[CISSP] [2] 安全治理原则策略

BCP

BCP（Business Continuity Plan，业务连续性计划）是一套用于在紧急情况下（如自然灾害、网络攻击、系统故障或人为事故）确保关键业务功能能够持续运行或尽快恢复的策略和流程。

BCP 的核心要素

1. 风险评估（Risk Assessment）
   • 识别可能影响业务的潜在风险，如自然灾害、网络攻击或供应链中断。
2. 业务影响分析（Business Impact Analysis, BIA）
   • 评估关键业务流程，确定哪些系统和服务必须优先恢复，并设定恢复时间目标（RTO）和恢复点目标（RPO）。
3. 预防与响应策略（Prevention & Response Strategies）
   • 采取措施降低风险，例如数据备份、冗余系统、远程办公计划等。
   • 制定应急响应流程，确保员工知道如何处理突发事件。
4. 灾难恢复计划（Disaster Recovery Plan, DRP）
   • 关注 IT 系统的恢复，包括数据恢复、服务器故障应对、备用数据中心的启动等。
5. 测试与培训（Testing & Training）
   • 定期测试 BCP 方案，确保其有效性，并培训员工应对突发情况。

BCP 在安全管理中的作用

对于安全管理员来说，BCP 主要涉及如何防范和应对网络攻击、数据泄露和 IT 系统故障。例如，在勒索软件攻击导致系统不可用的情况下，BCP 规定的备份恢复流程可以确保业务快速恢复，减少损失。

DAD三元组（DAD Triad） 是信息安全领域的一个概念，它代表了 破坏性（Destruction）、篡改性（Alteration）和否认性（Denial） 这三个核心安全威胁。DAD三元组主要用于描述攻击者对信息和系统可能造成的影响，通常与**CIA三元组（机密性、完整性、可用性）**相对。

DAD

DAD三元组的三个组成部分

1. Destruction（破坏性）

   • 直接破坏数据或系统，使其不可恢复，例如删除数据库、物理破坏服务器、格式化存储设备等。
   • 例子：勒索软件加密数据并删除备份，导致数据彻底丢失。

2. Alteration（篡改性）

   • 未经授权地修改数据，使其失去完整性和可信性。
   • 例子：攻击者入侵系统后篡改日志记录，使安全团队无法追踪攻击路径。

3. Denial（否认性）

   • 使数据或系统无法被合法用户访问（类似于拒绝服务攻击）。
   • 例子：DDoS 攻击使网站宕机，或者攻击者篡改身份验证日志，导致合法用户无法登录。

DAD三元组与CIA三元组的对比

三元组	关注点	主要目标	典型攻击手段
CIA（机密性、完整性、可用性）	保护信息安全	防御	加密、访问控制、冗余备份
DAD（破坏性、篡改性、否认性）	破坏信息安全	攻击	勒索软件、篡改日志、DDoS

DAD 三元组主要用于分析攻击者可能的破坏方式，从而制定有效的防御策略，例如：

• 通过 数据备份 防止破坏性攻击。
• 通过 完整性检查（如哈希校验、日志审计）防止篡改。
• 通过 高可用性架构（如CDN、负载均衡）防止拒绝服务攻击。

NIST

NIST网络安全框架（NIST Cybersecurity Framework，简称 NIST CSF）是由美国国家标准与技术研究院（NIST）制定的一套指导方针，旨在帮助组织管理和降低网络安全风险。该框架整合了现有的标准、指南和最佳实践，提供了灵活且可扩展的方法来应对网络安全挑战。

框架结构

NIST CSF 由三个主要部分组成：

1. 框架核心（Core）：包括五个关键功能，每个功能进一步细分为若干类别和子类别：

   • 识别（Identify）：了解组织环境以管理网络安全风险。
   • 保护（Protect）：制定适当的防护措施，确保关键服务的持续交付。
   • 检测（Detect）：及时发现网络安全事件的发生。
   • 响应（Respond）：采取适当行动应对已识别的网络安全事件。
   • 恢复（Recover）：在网络安全事件后恢复正常运营，减少影响。

2. 实施层级（Implementation Tiers）：帮助组织评估其网络安全实践的成熟度和复杂性，从部分实施到适应性实施，共分为四个层级。

3. 框架概况（Profiles）：允许组织根据其特定需求和风险评估，定制框架的应用，以实现个性化的网络安全策略。

版本更新

自2014年首次发布以来，NIST CSF 经历了多次更新，以适应不断变化的网络安全环境：

• 版本 1.0（2014 年）：最初发布，主要面向关键基础设施部门。
• 版本 1.1（2018 年）：引入了供应链风险管理等增强内容。
• 版本 2.0（2024 年）：进一步扩展了框架的适用性，增加了关于

ATO

操作授权（Authorization to Operate，ATO） 是指组织在确保信息系统符合既定安全和风险管理要求后，授权该系统投入运行的正式批准。这一过程确保系统在满足必要的安全控制和风险评估后，能够在生产环境中安全运行。

ATO 的主要步骤包括：

1. 准备授权包：信息系统所有者应准备授权包并提交给适当的授权机构。授权包通常包含：

   • 安全和隐私计划：指导系统的安全和隐私活动。
   • 安全和隐私评估报告：在实施安全控制后，对其有效性的评估。
   • 纠正措施和改进的行动计划和里程碑（POA&M）：针对发现的问题制定的改进计划。

2. 审查与评估：授权机构对提交的授权包进行详细审查，确保系统符合所有必要的安全和隐私要求。

3. 授予 ATO：在确认系统满足所有要求后，授权机构正式授予操作授权，允许系统在生产环境中运行。

持续授权操作（Continuous Authorization to Operate，cATO） 是一种新的授权模式，旨在通过持续评估、监控和风险管理，确保系统在动态环境中保持合规性和安全性。这种方法特别适用于采用 DevSecOps 实践的组织，能够加速软件开发和部署流程。

COBIT

COBIT（Control Objectives for Information and Related Technology）是由信息系统审计与控制协会（ISACA）开发的一个框架，旨在帮助组织有效地治理和管理信息技术（IT）资产。它提供了一套全面的最佳实践和指导方针，确保企业的IT资源能够支持业务目标，同时满足合规性和风险管理的要求。

COBIT 的发展历程

• COBIT 1.0（1996年）：首次发布，提供了IT控制目标的基础框架。

• COBIT 2.0（1998年）：进行了更新，增加了更多的控制目标和指南。

• COBIT 3.0（2000年）：进一步扩展，涵盖了更多的IT管理领域。

• COBIT 4.0（2005年）：引入了新的流程和控制目标，强调了IT治理的重要性。

• COBIT 4.1（2007年）：对4.0版本进行了修订，提供了更详细的指南和工具。

• COBIT 5（2012年）：整合了其他框架和标准，如Val IT和Risk IT，提供了更全面的IT治理和管理指南。

• COBIT 2019（2019年）：最新版本，引入了设计因素和关注领域，使框架更具灵活性和可定制性。

COBIT 2019 的关键特性

• 设计因素：帮助组织根据自身需求定制治理系统。

• 关注领域：提供特定领域的指导，如信息安全、风险管理等。

• 绩效管理：更新了绩效管理体系，允许使用成熟度和能力测量。

SOP

标准操作程序（Standard Operating Procedure，SOP） 是指为确保组织内的任务和流程以一致且高效的方式执行而制定的书面指南。它详细描述了执行特定任务的步骤和要求，旨在减少错误、提高效率，并确保合规性。

SOP 的主要作用包括：

• 确保一致性：通过为员工提供明确的指导，确保任务以相同的方式执行，减少差异，增强质量控制。

• 提高效率：提供清晰的操作步骤，帮助员工高效完成任务，避免重复摸索，提高生产力。

• 新员工培训：作为培训材料，帮助新员工快速了解并适应其职责和操作流程。

• 确保合规：记录适当的规程，帮助公司满足监管要求和行业标准。

• 保存组织知识：即使员工离职，SOP 也能保存方法和知识，确保工作的连续性。

制定 SOP 的步骤通常包括：

1. 确定目标：明确需要制定 SOP 的任务或流程。

2. 收集信息：与相关人员讨论，收集执行任务的详细步骤和注意事项。

3. 编写草稿：将收集的信息整理成书面文件，确保步骤清晰、易于理解。

4. 审阅和修订：邀请相关人员审阅草稿，提出修改建议，确保准确性和可行性。

5. 批准发布：经过审阅和修订后，获得管理层批准，并正式发布。

6. 培训实施：对相关员工进行培训，确保他们理解并能按照 SOP 执行任务。

7. 定期评估和更新：根据实际操作中的反馈和变化，定期评估并更新 SOP，确保其持续有效。

在安全管理领域，SOP 尤其重要。它们确保安全操作的一致性，减少事故发生的可能性。例如，食品行业的卫生标准操作程序（Sanitation SOP）旨在防止产品受到直接污染或掺假，确保产品安全。

PASTA

PASTA（Process for Attack Simulation and Threat Analysis），即攻击模拟与威胁分析流程，是一种以风险为中心的威胁建模方法，旨在将业务目标与技术需求相结合，提供对潜在威胁的全面风险分析。

PASTA 方法的七个阶段包括：

1. 定义目标（Definition of Objectives）：确定业务目标、安全需求和合规要求，为后续分析奠定基础。

2. 定义技术范围（Definition of the Technical Scope）：识别和记录系统的技术架构、基础设施和应用组件，明确分析范围。

3. 应用程序分解（Application Decomposition）：深入分析应用程序的功能和流程，识别关键资产和潜在的安全弱点。

4. 威胁分析（Threat Analysis）：识别可能影响系统的威胁，考虑潜在攻击者的动机、能力和可能的攻击路径。

5. 漏洞和弱点分析（Weakness and Vulnerability Analysis）：评估系统中的已知漏洞和弱点，确定其可能被利用的程度。

6. 攻击建模（Attack Modeling）：模拟潜在攻击场景，评估攻击者可能采取的策略和技术。

7. 风险与影响分析（Risk and Impact Analysis）：评估每个威胁的潜在影响和发生可能性，确定风险等级，并制定相应的缓解策略。

DREAD

DREAD 是一种用于评估和量化安全威胁的模型，其名称源自五个评估维度的首字母缩写：

1. Damage Potential（危害程度）：如果威胁被利用，可能造成的损害程度。
2. Reproducibility（可复现性）：攻击被重复执行的难易程度。
3. Exploitability（利用难度）：实施攻击所需的技术水平和资源。
4. Affected Users（影响范围）：受威胁影响的用户数量或比例。
5. Discoverability（发现难度）：识别和发现漏洞的难易程度。

在 DREAD 模型中，每个维度通常被评分，分数范围从 0 到 10，分数越高表示风险越大。将五个维度的分数相加，得到总分，用于衡量威胁的严重程度。

然而，DREAD 模型在实际应用中存在一些挑战，例如评分的主观性和一致性问题。因此，微软在 2008 年后逐渐弃用该模型，转而采用其他方法，如 Bug Bar。

SCRM

供应链风险管理（Supply Chain Risk Management，SCRM） 是指在供应链管理中实施战略，以基于持续的风险评估来管理日常和特殊风险，旨在降低脆弱性并确保业务连续性。

SCRM 的主要阶段包括：

1. 识别（Identification）：确定供应链中可能导致中断的风险源，包括供应商、国家和特定地点等。

2. 评估（Assessment）：评估每个风险的发生概率和潜在影响，以便确定其严重程度。

3. 控制（Control）：制定并实施策略来应对已识别的风险，例如通过保险应对特殊风险，或通过调整流程、增加供应商或提高库存来应对日常风险。

4. 监控（Monitoring）：持续监控风险因素的变化，以便及时调整风险管理策略。

通过实施有效的供应链风险管理，企业可以增强供应链的弹性，减少潜在中断的影响，确保业务的持续性和稳定性