第5章 资产安全保护

The Asset Security domain focuses on collecting, handling, and protecting information.

资产安全领域关注信息在收集、处理和保护过程中的安全。

先知道有什么数据、值多少钱、落在哪里，再决定怎么保护。

看到 Asset Security，优先想到数据分类、生命周期、处理要求、数据状态和保护方法。

All follow-on actions vary depending on the classification.

后续所有操作都会根据分类而变化。

不是所有数据都一个级别。分类越高，控制越严格。

题目问为什么要分类，答案通常是确定价值并匹配适当安全控制。

Assets include sensitive data, hardware, and media.

资产包括敏感数据、处理数据的硬件以及保存数据的介质。

硬盘、服务器、U 盘、备份磁带，只要处理或保存敏感数据，也要跟着分类。

介质和设备的分类通常应不低于其保存或处理的数据分类。

Protecting it from the cradle to the grave.

从数据产生直到销毁都要保护。

创建、使用、传输、备份、归档、报废，每一段都有风险。

生命周期题目不要只选加密，要覆盖收集、位置、维护、保留、残留、销毁。

Determine data security controls and compliance requirements.

确定数据安全控制和合规要求。

PII、PHI、信用卡、欧盟居民数据，都可能触发不同法律或标准。

适用标准先看数据类型、行业、地理位置和处理目的。

Identify and classify information and assets.

识别并分类信息与资产。

先盘点，再定级，再贴标，再按级别保护。

资产安全的起手式是识别与分类，不是直接买工具。

Sensitive data is any information that isn't public.

敏感数据是任何非公开的信息。

只要不该随便给外人看，就要考虑敏感性。

敏感数据不只个人信息，也包括商业秘密、内部流程、技术计划。

PII is any information that can identify an individual.

PII 是任何能够识别个人身份的信息。

姓名、身份证号、出生信息、生物识别、医疗和财务信息都可能是 PII。

PII 泄露常触发通知义务和隐私保护要求。

HIPAA mandates the protection of some health records.

HIPAA 要求保护部分健康记录。

PHI 是能关联到特定人的健康信息，美国场景常和 HIPAA 绑定。

PHI 不是只由医院处理，保险方、清算所和业务伙伴也可能处理。

Proprietary data helps an organization maintain a competitive edge.

专有数据帮助组织保持竞争优势。

代码、设计图、产品路线、商业秘密被竞争对手拿走会很伤。

专有数据题目看关键字：competitive edge、trade secret、internal process。

Government classifications include top secret, secret, confidential, and unclassified.

政府分类包括绝密、秘密、机密和未分类。

核心区别在于未授权披露可能造成的损害程度。

Top Secret 对应 exceptionally grave damage，Secret 对应 serious damage，Confidential 对应 damage。

Organizations can use labels such as confidential, private, sensitive, and public.

组织可使用保密、私有、敏感和公开等标签。

私营组织标签不统一，关键是定义清楚并在策略里落地。

考试更看分类目的和控制匹配，不要求所有组织使用同一套标签。

Security administrators use the requirements to identify security controls.

安全管理员使用这些要求来识别安全控制。

策略说了保密邮件要加密，管理员就要找技术手段让员工能做到。

分类标签后面要接具体控制：加密、访问限制、传输限制、销毁要求。

Security labeling identifies the classification of data.

安全标签用于标识数据的分类。

文件页眉、页脚、水印、元数据，都能提醒人和系统这是什么级别。

安全标签不只用于数字媒体，也可用于纸质、硬件和介质。

DLP solutions detect and block data exfiltration attempts.

DLP 解决方案检测并阻止数据外泄尝试。

DLP 像出口检查站，发现敏感内容要离开组织就拦下来或告警。

DLP 的关键是检测外发内容中的关键词、模式和敏感标签。

Network DLP scans outgoing data.

网络 DLP 扫描外发数据。

邮件、Web 上传、云同步出网前先检查。

题目强调 data leaving the network，优先选 Network DLP 或 Cloud DLP。

Endpoint DLP can scan files stored on systems.

端点 DLP 可以扫描系统上存储的文件。

能防止复制到 U 盘、打印、移动到不该去的位置。

题目强调 USB、打印机、本地终端复制，选 Endpoint DLP。

Content discovery scans files for keywords or patterns.

内容发现会扫描文件中的关键词或模式。

它可以找到本不该存在于某处的敏感数据，比如服务器上明文信用卡号。

发现存量数据位置和违规保存，常对应 DLP content discovery。

Data collection limitation limits privacy risks.

数据收集限制可以降低隐私风险。

不要为了以后可能有用就乱收。少收一点，少背一点风险。

题目问如何减少隐私暴露，优先考虑 minimization 或 collection limitation。

Organizations need to know where data is stored.

组织需要知道数据存放在哪里。

不知道数据在哪，就无法控制权限、跨境、备份和销毁。

云、第三方、跨国场景常考 data location 和 jurisdiction。

Retention policies can reduce liabilities.

保留策略可以降低责任风险。

该删不删，泄露或诉讼时会变成麻烦。

长期备份里泄露旧邮件，常是 record retention 或 backup media 管理失败。

Data remanence is data that remains on media.

数据残留是应被移除后仍留在介质上的数据。

删除只是去掉索引，真实数据可能还在盘上。

remanence 题目常搭配 slack space、磁通残留、SSD 特性。

Clearing overwrites media; purging repeats the process.

清除会覆盖介质，净化会多次重复清除过程。

Clearing 更基础，Purging 更彻底，通常能让介质重新使用。

想重复使用介质并降低恢复可能性，常选 purging。

Degaussing does not affect optical media or SSDs.

消磁不影响光盘介质或 SSD。

消磁适合磁带和磁性硬盘，不适合 SSD、U 盘、光盘。

问 SSD 最可靠销毁，常选 physical destruction 或 cryptographic erasure。

End of life and end of support apply to hardware assets.

生命周期结束和支持终止可适用于硬件资产。

老设备不再卖或不再支持，安全补丁和备件都会成为问题。

老旧系统继续保存旧数据，重点看 retention、migration、EOL/EOS 风险。

Data at rest is data stored on media.

静态数据是存储在介质上的数据。

硬盘、数据库、备份磁带、外部介质里的数据都算静态。

静态数据常用存储加密、访问控制、密钥管理保护。

Data in transit is data transmitted over a network.

传输中数据是通过网络传输的数据。

邮件、API 请求、云同步、VPN 流量都属于传输中。

保护传输中数据常选 TLS、VPN、IPsec、加密通道。

Data in use refers to data in memory.

使用中数据是内存中被应用程序使用的数据。

程序正在处理的数据，可能在内存缓冲区或 CPU 处理中。

使用中数据不只是加密，常靠应用安全、最小权限和内存清理。

Applications should flush memory buffers.

应用程序应清除内存缓冲区。

数据用完就擦掉，减少被转储、读取或复用的机会。

题目提到 sensitive data left in memory，优先考虑 clearing buffers。

Data can move between states.

数据可以在不同状态之间移动。

文件从磁盘读入内存，再通过网络发出，三种状态都经过。

不要把一种控制套全场景，先判断数据处于哪个状态。

DRM methods protect copyrighted works.

DRM 方法用于保护受版权保护的作品。

电子书、软件、视频、音乐，用许可证和限制来控制怎么用。

DRM 常见手段：许可证、在线认证、自动过期、防复制打印转发。

Many organizations and individuals oppose DRM.

许多组织和个人反对 DRM。

DRM 可能影响合法用户体验，也不一定能挡住绕过者。

考试不一定夸 DRM 完美，注意可用性和公平使用争议。

A CASB is logically placed between users and cloud resources.

CASB 在逻辑上位于用户和云资源之间。

它像云入口门卫，把企业内部安全策略搬到云访问上。

题目问把内部数据安全策略应用到云，优先选 CASB。

CASB can monitor access and send alerts.

CASB 可以监控访问并发送告警。

认证授权、加密、日志、活动监控、异常告警都可以做。

CASB 不是单纯加密工具，而是云访问安全控制平台。

DLP scans files before they leave the network.

DLP 在文件离开网络前扫描文件。

看到敏感数据被误发、上传、打印、复制，优先想 DLP。

DLP 题目关键词：exfiltration、outgoing、keywords、patterns、block。

Data protection methods include DRM, DLP, and CASB.

数据保护方法包括 DRM、DLP 和 CASB。

DRM 管内容使用权，DLP 管外泄，CASB 管云访问。

记忆：版权用 DRM，泄漏用 DLP，上云用 CASB。

The data owner has ultimate organizational responsibility.

数据所有者对数据负有最终组织责任。

通常是 CEO、部门主管等业务负责人，不一定是 IT 管理员。

Owner 负责分类、标记要求和足够控制，不是每天维护备份的人。

Controllers determine data collection and use.

控制者决定数据收集和使用方式。

Controller 决定为什么处理数据，Processor 按指示处理数据。

GDPR 场景常考 Controller 与 Processor 的职责边界。

Custodians provide hands-on protection.

保管者提供实际技术保护。

系统管理员、数据库管理员常是 custodian，负责备份、权限、存储等操作。

问技术实施和日常维护，通常是 custodian，不是 owner。

A data subject is the person the data describes.

数据主体是数据所描述的那个人。

数据库记录写的是 Sally，Sally 就是 data subject。

题目给出 PII 记录中的某个人，问其角色，答案常是 Data Subject。

Security baselines provide a starting point.

安全基线提供控制选择的起点。

低、中、高影响和隐私基线，是按最坏影响来选初始控制。

高影响系统通常要包含低、中、高相关控制，隐私系统要考虑 privacy baseline。

Tailoring modifies baseline controls.

裁剪会修改基线控制。

Scoping 决定哪些控制适用，Tailoring 根据组织任务调整控制清单。

Scoping 是范围适用性，Tailoring 是调整基线，别背反。

Organizations identify applicable standards.

组织需要识别适用的标准。

处理信用卡看 PCI DSS，处理欧盟个人数据看 GDPR，政府系统看 NIST。

不处理某类数据就不一定受对应标准约束，先判断适用性。