Wondershare EdrawMind
心智圖資源庫 CISSP學習筆記-網域1（安全與風險管理）
- 23
- 1
CISSP學習筆記-網域1（安全與風險管理）
CISSP考試複習，域1安全和風險管理部分的知識點總結和重要習題，乾貨滿滿，有需要的朋友趕緊收藏吧！
編輯於2024-02-12 08:29:54
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-網域1（安全與風險管理）
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
- 推薦給您
- 大綱
CISSP學習筆記-網域1（安全與風險管理）
知識點
1.2.CIA三元組
保密 (Confidentiality)
保密性是指防止未經授權的實體（無論是人或程序）對資訊資產進行存取。
完整性 (Intearitv)
完整性保護可以防止對資料進行未經授權的更改。
可用性 (Availability)
可用性意味著投權主體被授予及時和不間斷地存取物件。
真實性 (Authenticitv)
真實性是一個安全概念，即資料是真實的或真正的，來自其聲稱的來源，包含：完整性和不可否性。
不可否認性
不可否認性確保一個活動的主體或造成一個事件的人不能否認該事件的發生。
均衡的安全 (Balanced Security)
每個組織根據自身的情況不同，考慮 CIA 的優先順序會有所不同。
1.3評估並應用安全治理原則
安全功能與業務策略、目標一致
當建立你的組織的安全功能時，你應該先設計一個與你的組織的整體商業策略和使命宣言一致的安全策略。你應該制定一套具體的、可街量的、可實現的、相關的和有時限的目標和目的，以幫助你有效地維護公司係統和資訊的機密性、完整性和可用性，而不破壞你的組織實現其業務目標和目的的能力。
運作一個有效的安全計畫需要仔細考慮業務需求和組織戰路，以及法律和合規要求，並需要在整個組織內進行治理以管理安全功能的有效性。
1.3.1.組織的流程
安全治理
治理委員會 (Governance Committees)
治理委員由負責管理組織所有風險的高階主管組成，主要目標是為組織的安全功能提供監督，同時確保安全功能持續鴻足組織及其利害關係人的兩求。他們會事查正在進行和計劃進行的項目、遠替指標以及可能涉及整個企業的任何其他安全事項。
合井與收購 (M&A)
每一次收購都會帶來一系列獨特的情況，來自兩個組織的安全專家應該聚在一起，評估每個組織的安全控制，並找出如何消除冗餘，確保系統之問的蓑容性。
可能的風險點：
•未知的內容：IT設施、安全控制和流程等如何與現有系統整合？
•新的攻擊教體：如目前組織只使用 Windows 和 Linux 系統，收購的組織使用Macos 系統。
•對資源的影響：現有的人手能否在既保障現有功能正常運作。又能順利接收新系統？
•不滿的員工：不滿的員工是嚴重的內部威脅
應對的措施：
•檢視公司的資訊安全政策和程序
•審查公司的數據資產。並確定任何透用的監管或合規要求 （倒如，PCl、HIPAA、 GDPR 等）
•檢討組織的人員安全政策
•識別公司管理的任何專有或自訂的應 用程序，並要求對其進行靜態和動態應用程式安全測試，以證明其安全狀況。
•零求提供最近的滲透測試 (pentest） 的結果，包括網路、作業系統、應用程式和資料庫測試。
•審查組織對第三方和開放原始碼軟體的使用，以確保軟體的安全和透當的許可。
1.3.2.資產剝離
資產剝離是將業務的一部分分拆為一個獨立的組織
可採取的行動：
•識別和分類所有涉及剝商的資產；這包括硬體、軟體和資訊資產。
•將受影響的系統與你的剩餘基礎設施脫鉤。
•審查所有的存取權限。
•諮詢你的法律和合規團隊，以確保你遵循園繞資料保留、刪除等的所有必要監管和合規要求。
1.3.3.組織角色與責任
1.3.3.1 首席資訊安全長 (CISO)
首席資訊安全官是組織內負責全面管理和監督資訊安全計畫的高階主管。
首席資訊安全官推動組織的安全策略和願景，並最終對公司係統和資訊的安全負責。
1.3.3.2 首席安全官 (CSO)
CSO是組織內的高階管理人員，通常負責所有的實體安全和人員安全事務。
許多組織已經將 CSO 的職責合併到 CISO的角色中
1.3.4. 安全控制框架
1.3.4.1 安全控制框架
是組織用於防止、偵測、減少或對抗安全威脅的技術、操作或管理保護措施。
1.3.4.2 安全控制類型：
技術控制：基於系統的保護措施和對策，如防火牆、I1DS/PS 和資料遺失預防(DLP) •
操作控制：主要由人執行的保護措施和對策，如安全警衛。
管理控制：包括控制資訊安全風險的政策、程序和其他對策。
1.3.4.3 常見的安全控制框架：
1.3.5. 道慎和盡責
1.3.5.1 謹慎原則(Due Care)
謹慎原則是指合理且謹慎地保護資訊安全的行為，包括維護資訊的保密性、完整性和可用性，適用於所有人員。這個原則適用於任何個人或組織，無論其在資訊安全方面的專業水平如何。
1.3.5.2 盡職調查(Due Diligence
盡職調查是指在資訊安全方面採取的一系列措施，以確保合理的安全措施已被實施和有效地工作。這些措施包括開發正式的安全框架、制定安全政策、標準、基準、指導方針和程序等等。在這方面，高階管理層有責任確保盡職調查的實施。
1.4 確定合規性和其他要求
1.4.1.合約、法律、工業標準和法規要求
cissp 將合規性定義為對任務的遵守,包括一個組織為了解和滿足所有適用法律、監管要求、行業標準和合約協議而開展的一系列活動。安全專業人員應該了解適用於其業務的不同國家、地區和州的法律。
1.4.1.1《電腦安全法》
美國國會於 1987 年領布，已皮除，被《FISMA》取代。
1.4.1.2 《FISMA》
美國聯邦資訊安全管理法案，所有美國聯邦政府機構和為這些機構提供資訊服務的非政府組織都要進行基於風險的安全評估，以符合 NIST 風險管理框架 (RMF)
1.4.1.3 《SOX》
上市公司財務相關的法規
1.4.1.4 《PCI DSS》
支付卡產業的法規
1.4.1.5 《SOC》
代表系統和組織控制，是一個審計框架，有三種常用的SOC 審計和報告類型，怡當地命名 SOC1、SOC2 和SOC3
SOC1：財務報表相關的審計
SOC2：詳細的審計和合規報告，一般不對外開放。
SOC3：SOC2 的簡版，可對外開放。
1.4.2. 隱私要求
隱私權要求是指在資訊處理中保護個人資訊的安全和保密性，將對個人資訊的存取限制在授權方的授權使用範國內。本質上，隱私是指對個人識別資訊進行保護，以保障個人的隱私權。
1.4.2.1PII
個人識別資訊 (Personally ldentiiable Information, PII)，任何可以識別個人的信息，例如：諸如你的姓名、地址、電話、銀行卡號、駕照和社會安全號碼(身份證）等
1.5. 從整體上理解與資訊安全有關的法律和法規問題
1.5.1. 岡絡犯罪與資料外洩
1.5.1.1 網路犯罪
網路犯罪是指直接涉及電腦或網路的犯罪活動，主要包括：
1.針對人的犯罪，例如身分資訊被竊取
2侵害財產，例如破壞電腦、竊取智慧財產權
3.針對政府的犯罪，例如竊取機密資訊
1.5.1.2 資料洩露
資料外洩是未經授權的情況下，資訊被網路犯罪者存取或竊取的特殊網路犯罪。遣受資料外洩的組織可能面臨聲譽損害、身分盜竊事件、罰款或因竊盜而失去智慧財產權。加密是保護組織免受資料外洩的簡單方法。
1.5.1.3 相關的美國法律：
《電腦詐欺和濫用法》 (CFAA)：美國針對網路犯罪的第一部刑事法律，將許多類型的駭客活動視為聯邦犯罪。 CFAA 的修正案受到了抵制。
《電子通訊隱私法》(ECPA)：限制美國政府截獲通訊和儲存訊息，政府必須滿足嚴格要求才能獲得電 子通訊的搜索令。
《身分盜竊與假設威懾法》：將竊取個人身價視為聯邦犯罪。
1.5.2. 許可和智慧財產權(IP）要求
1.5.2.1 軟體許可
軟體是智慧財產權的一種重要形式。組織在開發軟體方面投入了大量的財政和人力資源，然後透過許可協議來保護軟體，許可協議有以下四種常見類型：
1合約許可：使用軟體供應商和客戶之間的書面合約概述各自的責任
2打開即生效 ：當使用者打破包裝上的封條時，它們就會生效。
3.點擊協議：客戶在購買軟體或註冊服務時只需點擊一個"我同意"按鈕
4.雲端服務許可：上雲的點擊協議
1.5.2.2智慧財產權
資訊安全專業人員的一個非常重要的責任是保護屬於他們組織的智慧財產權，防止未經授權的使用或揭露。
1.版權(Copyrights)
版權保護創意作品不被盜用。這些作品可能包括書籍、電影、歌曲、詩歌、藝術創作和電腦軟體等類別。
版權保護是在創作時自動投給創作人的，但注意被雇用時發生的創作歸雇主所有。版權保護在作者死後持續 70年。版權 用這裡顯示的C圖符號表示。
2.商標 (Trademarks)
商標是用來保護你用來識別產品和服務的文宇和符號。受商標保護的資訊包括品牌名稱、標誌和口號。商標可以無限期存在，但必須每10年更新一次註冊。商標是用™M 符號表示的，一旦被政府授予註冊資格，就可以用圓圈R符號來表示。
3.專利 (Patents)
專利權保護發明，為發明人提供在一段時間內對其發明的獨家使用權。一旦投予專利權，通常在申請日期後持續 20 年。為了獲得專利，發明者必須證明他們的想法符合三個標準：
首先，它必須是新穎的；
其次，它必須是有用的；
最後，它必須是不是顯而易見的；
4.商業機密 (Trade Secrets)
有了商業機密，所有者就不會把發明告訴任何人，並對細節保密。只要該組織能夠保護這一秘密，它就享有對該發明的獨家使用權。缺點是，如果其他人發現了發明的工作原理，他們可以自由地使用它。透過保密協議(NDA）對組織內知曉商業機密的人員知進行約束。
1.5.3. 進口和出口管制
許多國家對可能跨越國際邊界的資訊和貨物類型有要求。資訊安全專業人員必須了解適用手其行業的各種進口和出口管制，並確保其活動符合這些法規。
1.5.3.1 美國進口/出口管制
《國際武器貿易條例》 (TAR) 是國防物品相關的任何東西
《出口管理條例》(EAR） 涵蓋了許多廣泛的技術類別，包括敏感的電子和電腦、雷射、導航、海洋技術，以及更多。
1.5.4. 跨國資料流
跨境資料流重點在於國繞限制某些資料進出特定的地理位置或管轄區的要求。如：中國的《網路安全法》要求在中國境內收集的中國公民的資料必須保存在中國境內，未經中國政府許可不得轉移到國外。
1.5.5.隱私
私人資訊的兩個最常見的元素是個人身份信息，或稱為Pll，以及受保護的健康信息，或稱 PHl
1.5.5.1 美國相關隱私權法律
1.《隱私權法 (Privacy Act) 》
主要是規定並管理美國政府機構在收集、維護、使用和傳播 PII 有關的做法
2.《健康保險可攜性與責任法案 (HIPAA)》
要求醫院、醫生、保險公司和其他處理或儲存 PHI 資訊的組織採取嚴格的安全措施。
3.《兒童網路隱私權保護法 (COPPA) 》
為線上業務制定了嚴格 的準則，以保護 13 歲以下兒童的隱私。
4. 《金融服務現代化法案 (GLBA) 》
針對金融機構交換客戶資訊提出監理要求。要求各機構實施適當的安全控制，以保護其客戶的個人資料。
5.《健康資訊科技促進經濟與臨床健康法案(HITECH)》
該法案擴大了 HIPAA 的隱私保護，進行更嚴厲的處罰。還引入了 違規通知規則，當發生洩漏後 60 天內向受影響的各方披露。
1.5.5.2 歐盟相關隱私權法律
1.《資料保護指令 (DPD)＞
規範了對歐洲公民的個人資料的處理，是歐盟第一部重要的隱私法，被認為是整個歐洲的基礎性隱私法規。已被後續的 （GDPR》取代。
2.《一般資料保護規範 (GDPR)》
規定了處理個人資料的七項原則：
1）合法性、公平性和透明度：根據適用的法律取得和處理個人數據，並充分告知用戶，他們的數據將如何被使用。
2）目的限制：確定收集資料的"具體、明確和合法"的目的，並告知他們這種目
3)資料最小化：收集和處理提供商定的服務所需的最低數量的資料。
4）準確性：確保個人資料保持"準確並在必要時保持更新」。
5)儲存限制：個人資料僅在提供約定的服務所需的時間內儲存。遵守「被遺忘權"
6） 完整性和保密性
7）責任性 ：資料控制者(data controllers 即：儲存和處理個人資料的一方）必須能夠證明符合所有要求。
注意：如果組織儲存或處理歐盟公民或居民的個人數據，那麼GDPR 適用於你，無論你的公司是否位於歐盟。並要求資料控制者在意識到個人資料外洩後 72小時內通知相關方。對跨境資訊共享，必領使用標準的合約條款或具有約束力的公司規則。
3. 《安全港》和《隱私權盾》是美國與歐盟之問的隱私權保護協議，都已失效。
1.6.了解調查類型的要求
1.6.1. 調杳型
1.6.1.1 行政調查 (Administrative)
組織內部調查，旨在找到問題的根本原因並解決，使業務恢復正常運作。
1.6.1.2刑事調查 (Criminal)
由政府機構進行的調查，調查違反刑事法律的行為。
最高的證據標準 ：排除合理懷疑的標準。
1.6.1.3 民事調查 (Civil)
由政府機構進行的調查，調查違反刑事法律的行為。
最高的證據標準：排除合理懷疑的標準。
1.6.1.4 監理 (Regulatory)
政府機構對潛在違反行政法的行為進行調查，或獨立監管機構對違反行業標準的行為進行調查。
監管調查可能是民事或刑事性質的。
1.7． 制定、記錄和實施安全政策、標準、程序和準則
1.7.1. 安全政策框架
17.1.1 安全政策 (Policies)
安全政策是一組聲明，非常仔細地描述一個組織長期的安全期望，確定了管理組織裡資訊系統和資料保護的原則和規則。
•對政策的遵守是強制性的，而政策通常是由組織的最高層批准的。
一些常見的安全政策：可接受的使用政策、存取控制政策、變更管理政策、遠端存取政策、災難復原政策
1.7.1.2安全標準 (Standards)
安全標準規定了組織必須遵循的安全控制的具體細節，如：組織批准的加密協定、資料儲存的位置、配置參數以及其他技術和操作細節。當涉及到複雜的配置標準時，往往會藉鏡業界標準，如網路安全中心提供的安全配置指南。
對安全標淮的遵守是強制性的。安全基線與標準有關，它為系統、網路或設備建立了一個最低的安全水平，如果達不到基線要求則不能上線。
1.7.1.3 安全程序 (Procedures)
安全程序是員工在執行特定安全任務時可以遵循的一步一步的指示。
1.7.1.4安全指南 (Guidelines)
指南是安全專業人員向組織的其他成員提供建議的地方，包括資訊安全的最佳實踐。對安全指南的遵守是非強制性的。
1.8 識別 分析並優先考慮業務連續性 （BC) 要求
1.8.1. 業務影響分析 (BIA)
業務影響分析可協助一個組織確定其基本的業務功能，使用定量或定性的風險評估，並了解災難對每項功能的影響;業務影響分析為業務連續性計劃(BCP)及其要求提供主要依據。
BlA 協助一個組織確定其哪些業務功能更有彈性，哪些更脆弱。
1.8.1.1 流程：
1.先建立你的 BC 專案團隊、範圍和預算
2．識別關鍵業務(CBF) 和其他基本業務要素，包括
人員
業務流程
資訊系統和應用
其他資產
3．對關鍵業務進行風險分析：
確定存在的任何脆弱性
•不利事件的可能性
影響程度
1.8.1.2 確定影響程度的方法
1．最大可容忍停機時間 （MTD）或最大可接受停機時間 (MAO）表示關鍵業務功能不可用的總時間長度。 MTD 必須由系統所有者決定，他對組織的 CBF 的正常運作負有最終責任。
2．恢復時間目標 (RTO）是關鍵業務中斷後必須恢復的最大時間段，以避免不可接受的業務後果。 RTO 必須小於或等於 MTD。
3 . 恢復點目標(RPO）是可容忍的資料損失的測量，以時間段來表示。
1.8.2. 制定並記錄範圍和計劃
1.8.2.1 業務連續性計劃 (BCP)
業務連續性計畫旨在保護組織的關鍵業務功能和客戶，確保組織能在特定的服務等級和時間段內繼續有效運營，以滿足法律和監管要求，以及組織設定的 MTD、RTO 和RPO。
業務連續性計劃BCP階段
專案範圍和計劃
組織分析
識別與BCP流程具有利害關係的部門和人
負責提供客戶核心業務的營運部門
關鍵支援服務部門，如IT部門、設施和維修人員、其它團隊
負責實體安全的公司安全團隊
高階主管和對組織持續運作重要的人員
分析是選擇 BCP 團隊的基礎，經BCP 團隊確認後，用於指導 BCP 開發的後續階段。
選擇BCP團隊
部門的技術專家，具備 BCP 技能的物理和 IT 安全人員，熟悉公司法律、監管和合約責任的法律代表，以及高階管理層的代表。其他團隊成員取決於組織的結構和性質。
資源需求
法律和法規要求
業務影響分析
BIA，是BCP的核心部分，分為5個步驟
確定優先級
業務功能優先列表
確定MTD，最大允許中斷時間
確定RTO，RTO<MTD
復原點目標，RPO
風險識別
可能性評估
為每種風險確定ARO
影響分析
資源優先排序
連續性計劃
策略開發
預備和處理
人員
建築物/設施
基礎設施
計劃批准和實施
計劃批准
計劃實施
培訓和教育
BCP文檔化
1.8.2.2 BCP 的通用範圍
儘管沒有統一的BCP 標準，但大多數計劃通常包括以下幾個方面：
關鍵業務功能
威脅、脆弱性和風險
資料備份和復原計劃
FBCP 相關人員
通訊計劃
BCP 測試要求
1.8.2.3 保護人員、流程和技術這三類資產的要求和技術
1 .人員：
確保緊急情況下組織內外人員的安全是 BCP的首要目標。提供適當的培訓和教育，以便員工了解如何在緊急情況下採取行動。
2 •流程：
評估關鍵業務功能，確定災難發生時所需資源。為關鍵資料處理設施和能力製定備用站點計劃，確保持續運作。
3. 技術：
預測軟硬體故障，制定控制措施以降低風險。實施資料備份和冗餘系統，包括電力、水、通訊和網路連接等基礎設施。
1.9促進並執行人員安全政策和程序
1.9.1候選人的篩選與錄用
員工可能是安全鏈中最脆弱的環節。需要注意，並非所有員工都會將組織的最佳利益放在第一位。內部攻擊往往導致極具破壞性的安全漏洞。因此，人員安全應作為網路安全計畫的一個重要基礎：
•招募經理應與人力資源部門合作，明確並準確地記錄工作職責和描述。
•確定角色的敏感度或分類，以分配適當的權限。
1.9.1.1 背景調查
教育背景
工作經驗
-公民身份
-犯罪記錄
藥物檢測
績效評估
信用和財務歷史
社群媒體活動
注意：國外公司一般不重視體檢（普通的身體健康檢查）
1.9.2. 就業協議與政策
1.9.2.1 保密協議和競業協議
最常見的員工協議是保密協議 (NDA) 和競業協議 (NCA)
1• 保密協設 (NDA)
是一種限制員工或承包商（或其他可能接觸敏感資訊的人員）在受僱期間或與組織關係中獲取的敏感資訊的揭露的協議。保密協議旨在維護組織資料(如商業機密或客戶資訊）的機密性，通常是終身協議（即使在員工離職後）。
2 • 競業協設 (NCA)
是一種限制員工在職期間以及在多數情況下在離職後一定時間內與組織直接的不公平競爭。競爭的協議。競業限制是一種單向協議，旨在保護組織免受前員工或承包商
1.9.2.2 組織要求
除了 NDA 和 NCA，員工可能需要簽署組織的其他要求，如可接受使用政策（AUP)、行為準則或利益衝突政策。
1.9.2.3入職：僱傭協議與策略
入職後，首先簽署僱佛協議，根據職位可能需要簽署保密協議 (NDA) 和競業協議（NCA)等；根據員工職位分配系統存取權限。然後，為員工提供培訓，包括組織文化、策略、流程、技能等
1.9.2.4 員工監督
在員工的整個職位期間，經理應定期審查或評估每位員工的工作說明、任務、權限和責任，以確保他們仍能滿足職位要求。
•特權蠕變 (privilege creep）（特權漂移）：隨著員工工作內容的增加，可能獲得超出職位要求的權限。
•強制休假 (mandatory vacations)：要求員工離開崗位 1-2週，由其他員工頂替，以發現濫用、欺詐或疏忽。
•共謀(collusion）：透過職責分離、強制休假、工作輪調和交叉訓練等措施降低員工意願合作實施非法或濫用計畫的可能性，因被發現的風險較高。
•使用者和實體行為分析 (UEBA)：對使用者和實體進行分析，有助於優化人員管理計畫。
1.9.2.5離職、轉崗、終止過程
員工離職時，需注意以下幾點：
•在員工收到終止通知的同時或之前停用員工的使用者帳戶，但不直接刪除，以備審計之用。
•離職面談時強調 NDA 和 NCA 的責任。
。確保員工歸還公司資產，包括但不限於鑰匙、門禁卡、手機、電腦等。
•安排保全人員陪同員工在工作區回收個人物品。
•通知所有相關人員該員工已離職。
1.9.2.6 供應商、顧問和承包商協議和控制
供應商、顧問和承包商協議和控制 當多個實體或組織參與一個專案時，就會有多方風險 (multiparty risk)。透過服務等級協定(SLA）確保供應商的產品或服務水準達到預期，如果達不到，將涉及賠償，從而確保服務品質。供應商、顧問和承包商有時被稱為外包(outsourcing）。組織也可以透過供應商管理系統(VMS）提高外包管理的效率。
1.9.2.7 合規策略要求
人員安全管理需滿足法律法規的要求，如 PCI DSS。
1.9.2.8 隱私權策略要求
人員安全管理也需滿足隱私策略的要求，如 GDPR。
1.9.3. 人職、職位調動與離職程序
人職、調職和離職是就業的三個階段，每個階段都有自己的安全考量。
1.9.3.1 入職培訓
提醒員工有義務保護資訊和防範威脅，同時應該知道他們的行為可能會被審查。
1.9.3.2崗位調動
調崗時移除不再需要的存取權限，遵循最小特權原則。
1.9.3.3 離職
離職分自願和非自願的。當員工以良好的狀態離職時，通過組織的離職程序即可。
如果是非自願離職，則應採取適當的行動來保護組織的資產
•離職面談，提醒簽署的 NDA 等相關協議
•在通知員工解僱的同時切斷系統存取權限，進行離職清單檢查
•通知其餘員工不再允許被解僱的員工進入組織
離職清單包括：撤銷存取權限、收回鑰匙、徵章、設備和文件。
1.9.4. 供應商、顧問和承包商協議和控制
組織通常會將諸如資料中心託管、應用程式開發等「功能外包。與這些外包或合作組織簽訂NDA 和其他協議，可以增加它們的合規負擔，盡量避免第三方導致敏感資訊外洩。以下是一些建議的安全措施：
-實施存取控制
口對文件交換進行審查
管理和監控維護鉤子（後門）
進行現場評估
檢討流程和政策
制定服務水準協議
19.5.2政策的訓練及懲罰
•員工培訓：為員工和其他相關人 員提供初始和週期性培訓，確保政策遵守。
•安全意識：提高對資訊安全的關注與理解。
•職位相關培訓：根據員工的職位需求提供特定培訓。
•吸策後果明確：在政策中閘述不遵守的潛在後果，如紀律措施、 停職或解僱。
1.9.5. 遵守政策要求
1.9.5.1 組織政策要求
•遵從法律法規：確保組織政策符合適用的法律、法規和其他法律義務。
•吸策一致性：組織的要求、控制和程序必須與政策一致。
1.9.6.隱私政策要求
組織在處理員工敏感資訊時，需要遵循法律和道德責任以保護其隱私。這些資訊可能包括背景調查、社會安全號碼(身分證號碼)、薪資資訊和健康資訊等。為確保訊息
安全，組織應在隱私權政策中酒蓋以下原則：
•最小化原則：僅收集完成合法就業過程所需的資訊。
•限制存取：僅向需要了解此類資訊的人員提供存取權限。
•使用加密 ：盡可能採用加密技術，防止資訊在非正常管道被讀取。
1.10 理解並應用風險管理概念
1. 10.1識別威脅和弱點
風險是指潛在威脅利用脆弱性對組織、目標或資產（包括人員、系統和資料）產生負面影響的可能性。
1.10.1.1 風險分類
•固有風險是指在實施任何控制措施之前所存在的風險
•剩餘風險是指在控制措施到位後仍存在的風險水平
1.10.1.2 威脅(Threat)：
可能有意或無意地破壞資產安全的個人或實體，例如駭客、不滿員工或自然災害等。
1.10.1.3 脆弱性 (Vulnerabilities）
系統中存在的弱點或漏洞，如果被威脅者利用，可能產生風險。
1.10.1.4 資產 (Assets)
資產是任何有價值的東西，其中可能包括人、財產和資訊。
1.10.2.風險評估與分析
1.10.2.1 風險評估的定義
風險是威脅、 脆弱性和資產之間的交叉點。風險評估是一系列的活動，包括識別潛在的威脅和脆弱性，確定這些威脅利用已識別的漏洞的影響和可能性。
1.10.2.2 評估風險的步驟：
1.風險識別：辨識資產和它們對組織的價值
2.風險分析：確定一個威脅利用一個漏洞的可能性
3.風險評估：確定這些潛在威脅的業務影響
4.風險處理：在威脅的影響和反措施的成本之間提供一個經濟平衡
1.10.2.3 風險識別
首先識別組織的資產並確定這些資產的價值，然後識別和描述對資產構成風險的脆弱性和威脅。
1.10.2.4 風險分析
風險分析是從脆弱性評估和威脅分析開始，計算發生風險的可能性並根據影響程度進行排序。
1.10.2.4.1 定性風險分析
很多情況下價值無法被量化，如組織的聲譽、數據的價值，所以只能拍腦我決定，資產價值、風險等級等內容使用等級來標識，如高中低、0-10、百分制等。
定性風險分析的技術有：腦力激盪、分鏡、焦點小組、調查、問卷調查、訪談、場景化、Delphi 技術
1.10.2.4.2 定量風險分析
定量風險分析的主要流程：
•盤點資產、分配價值 (AV)
•將資產與威脅配對
•計算每個資產威脅配對的暴露因子 （EF)，即特定威脅一次破壞資產遭受損失的百分比
•計算每個資產威肋配對的單一損失期望 (SLE)，即特定威肋一次破壞資產損失的錢 (SLE=AV*EF)
•計算每個威脅的年化發生率 (ARO)。即資產一年內面臨的特定威脅發生的機率
•計算每個資產威脅配對的年化損失期望 （ALE)，即特定威脅一年內破壞資產
損失的錢 (ALE=SLE*ARO)
•為每個資產威脅配對制定可能的對策，並計算年化防護成本 (ACS)、ARO、EF 和 ALE 的變化
•對每種對策進行成本效益評估 (cost/beneit evaluation)。選擇對每種威脅最適當的反應措施，即 ALE_per-ALE_post-ACS，結果為正規防護措施有價值，結果為負責防護措施無價值。
1.10.3. 風險響應
風險處理有四個主要類別：
1.10.3.1 風險規避 (Avoid)
透過停止或移除導致風險的活動或技術來消除已確定的風險。
1.10.3.2 風險緩解 (Mitigate)
透過實施政策和技術措施，減少風險可能造成的傷害。
1.10.3.3 風險轉移 (Transfer)
也叫風險分配(Risk Assignmen0),將與風險相關的責任和潛在損失轉移到第三方。
常見的方式：購買保險。
1.10.3.4 風險接受 (Accept)
當避免、減輕或轉移風險的成本超過已實現威脅的預期損失時，接受風險成為一種選擇。
1.10.4. 對策的選擇與實施
1.10.4.1 對策的考慮點：
•人員相關：
聘用（或解僱）、組織結構調整和意識培訓是一些常見的與人員有關的對策。背景調查、僱用實戰、安全意識和培訓工作等。
•管理有關
政策、程序和其他 「基於工作流程"的緩解措施通籍展於此類別。洲量、程序、資料分類和標籤、報告和審查、工作監督。
•技術有關：
加密、配置交更和其他硬體或軟體的改變等。身份驗證方法、加密、受限介面、存取控制清單、協定、防火牆、路由器、入侵偵測系統和剪栽等級。
•物理相關：
警衛、國欄、運動偵測器、帶鎖的門、密封的窗戶、照明、電纜保護、筆記型電腦鎖、徽章、刷卡、警犬、攝影機、門禁前廳和警報器。
1.10.42對策的有效性
從預防、偵測、矯正的角度考感，確保風險對策的有效性。如：加密無法解決某個特定風險，就換個方式，例如：考慮備份。
1.10.4.3對策的成本效益
確保安全措施的成本與被保護資產的價值相符。
1.10.4.4 業務影響
考慮對策的實施和使用是否過於困難，避免因為錯誤使用而增加風險。
1.10.5. 適用的控制類型
1.10.5.1 控制類型
•預防：防止事件發生，例如防火牆、系統備份、IPS。
•偵測：識別事件活動和潛在入侵者，例如 1DS。
•修正：事故發生後修復組件或系統，例如補丁升級。
•威惙：勸阻潛在攻擊者，如圍欄、警犬。
•復原：使環境恢復正常運作狀態，例如係統和資料備份、災難復原站點。
•補償：提供替代控制措施。
1.10.6. 控制評估（安全與隱私）
細織應定期進行安全控制評估(SCA)，以確保安全和隱私控制保持有效。
SCA 可以採用自我評估或第三方的外部評估。
1.10.6.1 SCA 評估方法
•檢驗：評估員通第要求組織提供安全策略、個人資料等清單，以便進行查閱、審查、觀家、研究或分析，並形成初步觀點。
•訪談：評估員與關鍵利害關係人會面，進一步了解已實施的安全控制措施及其運作方式。
。測試：透過測試確認安全控制措施依照文件規定實施、 有效並如預期運作。
1.10.7.監測和測量
•安全控制應持續監控和量化，以街量其效益並提供改進建議。
-應制定一套關鍵績效指標（KPI)，以便量化和街量控制的長期績效。
1.10.8. 報告
建立正式報告，向高階主管、監管機構和其他利害關係人報告關鍵發現或指標，詳細說明對每個被評估控制的結果。報告可能包括以下內容：
內部稽核（如自我評估）
•外部審計（如監管機構或其他第三方審計）
•組織風險狀況的重大變化
•安全或隱私控制的重大變化
•凝似或確認的安全漏洞（或其他事件）
1.10.9. 持續改進
隨著威脅和脆弱性的變化，安全計畫應保持持續改進，加強控制並改善組織的整體資訊安全狀況。企業風險管理(ERM）可以採用風險成熱度模型 (RMM) 進行評估，評估成熟、可持續和可重複的風險管理流程。
1.10.9.1 風險成熟度模型(RMM)
通常包含五個等級：
。臨時 (Ad hoc)：使用臨時性做法，控制不佳。
•起步 (Preliminary）：嘗試遵循風險管理流程，但各部門可能獨立進行風險評估。
•定義 (Defined)：在整個組織範團內採用通用或標準化的風險架構。
•整合 (Integrated）：風險管理作業整合到業務流程中，使用指標收集有效性數據，並將風險視為業務策略決策的要素。
•優化 (Optimized）：專注於實現目標的風險管理，而不僅僅是應對外部威脅；增加策略規劃以實現業務成功，而非僅避免事故：將吸取的經驗教訓重新納入風險管理過程。
1.10.10.風險框架
1.10.10.1NIST 風險管理框架
NIST800-37Rev.2 中風險管理架構（RMF)的6個階段：
•分類 (Categorize)：
將所有資訊系統分類，基於保密、完整性和可用性對組織的潛在影響。
選擇(Select)：
根據分類和影響選擇一套基準控制。
•實作 (Implement)
實施所選的控制。
•評估 (Assess)：
評估控制措施是否正確實施、按計畫運行，並產生預期的安全要求結果。
•授權 (Authorize)：
評估後，組織領導層決定是否授權使用該系統，基於控制措施在風險容忍度內操作系統的能力，並接受剩餘風險。
•監控 (Monitor)：
持續監控控制有效性，確保系統運作在組織的風險承受範田內。如發現重大問題，循環可能從第一步重新開始。
1.11. 理解並應用威脅建模的概念與方法學
1.11.1. 威脅建模
1.11.1.1 威脅建模方法
越早執行威脅建模，成本效益越高。一般從以下三個方面
•以攻擊者為中心
確定潛在攻擊者特徵、技能組合和動機，識別可能實施特定攻擊的攻擊者．制定防禦策略。
•以資產為中心：
確定對組織和潛在攻擊者有價值的資產，評估攻擊者如何可能損害資產。
•以軟體為中心：
使用架構圖（如資料流程圖或組合圖） 表示系統，評估針對每個元件的潛在攻擊，以確定安全控制的必要性、存在性和效果。
1.11.1.2 威脅建模框架
1.
STRIDE （微軟）
2.
PASTA（攻擊模擬與威脅分析流程）
3.
NIST 800-154 （資料為中心的系統威脅建模指南）
4. DREAD（已廢棄，從損害、可複製性、可利用性、受影響的用戶、可發現性對漏洞進行定量風險排序）
5. 其他威脅建模方法
•OCTAVE：專注於組織中的營運風險、安全控制和安全技術。
•Trike：是一個開源的威脅建模方法和工具，專注於使用威脅模型作為風險管理工具。
•CORAS： 也是開源的，主要依靠統一建模語言 (UML)將威脅在前端視覺化
•VAST ：視覺化、敏捷和簡單的威脅建模，是一種利用敏捷概念的方法
1.11.1.3 STRIDE 詳解
•Spoofing identity(欺騙身分）
攻擊者偽造他人的身份，存取應用程式或系統，從而獲得未授權的存取權限
•Tampering with data(篡改資料)
攻擊者試圖更改或破壞應用程式或系統中的數據，以導致意外或惡意的結果
•Repudiation（否認）
攻擊者否認在系統中進行的菜些操作或交易，這樣就可以逃避貴任或產生糾紛
•Information disclosure(資訊外洩）
攻擊者可以從系統中竊取或存取機密訊息，包括使用者密碼、信用卡資訊、公司機密等。
•Denial of service (拒絕服務）
攻擊者試圖阻止或減緩正常用戶存取系統，透過使系統無法使用或崩潰。
•Elevation of privilege(提權）
攻擊者透過利用應用程式或系統的漏洞，從普通用戶提升到管理員或其他特權用戶。
1.11.1.4 PASTA 詳解
PASTA 是一種基於風險的威脅建模方法，它將商業目標與技術需求相結合，使產出結果更容易被高階管理部門理解。與STRIDE 不同，PASTA 方法是一個嚴格意義上的威脅識別框架，它為識別和減輕威脅提供了一個強大的過程。
PASTA 的過程包括以下七個階段：
1. 確定目標
業務目標和需求被確定，以便更好地理解組織的整體風險承受能力以及可能受到威脅的關鍵業務流程和資產。
2.確定技術範圍
技術範圍和應用程式的架構被定義，以便了解可能受到攻擊的系統和元件
3. 應用分解
應用程式被分解成更小的組件，以便更好地理解每個組件的功能、資料流以
4. 威脅分析
及與其他組件之間的關係。這有助於識別可能的攻擊路徑和潛在威脅。格分析可能影響組織的威脅，包括內部和外部威脅。這可以包括識別潛在的攻擊者、他們的動機和能力，以及可能的攻擊手段。
5. 脆弱性分析
對系統的脆弱性進行分析，以確定潛在的弱點和安全漏洞。這可以包括程式碼審查、滲透測試和其他安全評估方法，以便發現和修復安全問題。
6. 攻擊列舉
根據前面的分析，列羊可能針對系統的攻擊。這有助於更好地了解攻擊者可能利用的攻擊手段和路徑。
7. 風險與影響分析
評估每個潛在威脅的風險和影響，以確定優先級，並制定相應的緩解措施和安全策略。這可以幫助組織在降低風險的同時，有效分配資源並專注於重點領域
1.12 成用供應鏈風險管理 (SCRM) 概念
1.12.1. 與硬體、軟體和服務有關的風險
供應商在組織的資訊科技運作中扮演關鍵角色。他們在提供硬體、軟體或雲端運算服務方面對客戶的廠 服務不可或缺。安全專業人員需密切注意與供應商的業務夥伴關係，以保護組織的資訊和「 系統的保密性、完整性和可用性。這個過程被稱為供應商盡職調查，旨在規避與採購硬體、軟體和服務相關的風險。
1.12.1.1 硬體可能的風險：
圖有問題的部件或不符合標準的部件
仿冒或偽造的零件
圖裝有韌體級惡意軟體的電子元件
1.12.1.2 軟體可能的風險：
被植入了木馬
使用的組件庫存在漏洞
1.12.1.3服務可能的風險：
資料外洩
1.12.2. 第三方評估與監測
治理和監督活動應灑蓋現場安全調查、對第三方系統進行正式的安全審計以及在可行情況下進行滲透測試。對於新的第三方合作夥伴，根據組織的安全要求進行評估至關重要，應記錄存在的差距並予以密切監控。
1.12.3. 最低安全要求
與基準類似，組織應建立最低安全要求(MSRS)，以確定供應商和供應鏈中其他參與者必須滿足的最低可接受的安全標準。
MSRS 應酒蓋所有適用的法律、合約或監管要求。同時，對第三方在遵守已建立並傳達的 MSRS 方面的執行情況進行審計和評估至關重要。
1.12.4. 服務水準要求
服務水平協議(SLA）是一種合約協議，規定服務提供者保證一定的服務水平，如：
效能指標、服務可用性、回應時間和其他相關品質標準。如果服務沒有按照約定的水平交付，那麼就會對服務提供者產生後果（通常是財務上的)
1.12.5. 框架
1.12.5.1 處理供應鏈風險的架構：
1.NIST IR 7622
這份文件概述了 在處理供應鏈風險時應考慮的 10個關鍵實務。
2.ISO 28000
15028000.2007 在很大程度上基於計劃-執行-檢查-行動 (PDCA）的特續過程改進模型，以優化安全管理系統並確保組織對安全實踐的遵守。
3.英國國家網路安全中心 (NCSC) 指導意見
分為4個階段（包含 12 項原則）
•評估風險
•建立控制措施
•檢查現有安排
•持續改進
1.13. 建立並維持一個安全意識、教育和訓練汁劃
1.13.1. 提出認知和訓練的方法和技術
安全意識計劃是一項旨在教育使用者識別和應對組織資訊和系統潛在威脅的正式計劃，通常包括新員工培訓、講座、電腦輔助培訓和印刷材料，並透過社會工程模擬、安全倡導者和遊戲化來提高對關鍵安全議題的關注。
1.13.1.1 社會工程
社會工程是一種操縱人心的策路，其中攻擊者透過偽裝成他人，企圖獲取敏感資訊。
網路釣魚是最常見的社會工程形式，也是主要的安全隱患來源。
1.13.1.2 安全衛士
安全衛士是安全最佳實踐的倡導者，而這些員工並沒有把安全當作他們的主要工作。
1.13.1.3 遊戲化
遊戲化是將遊戲元素應用於非遊戲場景，以吸引1和教育目標受眾。
1.13.2. 定期的內容審查
資訊安全是一個持續發展的領域，威脅和漏洞不斷變化。因此，為確保內容的相關性，您需要定期檢視井更新安全底識、教育和培訓計畫的內容。建議至少每年進行申查和更新，以避免過時或不相關的技術和術語。
1.13.3. 方案有效性評估
1.13.3.1培訓指標
如培訓完成率、參與人數等簡要指標。
1.13.3.2測驗
測驗是評估訓練成效的一種有效方法。
1.13.3.3 安全意識日
安全意識日旨在提高安全宣傳，同時可以透過匿示 名問卷收集員工對安全計畫的看法和建議。
1.13.3.4 內部評估
評估方法包括在訓練結束後收集關於安全事件數量或報告的疑似網路釣魚事件數量的增減數
重點習題
你負責組織的安全意識計劃，由於擔心技術變化可能使內容過時，可以採取什麼控制措施防止這種風險： A 遊戲化 B 以電腦為基礎的培訓 C 內容審查 D 實施培訓
正確答案：C 教材上冊 P76 有效性評估
Froneme- 是美國一家線上服務供應商的安全專家。她最近收到版權精有人的申訴，用戶在她的服務上儲存了侵犯第三方版權的資訊。哪一項法律規定了Francine 必須採取的行動？ A. 版權法 B. 蘭姆法 C.數宇千禧年版權法 D.格拉姆-利奇-布菜利法案
正確答案：C P115 版權和數位千禧年版權法，需要把每個法律的詳細名稱記住
目前就一道題
FyAway Travel 在歐洲聯盟(EU）和美國都設有辦事處，並經常在這些辦事處之間傳輸個人資訊。他們最近收到一位歐盟客戶的請求，要求終止帳戶。 根據 《一般資料保護規範》 (GDPR)，處理個人資訊的哪個要求規定個人可要求其資料不再傳播或處理？ A. 訪問權 B.隱私設計 C.被遺忘權 D.數據可攜權
正確答案：C 沒找到
Remee 正在董事會：講解他們對審查網路安全控制的責任，哪個規則要求高階執行人員對資訊安全事務負個人責任 A. 盡職調查規則 B.個人責任規則 C.謹慎人規則 D.正當程序規則
正確答案：C 沒找到 審慎者規則要求高階主管負責確保日常工作中保持適度關注。
張三最近協助一位同事準備CISSP考試，在此過程中，張三洩露了關於考試的機密信息，違反了道德標準的第四條：推進和保護職業，誰可以對張三 提出道德指控？ A 任何人都可以提出指控。 B 任何持有認證或許可證的專業人士都可以提出指控。 C 只有張三的雇主可以提出指控。 D 只有受影響的員工可以提出推控。
正確答案：B 沒找到
Yolanda 是一家金融機構的首 席隱私官，正在研究與客戶支票帳戶相關的德私要求。下列哪一項法律最有可能適用於這種情況？ AGLBA 法 B. SOX 法 C.HIPAA 法 D.FERPA 法
正確答案：A 沒找到 審慎者規則要求高階主管負責確保日常工作中保持適度關注。
出口哪些技術最有可能觸發出口控制法規？ A. 記憶體晶片 B. 辦公生產應用程式 C 硬碟機 D 加密軟體
正確答案：D P119
在完成業務連續性規劃工作並決定接受其中一項風險後，你應該接下來告 什麼？ A 實施新的安全控制以降低風險等級。 B 設計災難復原計劃。 C.重新進行業務影響評估。 D 記錄你的決策過程。
正確答案：D
在對組織的媒體儲存設施所使用的控制措施進行審查時，你想正確分類每個目前已經採取的控制措施。下列哪個控制類別準確描述了設施周圍的圍欄？ （選擇所有適用項目。） A. 物理控制 B.檢測控制 C.威懾控制 D.鋇防控制
正確答案：ACD
以下原則中環個對個人施加了一種與在特定情況下合理人所期望的標準相當的關懷標準？ A. 盡職調查(Due diligence) B. 職責分離 C. 謹慎原則(Due care) D.最小特權
正確答案：C
kelly 相信一位員工在未經授權的情況下將計算資源用於副業。在與管理層 什麼？諮詢後，她決定發起行政調查。在這次調查中，她必須滿足的舉證責任是 A. 證據的優勢 B.超越合理懷疑 C.毋庸置疑 D.沒有標準
正確答案：D 行政調查，不是民事、刑事的，也不是行政法的，所以是沒有標準
Keenan Systems 最近開發了一種新的微處理器製造流程。該公司希望格這友技術授權給其他公司使用，但希望防止未經授權使用該技木。對於這種稅務情況，哪種類型的智慧財產權保護最適合？ A. 專利 B. 商業機密 C.版權 D.商標
正確答案：A
Wike最近安施了一個入侵防止系統與在阻止常見的網路攻擊對他的組織產生影響。 Mike 正在追求哪種類型的風險管理策略？ A. 風險接受 B.風險迴避 C.風險緩解 D. 風險轉移
C
Carl 是一名聯邦特工，正在調查一起電腦犯罪案件。他確定了一名從事非法行為的攻擊者，並希望對該個人提起案件以導致監禁。 Carl必須滿足哪一種證明標淮？ A. 毋庸置疑 B. 證據的優勢 C.超越合理懷疑 D.多數證據
C
一下哪個組織從事電子交易，不會自動受到HIPAA的隱私和安全要求的約束： A 醫療保健提供者 B 健康與健身應用程式開發者 C 健康資訊清算中心 D 健康保險計劃
B 要求醫院、醫生、保險公司和其他處理或儲存私人醫療資訊的組織 沒有程式開發者
Acme wridges 公司正在為其會計部門制定新的控制指施。管理階層擔心一個不法會計師司能能夠創建一個虛假供應商，並向該供應商開立支票作為未提供服務的付款。哪一個安全控制措施最能幫助防止這種情況發生？ A. 強制休假 B. 職責分離 C.深度防禦 D. 工作輪換
A P35
下列哪一種個人通常負責履行高階管理委派的操作資料保護責任，例如驗證資料完整性、測試備價和管理安全策略？ A. 資料保管員 B. 資料所有者 C.用戶 D. 審計員
A P157
Alan 在一家電子商務公司王作般近有一些內容設另一個網站盜用井來經許可重新發布。聚種類型的智慧財產權保護最能保護 Alen公司的收金了 A.商業機密 B. 版權 C.商標 D.專利
B
Tom 啟用了他的雲端基礎架構服務供應商提供的一個應用程式防火境，旨在陽止許多類型的應用程式攻擊。從風險管理的角度來看，Tom 試圖透過實苑這種對策降低哪個指標？ A.影響 B. RPO C. MTO D.可能性
D
Beth是人力資源專員，準備協助解僱一名員工，一下哪一項通常不是解僱流程的一部分： A 離職面談 B 財產回收 C 帳戶終止 D 簽署NCA（非競爭協議）
D
Doolittle Industries 的一名會計職員最近因參與挪用方案而被遠捕。該員工戰款轉入個人帳戶，然後每天在其他帳戶之間轉移資金，以掩蓋數月的數詐行為。下列哪一種控制措施可能最好地提前偵測到這種詐欺？ A 職責分離 B.最小特權 C 防禦性深度 D 強制休假
D
在組織中，誰應該接受初步的業務連續性計劃培訓？ A. 高階執行人員 B. 擔任特定業務連續性角色的人員 C. 組織中的每個人 D. 急救人員
C
詹姆斯正在為他的組織進行風險評估，並試圖為資料中心中的伺服器分配一個資產價值。組織的主要關注是確保在資料中心受損或被摧毀的情況下有足夠的資金可用於重建。在這種情況下，下列哪一種資產估值方法最適合？ A. 購買成本 B.折舊1舊成本 C.替換成本 D.機會成本
C
羅傑的組織遭受了客戶信用卡記錄的洩露。根據 PCIDSS 的條款，下列哪一個組織可能會選擇對此事進行調查？ A. 聯邦調查局 (FBI) B. 當地執法機構 C 銀行 D PCI SSC
C
張三邀請了每個業務單位中的關鍵員工，請他們協助他的安全意識計畫。她們講負責向同儕分享安全資訊並回答與網路安全相關的問題，哪個術語最能描述這種關係？ A 安全冠軍 B 安全專家 C. 遊殘化 D. 同儕審查
A
勢蘭克發現公司執行長的筆記型電腦上隱藏者一個鍵盤記錄器。健盤記錄器最有可能旨在破壞哪個資訊安全原則？ A 機密性 B. 完整性 C. 可用性 D.否認
A
愛麗絲正在幫助她的組織準備評估和採用一個新的基於雲端的人力資源管理 (HRM)) 系統供應商。對於可能的供應商，最適合要求的最低安全標準是什麼？ A 符合所有法律法規 B.以與組織相同的方式處理訊息 C．消除所有已確定的安全風險 D. 符合供座商本身的政策
B
.HAL Systems 最近決定停止提供公共 NTP服務，因為擔心其 NTP 伺服器會被用於放置大型 DD0S 攻擊。 HAL在其 NTP 服務方面採取了哪種類型的風險管理策路？ A.風險緩解 B. 風險接受 C.風險轉移 D.風險迴避
D 風險規避，風險因應的一種方法，是指透過計畫的變更來消除風險或風險發生的條件，保護目標免受風險的影響。風險規避並不意味著完全消除風險，我們所要規避的是風險可能對我們造成的損失。 風險減輕，風險損失的控制，即透過降低損失發生的機率來降低損失發生的程度。採用措施降低風險發生的機率，減輕風險發生的後果，把風險的嚴重性降低到可接受的水平
下列哪一個組成部分應包含在組織的緊急應變指南中？ A. 應通知的緊急事件相關人員名單 B.長期的業務連續性協議 C 啟動組織冷備站點的程序 D 訂購設備的聯絡資訊
A 緊急應變指南： 1. 相應程序 2. 事故通知人員名單（高階主管 BCP成員） 3. 第一響應人員在等待BCP團隊集結時應採取的二級回應程序
Becka 最近與一家備用資料處理設施簽訂了合同，在災難發生時，該設施為她的公司提供空間。該設施包括暖通空調、電力和通訊電路，但沒有備件設備。 Becka 使用的是哪種類型的設施？ A 冷備站點 B. 溫備站點 C 熱備站點 D 行動備站點
A
Greg 的公司最近發生了一起涉及許多客戶個人資料的重大資料外洩事件。 他們應該審查哪些洩漏法規以確保採取適當的措施？ A 他們總部所在州的洩漏法規。 B. 他們經營業務的州的洩漏法規。 C.僅聯邦的洩漏法規。 D.洩漏法規僅適用於政府機構，而不適用於私人企業。
B
Ben 正在尋找一種在全球廣泛接受並專注於資訊安全控制的控制目標框架。下列哪一個框架最適合滿足他的需求？ A. ITIL B. ISO 27002 C CMM D PMBOK
B CMM與RMM混淆
ISC2的道德準則適用於所有持有cissP 認證的人員。下列哪一個不是準則 中的四個強制守則之一？ A. 保護社會、公共利益、必要的公共信任和基礎設施。 B. 揭露違反隱私、信任和道德的行為。 C提供勤勉勝任的服務給委託方。 D.推進和保護專業。
B
資訊安全的哪一個原則規定組織應盡可能實施重疊的安全控制？ A 最小權限原則 B職責分離 C.深度防禦 D.安全通過混淆
C
Ryan 是一位在非營利組織工作的持有CIssP 認證的網路安全專業人員。下列哪些道德義務適 用於他的工作？ （選擇所有適用項目） A.(SC)2 的道德準則 B. 組織的道德準則 C. 聯邦道德準則 D. RFC 1087
AB
Ben 負責保護儲存在資料庫中的支付卡資訊的安全。政策要求他從資料庫中強制刪除這些信息，但出於運營原因，他無法這樣做。他獲得了對政策的例外，並正在尋找一個適當的補償性控制措施來減輕風險。他最好的選擇是什麼？ A.購買保險 B.對資料庫內容進行加密 C. 刪除數據 D.反對例外
B
在作為線上銀行開發人員的角色中，Lis日 器要提交她的程式碼進行河試和甫查。在通過這個過程並荻得批准後，另一位員工梅代碼移至生產環境。這個近程描述了哪一種安全管理？ A. 回歸測試 B. 程式碼審查 C.變更管理 D. Fuzz 測試
C
下列哪一項通常不包括在聘用前的篩選過程中？ A. 藥物測試 B. 背景調查 C.社群媒體審查 D.健康評估
D P34 技能挑戰、藥物測試、信用檢查、駕駛記錄檢查和性格測試/評估
下列哪些通常被視為供應鏈風險？ （選擇所有適用項目。） A.對手在交付給最終客戶之前篡改硬體 B. 對手入侵組織在laas環境中運作的Web 伺服器 C 對手使用社交工程攻擊來 ompromisoa Saas 供應商的員工，以獲得對客戶帳戶的存取權限 D 對手使用殭屍網路進行拒絕服務攻擊
AC