CISSP学习笔记-2（人员安全和风险管理的概念）.pdfVIP

CISSP学习笔记-2（⼈员安全和⻛险管理的概念）

1-知识点总结

⼈员安全策略和程序

在所有安全解决⽅案中，⼈员经常被视为最薄弱的环节

⼈员安全策略

职责离（Separation of duties）：

防⽌个⼈具备破坏、颠覆整个系统的可能，防⽌串通。

⼯作职责（Job responsibilities)：

最⼩特权原则

岗位轮换（Job rotation)：

知识备份，降低欺诈、数据更改的⻛险 雇佣协议、必威体育官网网址协议、定期审查、强制休假。

⾸先，它提供⼀种知识备份

其次，岗位轮换可降低欺诈、数据更改、盗窃、破坏和信息滥⽤的⻛险

交叉培训

作为⼀类应急响应程序使现有的其他⼈员在恰当的员⼯不能⼯作时能填补职位空缺。

最脆弱的元素，经过适当培训后也可以成为关键的安全资产，是安全⼯作中有价值的合作伙伴

第三⽅⼈员控制

如果第三⽅⼈员不驻场，但拥有管理员权限

应当与第三⽅组织和个⼈均签订必威体育官网网址协议

监控第三⽅的所有⼯作⾏为

在接⼊时，确保对第三⽅⼈员的身份进⾏验证

如果第三⽅⼈员驻场，并拥有管理员权限

在上述措施的基础上，增加⼈员背景调查

第三⽅⼈员离场，需要收回相关的权限

在与第三⽅的合同条款上，增加必威体育官网网址要求，和相关的商务条款

岗位描述与职责

岗位描述应该考虑安全问题

定义了需要配给员⼯的⻆⾊，⻆⾊与特权、任务⼀致

职责清单是配访问权限、许可和特权的知道

并⾮招聘，全⽣命周期

候选⼈筛选和招聘

背景调查包括

获得候选⼈的⼯作和教育背景；

检查推荐信；

验证学历;

访谈同事、邻居和朋友;

检查被捕或从事⾮法活动的管理记录;

通过指纹、驾照和出⽣证明验证身份;

进⾏个⼈⾯试;

对申请⼈进⾏在线背景调查和社交⽹络账户审查已成为标准做法。

⼊职：雇佣协议及策略

最⼩特权、访问权限原则

NDA必威体育官网网址协议

员⼯的岗位职责发⽣变化，访问新的资产，签署额外的NDA

竞业协议 NCA

员⼯监督

漂移或特权蔓延也可能导致安全违规。定期审查每个职责描述的范围与实际发⽣的情况有助于将安全违规⾏为保持到最低程度。

强制休假

其他员⼯使⽤其账户执⾏其⼯作职责，检测滥⽤、欺诈或疏忽⾏为，验证⼯作任务和特权

职责离，岗位轮换，交叉培训，强制休假可以降低⻛险-串供

UBA：⽤户⾏为析

UEBA：⽤户与实体⾏为析

可以改进⼈员安全策略、程序、培训和相关的安全监督计划

离职、调动和解雇流程

员⼯调动到不同部⻔、设施或者物理位置时候，也可能要使⽤离职流程

⼈员调动可能被视为开除/重新雇佣

决定使⽤哪个程序的因素包括：

是否保留相同的⽤户账户

是否调整他们的许可

新⼯作职责是否与以前的职位相似

是否需要⼀个新的历史清⽩的账户

新⼯作职位是否需要审计

供应商、顾问和承包商的协议和控制

使⽤服务⽔平协议（SLA）是⼀种确保提供服务⽔平的⽅法

SLA以及供应商、顾问和承包商控制是降低⻛险和规避⻛险的重要部

外包是转移或转让⻛险的应对措施

VMS供应商管理系统功能：

便利订购

订单发

订单培训

统⼀计费

合规策略要求

合规的好处

⾼质量

⼀致性

效率

节约成本

违反合规的损害

利润

市场份额

认可