CISP 老师课堂笔记

信息安全管理的理念：
1.信息安全战略要服务于企业的业务战略
2.信息安全管理是一个全生命周期管理
3.信息安全管理是一个整体管理，任何一个网络行为的参与者都是一个安全的主体，而任何一个安全主体的失败都将导致安全的整体失败。
4.信息安全管理要遵循成本效益原则
5.信息安全管理没有绝对安全，只有相对安全
6.信息安全管理是分级/分层来实现的
7.信息安全管理要遵循适度安全原则，过分的安全性和没有安全性一样是有害的，安全就是一种平衡，平衡点，安全间隙
8.信息安全管理是一个动态管理过程
9.人是信息安全管理中最活跃的因素，同时也是最薄弱的环节。
10.在信息安全管理中三分靠技术，七分靠管理，而且技术永远都不能取代管理。
11.技术不能解决所有问题
12.信息安全管理遵循木桶理论(短板效应)
13.信息安全管理遵循新木桶理论(不同要素之间的紧密结合)
14.信息安全管理要自上而下贯彻执行，自下而上得到满足
15.信息安全管理是一个一把手工程
16.信息安全管理是一个全员参与工程
17.信息安全管理遵循流程化管理方式
18.信息安全战略要服务于企业的业务连续性战略

5*8、7*8 、7*16、7*24

复杂性：投资大、周期长、参与人员众多、跨领域、有明确的质量要求

信息安全的基本属性：
1.保密性/机密性：确保信息不要暴露给未经授权的实体或者进程
授权：授予特定用户具有特定的权限
加密：数据加密-EFS、通讯加密-VPN\SSH\SSL
2.完整性：只有得到允许的人才能修改数据，而且可以判别出数据是否已经被篡改
数字信封、数字签名
3.可用性：得到授权的实体在需要时可以访问数据，即攻击者不能占用全部的资源而阻碍授权者的工作。
Clustering、Backup、UPS

未雨绸缪
亡羊补牢

DIKW：Data->Information->Knowledge->Wisdom

赛博空间

安全需求的来源：
1.法律法规
2.风险评估

信息是关于客观事实的可以通讯的知识，具有如下特征：
1.信息是客观世界中各种事物的特征的反应
2.信息是可以进行交换的，而且随着交换而增值
3.信息是可以形成知识的

信息安全管理的国际标准：ISO 27001
质量管理的国际标准：ISO