本章要点：

  • 信息安全的概念
    • 了解信息安全的定义及信息安全问题侠义、广义两层概念与区别；；
    • 理解信息安全问题的根源（内因和外因）；
    • 理解信息安全的系统性、动态性、无边界、非传统等特征；
    • 了解威胁情报、态势感知的基本概念及对信息安全的作用。
  • 信息安全属性
    • 理解信息安全属性的概念及CIA三元组（保密性、完整性、可用性）；
    • 了解真实性、不可否认性、可问责性、可靠性等其他不可缺少的信息安全属性。
  • 信息安全视角
    • 了解国家视角对信息安全的关注点（网络战、关键基础设施保护、法律建设与标准化）及相关概念；
    • 了解企业视角对信息安全的关注点（业务连续性管理、资产保护、合规性）及相关概念；
    • 了解个人视角对信息安全的关注点（隐私保护、个人资产保护、社会工程学）及相关概念。

老规矩，加粗部分要背下来。

一、ISO对信息安全的定义

  • 为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而收到破坏、更改、泄露
  • 相关定义：美国法典、欧盟

二、信息安全问题

  1. 狭义的信息安全概念
    1. 建立在以IT技术为主的安全范畴
  2. 广义的信息安全问题
    1. 跨领域
    2. 安全的根本目的是——保证组织业务可持续性运行
    3. 信息安全应建立再整个生命周期关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使得信息安全不是一个局部而是一个整体。
    4. 考虑成本因素
    5. 信息系统不仅是业务支撑，更是业务的命脉

  3. 信息安全问题的根源及特征

    1. 信息安全问题的根源
      1. 内因：信息系统复杂性导致漏洞的存在不可避免
      2. 外因：环境因素、人为因素
    2. 信息安全的特征
      1. 系统性
      2. 动态性
      3. 无边界
      4. 非传统

        三、信息安全属性（CIA三元组：保密性、完整性、可用性）

  4. 基本属性

    1. 保密性
    2. 可用性
    3. 完整性

  5. 其他属性

    1. 真实性
    2. 可问责性
    3. 不可否认性
    4. 可靠性

      四、威胁情报与态势感知

  6. 威胁情报

    1. 为管理人员提供行动和制定决策的依据（可以这么记忆，有威胁的数据才能进行下一步行动）
    2. 建立在大量的数据搜集和处理的基础上，通过对搜集数据的分析和评估，从而形成相应的结论。（足够的样本数据才能反应安全的动态变化）
    3. 威胁情报成为信息安全保障中的关键性能力（死记硬背吧）

  7. 态势感知

    1. 建立在威胁情报的基础上
    2. 利用大数据和高性能计算为支撑，综合网络威胁相关的形式化及非形式化数据进行分析，并形成对未来网络威胁状态进行预判以便调整安全策略

      五、信息安全视角

  8. 国家视角

    1. “网络战”的概念——一个民族国家为了造成损坏或破坏而渗透另一个国家的计算机或网络的行动
    2. 网络战作为国家整体军事战略的一个组成部分成为趋势
    3. 国家关键基础设施保护：
      1. 2016年11月通过的《网络安全法》第三章第二节第三十一条定义了我国关键基础设施的概念，即“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的基础设施”为关键基础设施。（这句话前半句死记，后半句记住危害国家、民生、公共等大范围的词语概念就行）
      2. 信息安全法律的建设是积极主动的预防原则，而不是为了问罪。
    4. 法律建设与标准化
      1. 互联网的开放、自由、脆弱性，使三个因素（国家安全、社会公共利益、个人权利）在网络活动受到来自各方面的威胁，国家需要在技术允许的范围内保持适当的安全要求。
      2. 适度安全：即不要花费过多的成本，结果却限制信息系统的可用性（安全措施会影响业务便捷）；安全保护的立法范围要和应用的重要性保持一致。
      3. 信息安全风险具有“风险不可逆”的特点，需要信息安全法律采取预防为主的法律原则；但是由于信息安全威胁的全局性特点，其法律原则更应当采取积极主动的预防原则。（标红标黑了，你知道该背什么吧）
  9. 企业视角
    1. 业务连续性
      1. 业务数据对组织的重要性使得组织必须关注业务连续性。
      2. 业务连续性是指——企业在应对风险、自动调整和快速反应的能力,以保证企业业务连续运转的能力
    2. 资产保护
      1. 有哪些资产？
      2. 这些资产做什么的？
      3. 哪些资产需要进行保护，保护到什么程度？
    3. 合规性
      1. 法律法规的合规
      2. （行业或地方）标准的合规性
      3. 合同的合规性
  10. 个人视角
    1. 个人角度出发：是技术问题、社会问题、法律问题、道德问题
      1. 隐私保护
      2. 社会工程学
      3. 个人资产安全
    2. 个人信息资产需要考虑的方面：哪些资产被恶意利用，会造成如下危害？
      1. 人身的损害
      2. 财务的损失
      3. 造成法律责任