，数据治理委员会负责监督数据策略，并概述了不同职能利益相关方的角色和职责。组织应确定如何管理重要数据的创建、转换和使用。以上这些描述了数据治理。

数据质量涉及数据的完整性和可靠性。在衡量数据质量时，首要考虑的因素包括准确性、货币性和相关性。

质量保证（QA）：使用规定的标准来评估和发现数据中的不一致和其他异常情况，并应用数据净化技术来交付最终产品。QA解决了问题：“数据是否符合目的？”

质量控制（QC）：根据内部标准、流程和程序进行数据质量评估，以控制和监视QA所告知的质量。质量控制解决了以下问题：“数据可以使用吗？”

记账错误：数据输入错误或不正确的转录，这类错误应该在数据获取过程中通过QA来减少。

遗漏错误：这些遗漏的数据可能导致不准确的值、数据资产解释或者数据计算，这类错误很难检测。

信息资产生命周期模型描述了：一个实体在其生命周期中，所经历的变化。企业去管理和控制，对他们的信息访问，是非常重要的。

二、标识和分类信息和资产

了解为什么以及如何对数据进行分类。对数据进行分类是为将安全控制分配过程简化成分配给一组客体而不是单个客体。两个常见的分类方案是政府、军事分类和商业私营部门分类。

了解政府/军事分类方案的五个级别和商业/私营部门分类方案的四个分类级别。

理解解除分类的重要性。一旦资产不再被授权保护其当前指定的分类或敏感级别，就需要解除分类。

三、确定和维护信息和资产的所有权

了解不同角色之间的差异。数据所有者负责分类、标记和保护数据。系统所有者负责处理数据的系统。业务拥有者负责过程并确保系统为组织提供价值。数据使用者通常是处理数据的第三方实体。管理员根据数据所有者提供的指南授予数据的访问权限。用户在执行任务时访问数据。托管员有责任保护和存储数据。

四、保护隐私

了解PII和PHI。个人身份信息(PII)是能够识别个人的任何信息。受保护的健康信息(PHI)是特定的人的任何与健康相关的信息。许多法律法规规定了PH和PHI的保护。

了解隐私如何适合于安全领域。了解隐私的多重含义/定义，为什么保护隐私很重要，以及工作环境中与隐私相关的问题。

了解GDPR安全控制。GDPR规定了隐私数据的保护方法。GDPR中提到的两个关键安全控制是加密和假名。假名是用化名替换某些数据元素的过程。这使得识别个人身份更加困难。

五、确保适当的资产保留

理解记录保存。记录保留策略确保数据在需要时保持可用状态，在不再需要时销毁它。许多法律法规要求在特定时段内保存数据，但在没有正式规定的情况下，组织根据策略确定保留期。审计踪迹数据需要保持足够长的时间以重构过去的事件，但组织必须确定他们要调查多久之前的事。许多组织目前的趋势是通过实现电子邮件短保留策略来减少法律责任。