[Effective Security] 第一章笔记

[Effective Security] 第一章笔记

安全 Security


@ZYX 写于2020年06月30日

第1章 最佳实践、标准与行动计划

前言

本书介绍

  1. 本书目的:
    帮助理解实现有效网络安全所需要的:

    1. 技术
    2. 操作流程
    3. 管理实践
  2. 本书提供:
    1. 关于 实施标准和最佳实践文档的 指南和需求 所需要的技术、操作程序和管理实践的 详细说明
    2. 一个 基于 众多标准和最佳实践文档 实施网络安全的 综合全面的 框架

学习目标

  1. 解释 网络安全标准和最佳实践文件的 必要性
  2. 概述 信息安全良好实践的 标准
  3. 解释 ISO 27001和ISO 27002的 区别
  4. 讨论 NIST网络安全框架的 作用 及 其与ISO 27002目标的 区别
  5. 说明 CIS关键安全控制的 价值

最终总结

  1. 总体的规划 –> NIST的网络安全框架
  2. 制定一套网络安全控制 –> ISF的SGP、ISO 27002
  3. 对于选择特定的控制 –>CIS关键安全控制文档
  4. 其他广泛的网络安全主题和材料 –> 其他文件,尤其是NIST和ITU-T的文件

章节顺序

  1. 介绍 网络安全的 定义,并讨论 网络安全标准和最佳实践文档的 重要性
  2. 接下来,介绍 这些文件 最重要的 来源
  3. 讨论 如何 有效地使用 标准和最佳实践文档

1.1 网络空间和网络安全的 定义

  1. 网络空间:
    网络空间的成分:以计算机和通信技术为基础 或 依赖于计算机和通信技术的 人造设备、这些人造设备使用、存储、处理或加工的 信息、以及这些设备之间的 连接设施。
    ——《网络安全与公共政策的联系》 美国国家研究委员会(National Research Council)
  2. 网络安全
    • 网络安全 是 用来保护网络空间环境、组织和用户资产的 {工具、政策、安全概念、安全保障、指南、风险管理方法、行为、培训、最佳实践、保险和技术}的集合
    • 组织和用户资产包括 连接起来的计算设备、人员、基础设施、应用程序、服务、电信服务、以及网络空间环境中传输或存储的全部信息。
    • 网络安全致力于 确保能够获取和维护 组织和用户资产的安全属性,以 抵御 网络空间环境中 相关的安全风险
      —— 《Overview of Cybersecurity》 ITU-T(国际电信联盟电信标准化部门)

      补充

    • 风险
      衡量 一个实体受到潜在状况或事件威胁的 程度
      影响因素:

      1. 该状况或事件发生所产生的负面结果
      2. 发生的概率
已到首页—已到末页