知识提纲：

安全管理职责
行政管理性、技术性和物理性控制之间的差异
3个主要的安全原则：机密性、完整性、可用性（CIA）
风险管理和风险分析
安全策略
信息分类
安全意识培训

安全管理包括风险管理、信息安全策略、措施、标准、指导原则、基准、信息分类、安全组织和安全教育。安全管理过程是一个不断循环的过程，它从风险评估和确定需求开始，然后对所涉及的系统和实际应用进行监控与评估，接下来是加强意识，最后一步是实现用于解决之前定义的风险和需求的策略和控制。随后，这个循环从头开始。通过这种方式，在安全管理过程中就可持续评估和监控一个组织机构的安全环境，允许其不断适应和发展，以满足企业赖以运作和生存的安全需求。

信息管理者应当指定哪些用户能够访问他们的信息资源以及用户对访问资源拥有怎样的权限。安全管理者的任务是保证实现上述的目标。为了实现管理层的安全指标，就应当利用下列控制：

行政管理性控制：包括开发和发布策略、标准、措施和指导原则；风险管理；人员的筛查；指导安全意识培训；实现变更控制措施。
技术性控制：实现和维护访问控制机制；密码和资源管理；身份标识和身份验证方式；安全设备；基础设施的配置。
物理性控制：控制个人对设施和不同部门的访问；锁定系统；取出不必要的软驱、光驱、USB口；保护设备的周边；检测入侵；环境控制。

安全的基本原则：

机密性：保证机密信息不被窃听/泄漏，或窃听者不能了解信息的真实含义。
完整性：保证数据的一致性，防止数据被非法用户篡改。
可用性：：确保授权的用户能对数据和资源进行及时的和可靠的访问。

安全关键概念的定义：

脆弱性(vulnerability)：是一种软件、硬件、过程或人为缺陷，这种缺陷也许会给攻击者打开其正在寻找的方便之门，从而能够进入某台计算机或某个网络，并对系统环境中的资源进行未授权访问。
威胁(threat)：是针对信息或系统的潜在威胁。
风险(risk)：是针对威胁主体利用脆弱性的可能性以及相应的业务影响。
暴露(exposure)：是由威胁主体早餐资产损失的实例。
对策(countermeasure)或者防护措施(safeguard)能够缓解潜在的风险。

图示：

值得注意的是，通过隐匿来实现安全，是对风险和安全需求的错误理解，往往会造成破坏性的结果。
这种情况下，问题的根源在于对网络安全态势缺乏了解，缺乏了解通常使防护这犯下最致命的错误：认为他们的对手不如自己聪明。这种认识会导致简单而直接的错误以及错误的安全意识的传播。

错误的安全意识包括：

如果缺陷不为人所知，那么就不会被人利用；
因为人们看不到代码，所以经过编译的代码比开源的代码更为安全；
将HTTP流量转移到8088端口可以提供足够的保护；
开发个人加密算法能够防范破解者；

在密码学领域，Kerckhoffs原则包含了针对通过隐匿实现安全的观念：没有任何算法能够绝对保密；只有密钥才是应当保密的组件。他的观点是，攻击者能够破解算法及其逻辑，但是只有通过密钥才能解码敏感数据，因此一定要适当的保护密钥。

ISO/IEC27002的领域包括：

组织的信息安全策略
信息安全基础设施的建立
资产分类和控制
人员安全
物理和环境安全
通信和操作安全
访问控制
系统开发和维护
业务连续性管理
法规遵从

风险指的是破坏发生的可能性以及破坏发生后的衍生情况。信息风险管理(IRM)，是识别并评估风险、将风险降低至可接受级别、执行适当机制来维护这种级别的过程。百分之百安全的环境是不存在的，每种环境都有某种程度的脆弱性，都面临一定的威胁。问题的关键在于识别这些威胁，估计它们实际发生的可能性以及可能造成的破坏，并采取恰当的措施将系统环境的总体风险降低至组织机构认为可以接受的级别。

下面列出几种主要的风险：

物理破坏：火灾、水灾、蓄意毁坏、停电和自然灾害
人为破坏：意外或者有意行为，或者可能降低生产效率的懒散工作态度
设备故障：系统或外围设备故障
内部与外部攻击：黑客、破解和攻击行为
数据误用：共享商业秘密、欺诈、间谍活动和盗窃
数据丢失：通过破坏性方法有意或者无意地造成数据丢失
应用程序错误：计算错误、输入错误和缓存区溢出

风险分析，能够识别脆弱性和威胁以及评估可能造成的损失，从而确定如何实现安全防护措施
风险分析主要有4个目标：

识别资产和它们对于组织机构的价值
识别脆弱性和威胁
量化潜在威胁的可能性及其对业务的影响
在威胁影响和对策的成本之间达到预算的平衡

定量风险分析的步骤：
1.为资产赋予价值
2.估计每种威胁的潜在损失
3.执行威胁分析
4.计算每种威胁的年度损失
5.减轻、转移、避免或接受风险

定性风险分析主要考察各种风险可能发生的场景，并基于不同的观点对各种威胁的严重程度和各种对策的有效性进行等级排列。
定性风险分析技术有：判断、最佳实践、直觉和经验等。

威胁 X 脆弱性 X 资产价值 = 总风险

(威胁 X 脆弱性 X 资产价值) X 控制间隙 = 剩余风险

总风险 - 对策 = 剩余风险

小结一下，安全计划应当从战略、战术、操作角度来解决各种问题。安全是一个业务问题，因此应当被重视，因为安全问题会对公司依赖的资源产生负面影响，所以安全必须被合理融入到公司的整体业务目标。生活在这个世界中是令人愉快的，但是会发生一些糟糕的事情。意识到这一点的人不但能够生存下去，而且会茁壮成长。