注册信息安全专业人员第一章（nisp二级，cisp)知识小记

一.信息安全保障

1.1信息安全保障基础

狭义的信息安全概念

        狭义的信息安全是建立在IT技术基础之上的安全，是信息安全应用技术，有时称为计算机安全或者网络安全。

        信息安全保障的目标是信息的保密性，完整性，可用性不被破坏。

广义上的信息安全概念

        是一个跨学科的安全问题。

        1.安全的根本目的是保证组织业务可持续运行，保证利益相关者生命、财产安全的延续。

        2.信息安全应该建立在信息系统整个生命周期中所关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使信息安全不是一个局部，而是一个整体。

        3.安全要考虑成本因素。

        4.信息系统所维护的不仅仅是业务的支撑和辅助，而是业务的命脉。

信息安全问题的根源

        内因：信息系统的复杂性导致漏洞的存在是不可避免的。复杂性包括过程的复杂性、结构的复杂性，应用的复杂性。

        外因：环境因素，人为因素。

信息安全的特征：

        1.信息安全问题是复杂的问题，具有系统性。

        2.信息安全是动态的安全，具有动态性。

        3.信息安全是无边界的安全，具有开放性和互通性。

        4.信息安全是非传统的安全，与传统安全相比显著不同。

威胁情报的作用

        1.威胁情报有助于应对安全威胁与防御的不平等

        2.威胁情报能降低组织机构信息安全投入

        3.威胁情报能确保找到优先应对的安全问题

        4.威胁情报能帮助组织适应不断发展的技术和环境变化

信息安全属性

        基本属性：保密性，安全性，可用性

        其它属性：真实性、可问责性、不可否认性和可靠性（ISO/IEC27000-2014《信息技术 信息安全 信息安全管理体系概述和词汇》）

信息安全发展阶段

        1.通信安全阶段

        2.计算机安全阶段

        3.信息系统安全阶段

        4.信息安全保障阶段

        5.网络空间安全阶段

 2003年7月，国家信息化领导小组制定出台了《关于加强信息安全保障工作的意见》。

总体要求为：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化的发展，保护公共利益，维护国家安全。

加强信息安全保障工作的主要原则：立足国情，以我为主，坚持管理和技术并重；正确处理安全与发展的关系，以安全保发展，在发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。

工业控制系统的基本结构：数据采集与监控系统(SCADA)，分布式控制系统(DCS)，可编程逻辑控制系统（PLC)

1.2信息安全保障框架

基于时间的安全模型

1.PDR模型（保护-检测-响应）

防护时间Pt（攻击者发起攻击时，保护系统不被攻破的时间）、检测时间Dt（从发现攻击到检测到攻击的时间）、响应时间Rt(从发现攻击到做出有效响应的时间），当Pt>Dt+Rt认为改系统是安全的。

2.PPDR(策略-保护-检测-响应模型）

也称P2DR,模型核心思想是所有防护、检测、响应都是依据安全策略实施的。安全策略由：总体安全策略和具体安全策略两部分组成。系统被对手攻击成功后所暴露的时间（Et),当Pt>Dt+Rt,那么系统是安全的。如果Pt<Dt+Rt,那么Et=(Dt+Rt)-Pt,Et越小系统约安全。

信息安全保障技术框架（IATF)

              核心思想为"纵深防御",3个核心要素为：人，技术，操作。