Security 101：安全为什么是业务管理问题
第 1 章开头先把视角扶正：CISSP 不是考你会不会堆工具，而是考你能不能从业务目标、风险、成本、法律责任和持续改进来组织安全工作。
安全与风险管理领域涵盖了安全解决方案的许多基础要素
英文原文摘录
The Security and Risk Management domain encompasses many of the foundational elements of security solutions.
中文直译
安全与风险管理领域涵盖了安全解决方案的许多基础要素。
小白解释
这不是一个孤立章节，而是整个 CISSP 的地基。后面的身份、业务连续性、合规、调查伦理都会回到这里。
考点提醒
Domain 1 是管理视角高频区。题目越像“公司该怎么办”，越要先想风险、职责、政策和业务影响。
安全是业务管理的组成部分
英文原文摘录
Security is an element of business management rather than only an IT concern.
中文直译
安全是业务管理的组成部分，而不仅仅是 IT 问题。
小白解释
安全不是技术部门自己玩。真正的安全决策要考虑业务能否持续、风险是否可接受、责任是否明确。
考点提醒
管理类题目先找 business、risk、policy、governance、senior management，少选直接技术操作。
安全存在的目的
英文原文摘录
Security exists to support the organization's objectives, mission, and goals.
中文直译
安全存在的目的，是支持组织的目标、使命和业务目标。
小白解释
安全不是为了“零风险”，而是为了让组织在合理成本下完成业务使命。不同组织的安全重点也会不同。
考点提醒
看到 mission、objectives、strategy、alignment，通常考“安全与业务战略对齐”。
风险评估是识别资产、威胁和漏洞
英文原文摘录
Risk assessment is identifying assets, threats, and vulnerabilities to calculate risk.
中文直译
风险评估是识别资产、威胁和漏洞，并据此计算风险。
小白解释
先知道保护什么、谁会攻击、哪里薄弱、影响多大，再决定怎么防。没有风险评估，控制措施很容易乱花钱。
考点提醒
资产 + 威胁 + 漏洞 + 影响 + 可能性，基本就是风险评估题。
安全应当具有成本效益
英文原文摘录
Security should be cost-effective.
中文直译
安全应当具有成本效益。
小白解释
CISSP 不追求不惜代价的安全。控制措施的成本不应明显超过它降低的风险价值。
考点提醒
选择控制时看 cost-benefit、ALE、business impact。过度保护也可能伤害业务。
安全应当在法律上站得住脚
英文原文摘录
Security should be legally defensible.
中文直译
安全应当在法律上站得住脚。
小白解释
安全动作要有政策、证据、授权和合规依据。否则即使技术上做对，也可能在审计或法庭上解释不清。
考点提醒
遇到调查、监控、取证、处分员工，先看政策授权、法律合规、证据链和审计记录。
安全是一段持续旅程
英文原文摘录
Security is a journey, not a finish line.
中文直译
安全是一段持续旅程，而不是一条终点线。
小白解释
漏洞、攻击手法、业务系统都会变，所以安全要持续评估、压力测试、改进和复盘。
考点提醒
上线不是结束。下一步常是 monitoring、review、reassessment、continuous improvement。
CIA、DAD 与 AAA：安全概念的骨架
CIA 是安全目标，DAD 是安全失败的表现，AAA 是访问控制与追责的工作链条。考试会不断把事件场景映射到这些概念。
信息安全五大支柱是机密性、完整性、可用性、真实性和不可否认性
英文原文摘录
The 5 Pillars of Information Security are confidentiality, integrity, availability, authenticity, and nonrepudiation.
中文直译
信息安全五大支柱是机密性、完整性、可用性、真实性和不可否认性。
小白解释
前三个是 CIA，后两个帮助确认来源并追责。它们不是抽象名词，而是判断安全事件性质的尺子。
考点提醒
泄露看机密性，篡改看完整性，中断看可用性；签名和日志常牵涉真实性与不可否认性。
机密性保护用于防止泄露
英文原文摘录
Confidentiality protections prevent disclosure while protecting authorized access.
中文直译
机密性保护用于防止泄露，同时保障授权访问。
小白解释
机密性不是让任何人都看不到，而是让该看的人能看、不该看的人看不到。
考点提醒
加密、访问控制、身份认证、数据分类、人员培训都是机密性控制。
完整性是保护数据可靠性和正确性的概念
英文原文摘录
Integrity is the concept of protecting the reliability and correctness of data.
中文直译
完整性是保护数据可靠性和正确性的概念。
小白解释
完整性关心数据有没有被未授权修改，或者授权的人有没有误操作导致错误。
考点提醒
哈希校验、数字签名、输入校验、变更控制、IDS 常用于完整性保护。
可用性是指授权主体能及时且不间断地访问对象
英文原文摘录
Availability means authorized subjects are granted timely and uninterrupted access to objects.
中文直译
可用性是指授权主体能及时且不间断地访问对象。
小白解释
系统不是只要保密就行，还要在需要时可用。宕机、DoS、电力故障、备份失败都会影响可用性。
考点提醒
冗余、备份、容错、容量规划、抗 DoS、BCP/DRP 都和可用性密切相关。
披露、篡改和破坏构成 DAD 三元组
英文原文摘录
Disclosure, alteration, and destruction make up the DAD Triad.
中文直译
披露、篡改和破坏构成 DAD 三元组。
小白解释
DAD 可以理解为 CIA 的反面：披露破坏机密性，篡改破坏完整性，破坏或中断破坏可用性。
考点提醒
题目问“违反了 CIA 哪一项”时，先把事件翻译成 DAD：泄露、改动、毁坏/不可用。
不可否认性防止主体声称自己没有执行某个动作
英文原文摘录
Nonrepudiation prevents a subject from claiming not to have performed an action.
中文直译
不可否认性防止主体声称自己没有执行某个动作。
小白解释
它解决“你做了但你不承认”的问题。常见证据包括数字证书、会话 ID、交易日志和审计记录。
考点提醒
不可否认性通常依赖识别、认证、授权、审计和记账，不是单靠一个密码完成。
AAA 服务是所有安全环境的核心安全机制
英文原文摘录
AAA services are a core security mechanism of all security environments.
中文直译
AAA 服务是所有安全环境的核心安全机制。
小白解释
书里提醒：虽然叫 AAA，但完整链条其实包含识别、认证、授权、审计、记账五个环节。
考点提醒
Identification 是你声称是谁，Authentication 是证明你是谁，Authorization 是你能做什么。
记账依赖于证明主体身份并跟踪其活动的能力
英文原文摘录
Accounting relies on the capability to prove a subject's identity and track their activities.
中文直译
记账依赖于证明主体身份并跟踪其活动的能力。
小白解释
没有身份绑定和活动记录，就无法问责。安全不是只拦截，还要能复盘谁在什么时候做了什么。
考点提醒
日志、审计轨迹、时间线重建、证据保全，经常考 accountability/accounting。
保护机制与安全边界：不要押宝单一控制
这一组概念解释“安全控制怎么组织起来”：纵深防御、分层、抽象、数据隐藏、加密和边界，都是为了降低单点失效和越权风险。
纵深防御使用一系列多重控制
英文原文摘录
Defense in depth uses multiple controls in a series.
中文直译
纵深防御使用一系列多重控制。
小白解释
不要只靠一道门。即使某个控制失败，后面还有其他控制继续降低风险。
考点提醒
多因素认证、防火墙 + IDS + 日志 + 最小权限，都是纵深防御思路。
分层是按顺序使用多个控制
英文原文摘录
Layering is the use of multiple controls in a series.
中文直译
分层是按顺序使用多个控制。
小白解释
分层强调控制按层排列，攻击者要突破一层又一层，成本和暴露概率都会提高。
考点提醒
题目出现 multiple layers、series of controls，优先联想到 layering/defense in depth。
抽象用于把相似元素归入组
英文原文摘录
Abstraction is used to collect similar elements into groups.
中文直译
抽象用于把相似元素归入组。
小白解释
抽象让系统不必暴露所有细节，只提供必要接口。用户操作的是简化对象，不是底层复杂实现。
考点提醒
访问控制、对象分组、角色权限和 OOP 场景中常见 abstraction。
数据隐藏是有意放置数据
英文原文摘录
Data hiding is the act of intentionally positioning data so it is not viewable.
中文直译
数据隐藏是有意放置数据，使其不可被查看。
小白解释
隐藏不是神秘化，而是减少不必要暴露。比如普通用户看不到后台字段、配置细节或敏感路径。
考点提醒
不要把 data hiding 和 encryption 混成一件事：隐藏是少暴露，加密是变成不可读密文。
加密是隐藏通信含义或意图的艺术与科学
英文原文摘录
Encryption is the art and science of hiding the meaning or intent of communication.
中文直译
加密是隐藏通信含义或意图的艺术与科学。
小白解释
加密不一定隐藏“有通信发生”，但能让未授权者看不懂内容。
考点提醒
加密主要保护机密性，也可结合哈希、签名保护完整性和真实性。
安全边界是两个安全要求不同的区域交汇处
英文原文摘录
Security boundaries are the intersection of two areas with different security requirements.
中文直译
安全边界是两个安全要求不同的区域交汇处。
小白解释
边界两侧的信任级别不同，所以需要检查、过滤、认证、授权或隔离。
考点提醒
LAN/Internet、DMZ/内网、不同分类级别系统之间，都可能是 security boundary。
安全治理与组织职责：方向、责任和第三方
治理回答“谁定方向、谁承担责任、怎样监督”。CISSP 很爱考高层责任、CISO 独立性、数据所有者与保管者、第三方治理。
安全治理是一组用于支持、定义和指导安全工作的实践
英文原文摘录
Security governance is the collection of practices related to supporting, defining, and directing security efforts.
中文直译
安全治理是一组用于支持、定义和指导安全工作的实践。
小白解释
治理不是具体操作，而是给安全工作定方向、定原则、定责任和监督方式。
考点提醒
Governance 关注 why/what，Management 更关注 how。题目问方向和责任，优先治理。
安全管理是高层管理者的责任
英文原文摘录
Security management is the responsibility of upper management, not of IT staff.
中文直译
安全管理是高层管理者的责任，而不是 IT 人员的责任。
小白解释
IT 可以实施控制，但风险接受、预算、政策批准和最终责任通常在高层。
考点提醒
问“谁对安全最终负责”，通常选 senior management，而不是管理员或安全工程师。
信息安全团队应由指定的 CISO 领导
英文原文摘录
The information security team should be led by a designated CISO.
中文直译
信息安全团队应由指定的 CISO 领导。
小白解释
CISO 负责组织安全计划、策略、沟通和监督，最好能向高层或董事会有效汇报。
考点提醒
CISO 需要足够独立性和高层支持，避免被普通 IT 层级或部门政治压住。
第三方治理是可能由法律或合同要求的监督体系
英文原文摘录
Third-party governance is the system of oversight that may be mandated by law or contract.
中文直译
第三方治理是可能由法律或合同要求的监督体系。
小白解释
外包和供应商不是“交出去就没事”。组织仍要确认第三方满足安全、合规和服务要求。
考点提醒
第三方常考合同条款、SLA/SLR、审计报告、现场评估、持续监控。
文档审查是阅读交换材料
英文原文摘录
Documentation review is the process of reading exchanged materials and verifying them against standards.
中文直译
文档审查是阅读交换材料，并按标准和期望进行验证的过程。
小白解释
先看政策、流程、审计报告、架构图、事件记录等文档，判断对方是否符合要求。
考点提醒
第三方治理题里，documentation review 比直接信任供应商口头承诺更合理。
现场评估能降低未知要求或不现实期望的可能性
英文原文摘录
On-site assessment reduces the chances of unknown requirements or unrealistic expectations.
中文直译
现场评估能降低未知要求或不现实期望的可能性。
小白解释
纸面材料不够时，要实地看物理环境、人员流程、系统控制和运营成熟度。
考点提醒
高风险第三方、关键供应商、重大外包，往往需要现场评估或第三方审计。
安全文档体系：把治理变成可执行要求
政策、标准、基线、流程和指南是 CISSP 的经典考点。它们的区别不是背单词，而是看层级、强制性和使用场景。
政策是关于目的和意图的宽泛陈述
英文原文摘录
Policies are broad statements of purpose and intent.
中文直译
政策是关于目的和意图的宽泛陈述。
小白解释
Policy 定方向，不写太细。比如“公司必须保护客户隐私”和“所有系统必须遵循访问控制原则”。
考点提醒
问最高层原则、组织意图、必须遵守的大方向，多选 Policy。
标准定义硬件、软件和技术统一使用时的强制要求
英文原文摘录
Standards define compulsory requirements for the homogenous use of hardware, software, and technology.
中文直译
标准定义硬件、软件和技术统一使用时的强制要求。
小白解释
Standard 把政策具体化为必须达到的要求，例如密码长度、加密算法、日志保留期限。
考点提醒
关键词 compulsory、mandatory、minimum requirement，常对应 Standard。
基线提供最低安全水平
英文原文摘录
Baselines provide a minimum level of security.
中文直译
基线提供最低安全水平。
小白解释
Baseline 是统一起跑线，比如服务器最小安全配置、默认禁用服务、标准补丁级别。
考点提醒
问“统一最低配置”或“系统至少要达到什么状态”，优先 Baseline。
流程是详细的一步一步操作说明
英文原文摘录
Procedures are detailed step-by-step instructions.
中文直译
流程是详细的一步一步操作说明。
小白解释
Procedure 告诉人具体怎么做，例如账号开通、变更审批、备份恢复、事件上报的步骤。
考点提醒
问具体执行步骤、操作指南、SOP，选 Procedure。
指南是关于如何实施标准和基线的建议
英文原文摘录
Guidelines are recommendations on how standards and baselines are implemented.
中文直译
指南是关于如何实施标准和基线的建议。
小白解释
Guideline 不像政策和标准那样强制，更像最佳实践和可选建议。
考点提醒
问 recommended、optional、best practice、flexible，常对应 Guideline。
安全文档应具体、定义清晰并表达明确
英文原文摘录
Security documentation should be concrete, well-defined, and clearly stated.
中文直译
安全文档应具体、定义清晰并表达明确。
小白解释
文档写得含糊，执行和审计都会出问题。好的文档能让不同团队按同一套规则做事。
考点提醒
文档的价值：一致执行、审计依据、责任清楚、持续改进。
威胁建模与供应链风险：先识别风险，再决定缓解
威胁建模把攻击路径提前画出来，供应链风险管理把外部供应商和组件纳入风险视野。考试重点是方法、顺序和风险优先级。
威胁建模是识别并分类潜在威胁的安全过程
英文原文摘录
Threat modeling is a security process where potential threats are identified and categorized.
中文直译
威胁建模是识别并分类潜在威胁的安全过程。
小白解释
它不是等出事才补救，而是在设计、采购、开发或部署前先想清楚可能怎样被攻击。
考点提醒
关键词 proactive、design phase、identify threats，常指威胁建模。
STRIDE 是一种威胁分类方案
英文原文摘录
STRIDE is a threat categorization scheme.
中文直译
STRIDE 是一种威胁分类方案。
小白解释
STRIDE 对应 Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilege。
考点提醒
S 身份伪装，T 篡改，R 抵赖，I 信息泄露，D 拒绝服务，E 权限提升。
PASTA 是一种七阶段威胁建模方法
英文原文摘录
PASTA is a seven-stage threat modeling methodology.
中文直译
PASTA 是一种七阶段威胁建模方法。
小白解释
PASTA 更偏风险中心，强调目标、技术范围、应用分解、威胁、漏洞、攻击模拟和风险管理。
考点提醒
问 risk-centric threat modeling，常选 PASTA。
简化分析会分解应用、系统或环境
英文原文摘录
Reduction analysis decomposes the application, system, or environment.
中文直译
简化分析会分解应用、系统或环境。
小白解释
把大系统拆成资产、数据流、输入点、特权操作和边界，才能看清攻击面。
考点提醒
数据流路径、输入点、特权操作、安全边界，都是威胁建模要画出来的内容。
DREAD 用于给每个威胁分配风险评级
英文原文摘录
DREAD is used to assign a risk rating to each threat.
中文直译
DREAD 用于给每个威胁分配风险评级。
小白解释
它从损害、可重现性、可利用性、受影响用户和可发现性等角度帮助排序。
考点提醒
问 threat prioritization、risk rating、Damage/Reproducibility 等关键词，想 DREAD。
供应链风险管理确保供应链中的供应商或环节可靠可信
英文原文摘录
Supply Chain Risk Management ensures that all vendors or links are reliable and trustworthy.
中文直译
供应链风险管理确保供应链中的供应商或环节可靠可信。
小白解释
现代系统不是一家做完。硬件、软件、云服务、外包团队、开源组件都可能引入风险。
考点提醒
供应链题不要只看最终产品功能，还要看来源、合同、安全要求、监控和组件透明度。
SBOM 是所有软件组件和依赖项的结构化清单
英文原文摘录
SBOM is a structured list of all software components and dependencies.
中文直译
SBOM 是所有软件组件和依赖项的结构化清单。
小白解释
SBOM 像软件配料表。知道用了哪些组件、版本和来源，才方便追踪漏洞和许可证风险。
考点提醒
问 software transparency、components、dependencies、supply chain，常见答案是 SBOM。
应为供应商建立最低安全要求
英文原文摘录
Minimum security requirements should be established for suppliers.
中文直译
应为供应商建立最低安全要求。
小白解释
供应商必须在合同和服务要求里明确安全底线，例如 MFA、日志、漏洞修复期限、事件通报。
考点提醒
SLA/SLR、第三方评估、持续监控、最低安全要求，都是 SCRM 缓解措施。