人员安全生命周期：人是风险，也是资产
第 2 章先把安全从“机器”拉回到“人”。招聘、入职、转岗、离职、供应商管理，每一步都会影响访问权、责任边界和组织风险。
人是最弱环节
英文原文摘录
Humans are often considered the weakest element in any security solution.
中文直译
人通常被认为是任何安全解决方案中最薄弱的环节。
小白解释
再好的技术控制，也可能被误操作、绕过、忽视、欺骗或内部滥用打穿。
考点提醒
看到“weakest element/link”，优先想到 humans/personnel，而不是软件或网络。
人也能成为资产
英文原文摘录
People can also become a key security asset when they are properly trained and motivated.
中文直译
当人员得到适当培训并被激励时，也可以成为关键安全资产。
小白解释
CISSP 不把员工当成麻烦本身，而是强调通过培训、文化和流程让员工成为安全防线的一部分。
考点提醒
最佳防御不总是技术控制。面对社会工程时，用户教育和意识培训经常是最佳答案。
招聘先有职位描述
英文原文摘录
Hiring new staff typically involves several distinct steps.
中文直译
招聘新员工通常包含若干明确步骤。
小白解释
先定义岗位，再定岗位分类，然后筛选候选人，最后入职和培训。没有职位描述，权限和筛选标准都没根。
考点提醒
问招聘第一步，通常先 create job description / position description。
职责决定权限
英文原文摘录
Job responsibilities should be detailed in a job description.
中文直译
工作职责应在职位描述中详细列明。
小白解释
职位描述不仅用于招聘，还用于判断一个人应该拥有哪些访问权、权限和职责。
考点提醒
权限审计时，把“实际拥有的权限”对比“岗位职责真正需要的权限”。
筛选强度看敏感度
英文原文摘录
Candidate screening is based on the sensitivity and classification defined by the job description.
中文直译
候选人筛选基于职位描述中定义的敏感度和分类。
小白解释
越敏感、越关键的岗位，背景调查、证明材料、许可验证和面试流程越严格。
考点提醒
背景调查要依法合规。涉及线上身份审查时，也要先确认法律限制和反歧视要求。
入职是安全流程
英文原文摘录
Onboarding is the process of adding new employees to the organization.
中文直译
入职是把新员工加入组织的过程。
小白解释
入职不只是办工牌，还包括签协议、学习政策、开通 IAM 账号、分配必要权限和完成岗位培训。
考点提醒
Onboarding 要由政策驱动，不能凭口头习惯随意开权限。
最小权限
英文原文摘录
Users should be granted the minimum amount of access necessary.
中文直译
用户应只被授予完成工作所需的最低访问权限。
小白解释
这就是 least privilege。权限越宽，误用、滥用和攻击后的损害范围越大。
考点提醒
新员工、转岗、提权都要重新评估权限，避免权限积累。
离职是反向入职
英文原文摘录
Offboarding is the reverse of the onboarding process.
中文直译
离职是入职流程的反向过程。
小白解释
离职要禁用账号、撤销证书、收回设备、取消门禁、提醒 NDA，并保存必要记录。
考点提醒
解雇时机很重要：员工正式被通知前，不要让账户停用、门禁取消等动作提前泄露消息。
第三方也要管
英文原文摘录
Vendor, consultant, and contractor controls define performance and consequences.
中文直译
供应商、顾问和承包商控制用于定义绩效、期望和后果。
小白解释
外部人员和组织也会接触系统、数据或设施，所以要用合同、SLA、最小安全要求和监督机制管住。
考点提醒
第三方风险常考 SLA、合同条款、访问控制、监控、终止流程和责任边界。
风险管理核心流程：从资产到响应
风险管理不是“感觉哪里危险”。它要识别资产、威胁、漏洞和暴露，计算或评估风险，再决定响应措施并提交给管理层。
风险管理目标
英文原文摘录
Risk management is the processes of identifying risks, assessing those risks, then selecting responses.
中文直译
风险管理是识别风险、评估风险，然后选择风险响应的过程。
小白解释
先找风险，再评估严重性和可能性，最后决定怎么处理。顺序不能反过来。
考点提醒
问风险管理主线：identify → assess/analyze → respond/treat → monitor/improve。
资产
英文原文摘录
An asset is anything used in a business process or task.
中文直译
资产是业务流程或任务中使用的任何事物。
小白解释
资产不只是服务器，也包括人员、场所、数据、软件、服务、声誉和业务流程。
考点提醒
资产要先盘点和估值，否则无法判断保护优先级。
资产估值
英文原文摘录
Asset valuation is the value assigned to an asset.
中文直译
资产估值是分配给资产的价值。
小白解释
价值可以来自购买成本、开发成本、维护成本、业务关键性、知识产权价值或停机影响。
考点提醒
保护成本不应超过资产或风险降低带来的价值，CISSP 很重视成本效益。
威胁
英文原文摘录
Any potential occurrence that may cause an undesirable outcome is a threat.
中文直译
任何可能导致不良结果的潜在事件都是威胁。
小白解释
威胁可以是人、自然灾害、故障、恶意攻击、疏忽或业务变化。
考点提醒
Threat 是可能造成损害的事件或主体，不等于 vulnerability。
暴露
英文原文摘录
Exposure is being susceptible to asset loss because of a threat.
中文直译
暴露是因为威胁而容易发生资产损失的状态。
小白解释
暴露不代表事故已经发生，而是说明存在潜在损害可能。
考点提醒
Exposure factor (EF) 来自暴露概念，在定量分析中表示损失比例。
风险公式
英文原文摘录
Risk can be defined as risk = threat * vulnerability.
中文直译
风险可表示为：风险 = 威胁 × 漏洞。
小白解释
另一种理解是：风险 = 损害发生概率 × 损害严重程度。
考点提醒
题目中只要有 threat、vulnerability、probability、impact，就在考风险构成。
防护措施
英文原文摘录
A safeguard is any action or product that reduces risk.
中文直译
防护措施是任何可以降低风险的行动或产品。
小白解释
防护措施不一定是买新产品，也可能是流程、培训、配置、监控或合同要求。
考点提醒
Safeguard / control / countermeasure / protection mechanism 在很多题里可以近似理解。
风险范围
英文原文摘录
Scope defines what is included and what is excluded.
中文直译
范围定义了风险管理工作包含什么、不包含什么。
小白解释
范围清楚，评估才不会无限发散，也能让相关方对目标和边界有一致理解。
考点提醒
风险评估前要明确 scope，否则结论不稳定、资源投入也会失焦。
定性与定量风险分析：公式必须会
第 2 章最硬的计算点就是 AV、EF、SLE、ARO、ALE、ACS 和防护收益。公式不难，但要知道每个缩写在场景里代表什么。
两类方法
英文原文摘录
There are two primary risk assessment methodologies: quantitative and qualitative.
中文直译
风险评估有两种主要方法：定量和定性。
小白解释
定量偏数字和金额，定性偏等级、经验和判断。完整风险视角通常需要两者结合。
考点提醒
问 objective / dollar / math 多为 quantitative；问 subjective / rating / opinion 多为 qualitative。
定量
英文原文摘录
Quantitative risk analysis assigns real dollar figures to the loss of an asset.
中文直译
定量风险分析为资产损失分配真实金额。
小白解释
它用钱、概率和公式比较风险，便于预算和成本效益分析。
考点提醒
涉及 AV、EF、SLE、ARO、ALE、ACS，基本就是定量题。
定性
英文原文摘录
Qualitative risk analysis assigns subjective and intangible values.
中文直译
定性风险分析分配主观和无形价值。
小白解释
它用高/中/低、排序、场景、专家判断来评估风险，不强求精确金额。
考点提醒
定性常用 brainstorming、scenario、survey、checklist、interview、Delphi。
Delphi
英文原文摘录
The Delphi technique is an anonymous feedback-and-response process.
中文直译
Delphi 技术是一种匿名反馈与响应过程。
小白解释
它通过匿名方式让专家给意见，减少权威、偏见和从众影响。
考点提醒
问 anonymous consensus，选 Delphi technique。
SLE
英文原文摘录
SLE = asset value (AV) * exposure factor (EF).
中文直译
SLE = 资产价值 AV × 暴露因子 EF。
小白解释
SLE 表示某一威胁发生一次时，对某资产造成的预期损失。
考点提醒
例如 AV=200,000，EF=45%，SLE=90,000。
ARO
英文原文摘录
ARO is the expected frequency within a single year.
中文直译
ARO 是一年内某威胁发生的预期频率。
小白解释
ARO 可以小于 1，也可以大于 1；它是年化频率，不是金额。
考点提醒
每两年一次 ARO=0.5；一年十次 ARO=10。
ALE
英文原文摘录
ALE = SLE * ARO.
中文直译
ALE = SLE × ARO。
小白解释
ALE 是一年里某风险可能造成的期望损失，用来排序和预算。
考点提醒
也可写成 ALE = AV × EF × ARO。
防护收益
英文原文摘录
The cost/benefit equation is (ALE1 – ALE2) – ACS.
中文直译
成本/收益公式为：(ALE1 − ALE2) − ACS。
小白解释
控制措施的价值 = 降低的年化损失 − 控制的年度成本。
考点提醒
收益越高通常越值得实施，但还要结合业务、法律和现实限制。
风险响应与控制类型：怎么处理风险
风险评估告诉你优先级，风险响应决定你要规避、转移、缓解还是接受。控制则从不同角度降低风险，没有任何单一控制是完美的。
风险响应
英文原文摘录
Risk assessment shifts from risk assessment to risk response.
中文直译
风险管理过程会从风险评估转向风险响应。
小白解释
评估只告诉你风险是什么和多严重，响应才决定投入什么措施处理它。
考点提醒
Risk response/treatment 常见选项：avoid、transfer、mitigate、accept。
网络保险
英文原文摘录
Cyber insurance can provide protection against losses from cyberthreats.
中文直译
网络保险可为网络威胁造成的损失提供保护。
小白解释
保险通常属于风险转移，但它不是消除风险，也不能替代基本控制。
考点提醒
问 transfer risk，保险、外包和合同责任转移常是答案。
三类实施方式
英文原文摘录
Controls can be implemented administratively, logically/technically, or physically.
中文直译
控制可以通过管理、逻辑/技术或物理方式实施。
小白解释
政策流程是管理控制，防火墙和认证是技术控制，门锁和摄像头是物理控制。
考点提醒
Administrative / Technical / Physical 是控制实现类别，不要和控制功能类型混淆。
预防控制
英文原文摘录
A preventive control is deployed to stop unauthorized activity.
中文直译
预防控制用于阻止未经授权的活动发生。
小白解释
它尽量让坏事别发生，如锁、认证、访问控制、DLP、防火墙、IPS。
考点提醒
Preventive 是事前阻止；Detective 是事后发现。
检测控制
英文原文摘录
A detection control is deployed to discover unauthorized activity.
中文直译
检测控制用于发现未经授权的活动。
小白解释
检测控制通常在事件发生后发现痕迹，如日志、IDS、审计、摄像记录、调查。
考点提醒
检测不一定阻止事件，但能让组织更快发现和响应。
纠正与恢复
英文原文摘录
A corrective control modifies the environment to return systems to normal.
中文直译
纠正控制会修改环境，使系统恢复正常。
小白解释
纠正控制修问题，恢复控制更强调在较大损害后恢复资源、功能和能力。
考点提醒
备份恢复、系统镜像、集群、热/温/冷站点常和 recovery control 相关。
威慑与指导
英文原文摘录
A deterrent control is deployed to discourage violations.
中文直译
威慑控制用于阻止人们产生违规意图。
小白解释
警卫、摄像头、标识、政策处罚会让人不敢做；指导控制则告诉人应该怎么做。
考点提醒
Deterrent 是劝退，Directive 是指引或强制按方向行动。
补偿控制
英文原文摘录
A compensating control is used in addition to, or in place of, another control.
中文直译
补偿控制用于补充或替代其他控制。
小白解释
当主控制不能用、效果不足或失败时，用另一个控制来达到相近目标。
考点提醒
无法部署首选控制时，找 compensating control。
持续监控、风险登记与成熟度
风险评估只是一个时间点。真正的风险管理要持续监控、报告、改进，并用框架和成熟度模型衡量过程是否稳定可重复。
控制评估
英文原文摘录
The reliability and effectiveness of security controls should be evaluated.
中文直译
应评估安全控制的可靠性和有效性。
小白解释
控制不是部署完就算完成，要验证它是否真的有效、是否符合隐私和合规要求。
考点提醒
Control assessment 关注 control effectiveness，不只是是否存在。
持续监控
英文原文摘录
Security controls should provide benefits that can be continuously monitored and measured.
中文直译
安全控制应提供可持续监控和度量的收益。
小白解释
如果控制的效果无法度量、比较或评估，就很难证明它真的降低了风险。
考点提醒
指标、日志、KRI、KPI、趋势报告都属于持续监控语境。
风险登记册
英文原文摘录
A risk register is a document that records all identified risks.
中文直译
风险登记册是记录所有已识别风险的文档。
小白解释
它跟踪风险、严重性、优先级、责任人、响应措施和状态变化。
考点提醒
Risk register / risk log 常用于记录和跟踪风险管理活动。
热力图
英文原文摘录
A risk matrix or risk heat map is a form of risk assessment.
中文直译
风险矩阵或风险热力图是一种风险评估形式。
小白解释
它通常用概率和影响两条轴，把风险放进高/中/低区域。
考点提醒
3×3 或 5×5 heat map 多属于定性或半定量展示。
持续改进
英文原文摘录
Risk assessment needs to be redone periodically.
中文直译
风险评估需要定期重新执行。
小白解释
威胁、漏洞、业务和系统都会变，所以风险评估不能一劳永逸。
考点提醒
看到 point-in-time metric，就要想到需要 periodic review 和 continuous improvement。
RMM
英文原文摘录
An RMM assesses a mature, sustainable, and repeatable risk management process.
中文直译
RMM 评估成熟、可持续且可重复的风险管理过程。
小白解释
RMM 不只是看一次风险评估，而是看组织风险管理能力的成熟程度。
考点提醒
RMM 五级：Ad hoc、Preliminary、Defined、Integrated、Optimized。
框架
英文原文摘录
Risk frameworks include ISO, NIST, COBIT, SABSA, PCI, and CSF.
中文直译
风险框架包括 ISO、NIST、COBIT、SABSA、PCI 和 CSF。
小白解释
框架给组织提供结构化方法，不同组织应选择适合自身目标、法规和行业的框架。
考点提醒
NIST CSF 2.0 常见六功能：Govern、Identify、Protect、Detect、Respond、Recover。
遗留系统
英文原文摘录
Legacy systems are often a threat because they may not receive security updates.
中文直译
遗留系统常构成威胁，因为它们可能不再接收安全更新。
小白解释
EOL 是产品停产，EOS/EOSL 是停止支持或更新。越旧越难修补，风险越高。
考点提醒
问 legacy risk，注意 EOL/EOS/EOSL、补丁不可用、替换计划和隔离控制。
安全意识、培训与教育：让行为改变
这一节强调行为改变：先让员工意识到安全存在，再训练他们按政策完成工作，最后通过教育培养更深入的安全能力。
意识是前提
英文原文摘录
A prerequisite to security training is awareness.
中文直译
安全培训的前提是意识。
小白解释
人要先知道安全很重要、和自己有关，后面的培训才可能真正起作用。
考点提醒
问 training 前置条件，选 awareness。
共同基础
英文原文摘录
Awareness establishes a common baseline of security understanding.
中文直译
意识在组织内建立共同的安全理解基线。
小白解释
从高管到临时实习生，都需要知道基本安全责任和不能做什么。
考点提醒
Awareness 面向全员，内容基础、广泛、反复提醒。
意识形式
英文原文摘录
Awareness is also created through posters, newsletter articles, and screen savers.
中文直译
意识也可通过海报、简报文章和屏幕保护程序建立。
小白解释
意识不只靠课堂，工作环境里的持续提醒也很重要。
考点提醒
海报、邮件提醒、屏保、短视频、横幅都属于 awareness 手段。
培训
英文原文摘录
Training is teaching employees to perform their work tasks and comply with policy.
中文直译
培训是教员工执行工作任务并遵守安全政策。
小白解释
培训比意识更具体，通常按岗位或角色设计，让员工知道如何按流程做事。
考点提醒
Training 是 administrative security control，且应持续进行。
教育
英文原文摘录
Education is a detailed endeavor in which users learn much more than needed for tasks.
中文直译
教育是更深入的学习，内容超出完成工作任务所需。
小白解释
教育常和认证、晋升、专业安全岗位有关，学习更系统更深入。
考点提醒
Awareness 最浅，Training 面向任务，Education 最深。
微培训
英文原文摘录
Micro-training delivers short, focused, and bite-sized learning modules.
中文直译
微培训提供简短、聚焦、碎片化的学习模块。
小白解释
适合移动端、快节奏和注意力分散环境，用短内容强化单个目标。
考点提醒
Micro-training / micro-learning 是现代安全教育趋势。
效果评估
英文原文摘录
Training metrics should be collected and evaluated.
中文直译
应收集并评估培训指标。
小白解释
培训不是播完视频就结束，要看测试分数、事件减少、错误减少、执行一致性等指标。
考点提醒
Program effectiveness evaluation 关注培训是否真的有效。
定期复审
英文原文摘录
Periodic content reviews should include emerging technologies and trends.
中文直译
定期内容复审应包含新兴技术和趋势。
小白解释
AI、区块链、加密货币等新趋势会改变风险，培训材料也要跟着更新。
考点提醒
安全意识材料要 fresh、creative、updated often，并与业务目标和安全政策对齐。
社会工程：攻击人的信任和习惯
社会工程利用人性、人类行为和组织文化。第 2 章给了大量攻击名称，考试重点是识别场景、区分术语，并知道最有效防御是意识和教育。
定义
英文原文摘录
Social engineering is a form of attack that exploits human nature and human behavior.
中文直译
社会工程是一种利用人性和人类行为的攻击形式。
小白解释
它不一定先攻系统，往往先攻人的信任、恐惧、好奇、善意或紧迫感。
考点提醒
出现 authority、urgency、trust、scarcity 等心理诱导词，警惕社会工程。
两种主要形式
英文原文摘录
Social engineering attacks take two primary forms.
中文直译
社会工程攻击主要有两种形式。
小白解释
一种让人执行未经授权操作，另一种让人泄露机密信息。
考点提醒
场景题先判断攻击者是在骗操作，还是骗信息。
常见原则
英文原文摘录
The common principles are authority, intimidation, consensus, scarcity, familiarity, trust, and urgency.
中文直译
常见原则包括权威、恐吓、共识、稀缺、熟悉、信任和紧迫。
小白解释
这些都是操纵心理的按钮：冒充领导、制造截止时间、说大家都这么做、装成熟人。
考点提醒
Authority 是冒充权威，Urgency 是催你马上行动，Scarcity 是制造稀缺。
信息诱导
英文原文摘录
Eliciting information is gathering or collecting information from systems or people.
中文直译
信息诱导是从系统或人员处收集信息。
小白解释
攻击者可能通过闲聊、调查、社交媒体或电话一点点套出敏感线索。
考点提醒
Eliciting 不一定直接要密码，可能只是拼图式收集情报。
钓鱼
英文原文摘录
Phishing is focused on stealing credentials or identity information.
中文直译
钓鱼攻击专注于窃取凭据或身份信息。
小白解释
钓鱼可以通过邮件、网页、电话、快递、面对面等多种渠道发起。
考点提醒
Spear phishing 是定向钓鱼，Whaling 针对高管，BEC 是商业邮件妥协。
冒充
英文原文摘录
Impersonation is the act of taking on the identity of someone else.
中文直译
冒充是采取他人身份的行为。
小白解释
可以是电话冒充 IT、邮件冒充老板、穿制服进楼、登录他人账号。
考点提醒
Masquerading、spoofing、identity fraud 都可能和 impersonation 关联。
尾随与搭便进入
英文原文摘录
Tailgating occurs when an unauthorized entity gains access under a valid worker.
中文直译
尾随是未授权实体借由合法员工进入设施。
小白解释
Tailgating 通常是员工不知道；Piggybacking 更强调员工知道或有意帮忙放行。
考点提醒
物理访问场景中，门禁、防尾随闸机、访客陪同和安全意识是重点。
最佳防御
英文原文摘录
The most effective defense is user education and awareness training.
中文直译
最有效的防御是用户教育和意识培训。
小白解释
社会工程打的是人，所以不能只靠过滤器。员工要会识别、怀疑、验证和上报。
考点提醒
问社会工程最佳防御，优先 awareness training / user education。