先聊一個(gè)很多人備考 CISSP 時(shí)容易忽略的問(wèn)題域 2 資產(chǎn)安全里考的信息資產(chǎn)分級(jí)分類(lèi)看著像是一堆定義和流程但在實(shí)際工作中幾乎是所有安全決策的起點(diǎn)。你沒(méi)把資產(chǎn)分好級(jí)后面域 3 的安全架構(gòu)、域 5 的訪問(wèn)控制、域 7 的安全運(yùn)營(yíng)全都得憑感覺(jué)來(lái)。這篇就圍繞信息資產(chǎn)分級(jí)分類(lèi)展開(kāi)把核心概念、落地步驟、常見(jiàn)坑一起說(shuō)清楚既適合備考 CISSP 的讀者也適合真正在公司里做數(shù)據(jù)治理和資產(chǎn)盤(pán)點(diǎn)的人參考。1. 信息資產(chǎn)分級(jí)分類(lèi)到底在解決什么問(wèn)題1.1 為什么沒(méi)有分級(jí)分類(lèi)安全建設(shè)就是空中樓閣先舉個(gè)生活中常見(jiàn)的場(chǎng)景類(lèi)比一下如果家里所有東西都鎖在同一個(gè)保險(xiǎn)柜里鑰匙只配一把那么買(mǎi)菜回來(lái)隨手放桌上的鑰匙串、藏在花盆底下的備用鑰匙都會(huì)讓保險(xiǎn)柜的保護(hù)形同虛設(shè)。反過(guò)來(lái)如果連一卷衛(wèi)生紙都鎖進(jìn)保險(xiǎn)柜日常使用會(huì)變得寸步難行。信息安全里的資產(chǎn)保護(hù)就是同樣的道理信息資產(chǎn)分級(jí)分類(lèi)要做的就是搞清楚家里哪些東西值得鎖進(jìn)保險(xiǎn)柜、哪些放在抽屜里就行、哪些可以擺在明面上。這個(gè)問(wèn)題的本質(zhì)在于安全資源永遠(yuǎn)是有限的。就算是大廠也不可能給每一條數(shù)據(jù)都上同等級(jí)別的加密、審計(jì)和容災(zāi)。分級(jí)分類(lèi)給了你一個(gè)明確依據(jù)把有限的預(yù)算、人力和技術(shù)手段優(yōu)先投放到對(duì)業(yè)務(wù)影響最大的資產(chǎn)上。CISSP 域 2 里反復(fù)強(qiáng)調(diào)的“保護(hù)與業(yè)務(wù)目標(biāo)一致”就是這個(gè)意思這不是一句空話而是要靠分級(jí)分類(lèi)這種基礎(chǔ)機(jī)制來(lái)支撐的。1.2 分級(jí)分類(lèi)在 CISSP 知識(shí)體系中的位置CISSP 一共八個(gè)域域 2 是資產(chǎn)安全重點(diǎn)就是信息資產(chǎn)的識(shí)別、分級(jí)、標(biāo)記和保留。很多考生容易把域 2 和域 1 的安全治理混在一起其實(shí)分界線很清晰域 1 關(guān)注的是治理層面的政策、組織架構(gòu)、合規(guī)要求域 2 關(guān)注的是“資產(chǎn)本身”怎么被認(rèn)識(shí)、怎么被分層、怎么被保護(hù)。這里有個(gè)值得注意的點(diǎn)CISSP 官方教材強(qiáng)調(diào)的分類(lèi)對(duì)象不只是數(shù)據(jù)本身還包括數(shù)據(jù)賴(lài)以存在的信息系統(tǒng)、承載數(shù)據(jù)的物理介質(zhì)、甚至處理數(shù)據(jù)的相關(guān)人員。很多人在實(shí)際做資產(chǎn)盤(pán)點(diǎn)時(shí)只盯著數(shù)據(jù)庫(kù)和文件服務(wù)器把業(yè)務(wù)人員腦子里的經(jīng)驗(yàn)知識(shí)、紙質(zhì)合同、移動(dòng)硬盤(pán)里的備份全漏掉了。CISSP 考試?yán)飼?huì)圍繞這類(lèi)盲區(qū)出題而實(shí)際工作中這類(lèi)遺漏造成的風(fēng)險(xiǎn)往往比技術(shù)漏洞更隱蔽。1.3 什么人最需要吃透這部分內(nèi)容如果你在備考 CISSP這部分是性?xún)r(jià)比相對(duì)高的得分點(diǎn)因?yàn)樗幌衩艽a學(xué)那樣需要大量數(shù)學(xué)基礎(chǔ)也不像網(wǎng)絡(luò)協(xié)議那樣細(xì)節(jié)龐雜只要你理解分類(lèi)的邏輯再記住幾個(gè)關(guān)鍵原則和流程選擇題基本能拿穩(wěn)。如果你在公司里做信息安全治理、數(shù)據(jù)治理、合規(guī)審計(jì)相關(guān)工作這部分就是你的基本功因?yàn)閿?shù)據(jù)安全法、個(gè)人信息保護(hù)法、等保 2.0 甚至行業(yè)監(jiān)管要求都有大量條款建立在“你知道自己有什么數(shù)據(jù)、這些數(shù)據(jù)有多重要”這個(gè)前提之上。我見(jiàn)過(guò)不少安全負(fù)責(zé)人上來(lái)就采購(gòu)數(shù)據(jù)防泄漏系統(tǒng)結(jié)果系統(tǒng)上線后發(fā)現(xiàn)分類(lèi)規(guī)則根本沒(méi)法配置因?yàn)楣緩膩?lái)沒(méi)做過(guò)資產(chǎn)分級(jí)連最基本的“哪些文件屬于機(jī)密”都說(shuō)不清。所以不管考證還是干活把信息資產(chǎn)分級(jí)分類(lèi)吃透都是第一塊多米諾骨牌。2. 核心概念拆解資產(chǎn)、分類(lèi)、分級(jí)、標(biāo)記一個(gè)都不能混2.1 什么是信息資產(chǎn)邊界畫(huà)到哪里CISSP 教材里對(duì)資產(chǎn)的定義范圍比許多人想象中寬包括但不限于數(shù)據(jù)、軟件、硬件、文檔、人員、聲譽(yù)、服務(wù)能力和品牌價(jià)值。實(shí)踐中大家通常把資產(chǎn)分成四個(gè)維度來(lái)盤(pán)點(diǎn)數(shù)據(jù)類(lèi)資產(chǎn)是最核心的包括數(shù)據(jù)庫(kù)記錄、配置文件、源代碼、業(yè)務(wù)文檔、客戶(hù)信息、密鑰證書(shū)系統(tǒng)類(lèi)資產(chǎn)包括服務(wù)器、虛擬機(jī)、容器、中間件、應(yīng)用系統(tǒng)物理類(lèi)資產(chǎn)包括機(jī)房設(shè)備、辦公終端、移動(dòng)設(shè)備、紙質(zhì)檔案人員類(lèi)資產(chǎn)包括正式員工、外包人員、第三方維護(hù)人員。但資產(chǎn)盤(pán)點(diǎn)有個(gè)非常微妙的問(wèn)題清單清單做得再細(xì)如果沒(méi)和分級(jí)掛鉤那只是一份固定資產(chǎn)登記表。真正的信息資產(chǎn)分級(jí)分類(lèi)要把“這份資產(chǎn)一旦泄露、篡改、不可用會(huì)給組織造成什么程度的影響”這個(gè)判斷做出來(lái)。CISSP 考試?yán)锝?jīng)常用“完整性、保密性、可用性”三性來(lái)評(píng)估影響程度實(shí)際工作中還要疊加法律合規(guī)影響和業(yè)務(wù)連續(xù)性影響。2.2 分類(lèi)和分級(jí)有什么本質(zhì)區(qū)別這是最容易混淆的一組概念。分類(lèi)是橫向的維度解決的是“這屬于什么類(lèi)別”比如按部門(mén)劃分、按業(yè)務(wù)線劃分、按數(shù)據(jù)格式劃分、按敏感類(lèi)型劃分目的是在龐大的資產(chǎn)海洋里建立秩序。分級(jí)是縱向的層級(jí)解決的是“這個(gè)資產(chǎn)有多重要或多敏感”比如機(jī)密、秘密、內(nèi)部、公開(kāi)或者一級(jí)、二級(jí)、三級(jí)目的是確定保護(hù)強(qiáng)度的天花板。舉一個(gè)具體例子人力資源部有一份員工薪酬表分類(lèi)上它屬于“人力資源-薪酬數(shù)據(jù)”分級(jí)上它可能是“機(jī)密級(jí)”同樣在人力資源部一份員工入職培訓(xùn)手冊(cè)分類(lèi)上同屬于“人力資源-培訓(xùn)資料”但分級(jí)可能只有“內(nèi)部公開(kāi)”。分類(lèi)讓你能快速檢索同類(lèi)資產(chǎn)并制定一類(lèi)通用的管理要求分級(jí)讓你能對(duì)同類(lèi)資產(chǎn)里不同敏感度的對(duì)象實(shí)施差異化保護(hù)。2.3 分類(lèi)框架怎么選政府和商業(yè)體系怎么取舍CISSP 里會(huì)介紹兩類(lèi)典型的分級(jí)體系。一類(lèi)是政府/軍隊(duì)體系通常采用絕密、機(jī)密、秘密、內(nèi)部、公開(kāi)這種多層級(jí)結(jié)構(gòu)特點(diǎn)是層級(jí)多、流動(dòng)性弱、標(biāo)記要求嚴(yán)格多用于國(guó)防、涉密單位和國(guó)家關(guān)鍵基礎(chǔ)設(shè)施。另一類(lèi)是商業(yè)體系常見(jiàn)的有公開(kāi)、內(nèi)部、機(jī)密、受控機(jī)密或者四級(jí)、三級(jí)、二級(jí)、一級(jí)特點(diǎn)是靈活、便于日常運(yùn)營(yíng)管理適用于大多數(shù)企業(yè)。實(shí)際選擇時(shí)不一定要照搬任何一套現(xiàn)成模板關(guān)鍵是要讓它適配組織自己的風(fēng)險(xiǎn)偏好。我見(jiàn)過(guò)小公司照抄大廠的四級(jí)體系結(jié)果全公司所有文件一律定成“機(jī)密”分級(jí)直接形同虛設(shè)。也見(jiàn)過(guò)大集團(tuán)用兩檔分級(jí)公開(kāi)和敏感結(jié)果敏感文件堆得像山一樣根本分不清哪份才是真正要命的核心資產(chǎn)。分級(jí)不是越多越好也不是越少越好而是要讓組織的管理和技術(shù)手段能承載得住這套體系的運(yùn)行成本。2.4 標(biāo)記系統(tǒng)的作用和常見(jiàn)實(shí)現(xiàn)如果分級(jí)只是停留在 Excel 表里那它只是一個(gè)靜態(tài)臺(tái)賬。CISSP 域 2 強(qiáng)調(diào)資產(chǎn)標(biāo)記的重要性就是要把分級(jí)結(jié)果落實(shí)到文件頭、頁(yè)眉頁(yè)腳、數(shù)據(jù)庫(kù)字段、系統(tǒng)標(biāo)簽、物理介質(zhì)標(biāo)簽上讓任何拿到這份資產(chǎn)的人都能立刻知道它的敏感級(jí)別。標(biāo)記系統(tǒng)的實(shí)現(xiàn)方式有很多最傳統(tǒng)的是手工在文檔上標(biāo)注“機(jī)密”“內(nèi)部”等字樣好一點(diǎn)的企業(yè)會(huì)在辦公套件里做模板強(qiáng)制水印更成熟的會(huì)在數(shù)據(jù)防泄漏、數(shù)據(jù)地圖、數(shù)據(jù)分類(lèi)分級(jí)系統(tǒng)里做自動(dòng)化掃描和標(biāo)簽注入?？荚嚭蛯?shí)際工作中需要掌握的原則是標(biāo)記和分級(jí)必須一一對(duì)應(yīng)標(biāo)記不能隨意更改降級(jí)和解密必須有審批流程。這一點(diǎn)很多企業(yè)做得并不好文檔從機(jī)密級(jí)項(xiàng)目組流轉(zhuǎn)到合作方之后原本的加密和訪問(wèn)控制策略就形同虛設(shè)了。3. 信息資產(chǎn)分級(jí)分類(lèi)的完整實(shí)施路徑3.1 第一步明確資產(chǎn)所有者別讓分類(lèi)變成無(wú)主之事信息資產(chǎn)分級(jí)分類(lèi)第一個(gè)常犯的錯(cuò)誤是讓 IT 部門(mén)或安全部門(mén)大包大攬。IT 部門(mén)往往只知道系統(tǒng)部署在哪里、數(shù)據(jù)庫(kù)存了什么格式的數(shù)據(jù)但對(duì)數(shù)據(jù)究竟有多少業(yè)務(wù)價(jià)值、泄露后會(huì)引發(fā)多嚴(yán)重的后果遠(yuǎn)沒(méi)有業(yè)務(wù)部門(mén)判斷得準(zhǔn)。所以 CISSP 框架特別強(qiáng)調(diào)資產(chǎn)的 owner 是業(yè)務(wù)負(fù)責(zé)人安全部門(mén)是 custodian負(fù)責(zé)按 owner 的要求實(shí)施保護(hù)。我在實(shí)際項(xiàng)目中常用的一種方式是先畫(huà)業(yè)務(wù)流程圖把每個(gè)業(yè)務(wù)環(huán)節(jié)涉及的數(shù)據(jù)和系統(tǒng)都標(biāo)出來(lái)然后拉著業(yè)務(wù)負(fù)責(zé)人逐項(xiàng)確認(rèn)。這個(gè)過(guò)程中業(yè)務(wù)方經(jīng)常會(huì)說(shuō)“這個(gè)數(shù)據(jù)挺重要的你們看著辦”這種回復(fù)其實(shí)沒(méi)有完成分級(jí)判斷你要做的是把問(wèn)題更具體化如果這份數(shù)據(jù)被競(jìng)爭(zhēng)對(duì)手拿到銷(xiāo)售額會(huì)損失百分之幾如果這份數(shù)據(jù)被員工私下刪掉業(yè)務(wù)能撐幾天如果這份數(shù)據(jù)被錯(cuò)誤篡改最嚴(yán)重的后果是什么當(dāng)問(wèn)題具體到影響層面業(yè)務(wù)負(fù)責(zé)人給出的判斷才有參考價(jià)值。3.2 第二步確定分類(lèi)分級(jí)標(biāo)準(zhǔn)和判斷準(zhǔn)則標(biāo)準(zhǔn)不能拍腦袋定至少要包含三塊資產(chǎn)類(lèi)型的分類(lèi)維度、敏感層級(jí)的劃分、判定敏感層級(jí)的規(guī)則。分類(lèi)維度可以參考數(shù)據(jù)內(nèi)容也可以參考業(yè)務(wù)用途常見(jiàn)做法是同時(shí)建兩套標(biāo)簽體系一套標(biāo)簽描述數(shù)據(jù)類(lèi)別一套標(biāo)簽描述敏感等級(jí)然后用矩陣組合起來(lái)。比如一張客戶(hù)訂單表類(lèi)別標(biāo)簽是“交易數(shù)據(jù)”敏感等級(jí)是“機(jī)密”這兩個(gè)標(biāo)簽共同決定了它的保護(hù)策略。敏感等級(jí)的判斷規(guī)則最好量化避免“很重要”“一般重要”這類(lèi)模糊表述。量化可以圍繞三個(gè)維度打分一是保密性影響程度二是完整性影響程度三是可用性影響程度每項(xiàng)打 1 到 3 分綜合得分落在不同區(qū)間就對(duì)應(yīng)不同的敏感等級(jí)。這種方法不一定完美但至少能讓不同的人做判斷時(shí)有一個(gè)相對(duì)一致的標(biāo)尺而且后續(xù)審計(jì)時(shí)拿得出依據(jù)。3.3 第三步實(shí)施資產(chǎn)盤(pán)點(diǎn)與標(biāo)記盤(pán)點(diǎn)這一步最耗時(shí)間也最考驗(yàn)人。真正動(dòng)起來(lái)之后你會(huì)發(fā)現(xiàn)公司的資產(chǎn)數(shù)量遠(yuǎn)比你想象的多而且分布極其零散有業(yè)務(wù)系統(tǒng)里的正式數(shù)據(jù)庫(kù)有員工電腦上部門(mén)共享的目錄有聊天工具里創(chuàng)建的群文件有離職員工交接時(shí)遺漏的項(xiàng)目檔案有放在柜子里的紙質(zhì)合同。每一種存在形態(tài)都要納入盤(pán)點(diǎn)范圍否則漏網(wǎng)之魚(yú)將來(lái)就會(huì)變成最大的風(fēng)險(xiǎn)敞口。盤(pán)點(diǎn)過(guò)程中直接做標(biāo)記會(huì)效率更高。電子文檔打標(biāo)簽可以靠人工也可以靠工具批量處理數(shù)據(jù)庫(kù)字段級(jí)標(biāo)記比較復(fù)雜需要結(jié)合數(shù)據(jù)地圖工具做掃描再通過(guò)人工確認(rèn)敏感字段物理介質(zhì)相對(duì)簡(jiǎn)單貼標(biāo)簽加登記臺(tái)賬即可。這里想多說(shuō)一句標(biāo)記工作不需要追求一步到位可以先定核心業(yè)務(wù)系統(tǒng)的核心數(shù)據(jù)再逐步擴(kuò)展到邊緣系統(tǒng)和歷史遺留數(shù)據(jù)小步快跑比憋大招實(shí)際得多。3.4 第四步定期審查與動(dòng)態(tài)調(diào)整資產(chǎn)不是一成不變的新系統(tǒng)上線、新業(yè)務(wù)啟動(dòng)、數(shù)據(jù)被加工成派生數(shù)據(jù)、合作方引入外部數(shù)據(jù)都會(huì)改變資產(chǎn)的類(lèi)別和敏感程度。分級(jí)分類(lèi)如果不做動(dòng)態(tài)維護(hù)半年之后就基本失真了。CISSP 把定期審查列為分級(jí)分類(lèi)的關(guān)鍵步驟一般推薦至少每年做一次全面復(fù)審業(yè)務(wù)發(fā)生重大變化時(shí)做即時(shí)評(píng)審。審查時(shí)有幾個(gè)敏感觸發(fā)點(diǎn)值得注意數(shù)據(jù)跨境傳輸前數(shù)據(jù)從非敏感區(qū)域遷移到云端前新的法律法規(guī)落地實(shí)施后以及發(fā)生重大數(shù)據(jù)泄露事件后。這些場(chǎng)景下即使資產(chǎn)本身的形狀沒(méi)變組織對(duì)它的敏感度判斷也要相應(yīng)調(diào)整。比如某條數(shù)據(jù)原本不包含個(gè)人信息后來(lái)因?yàn)闃I(yè)務(wù)需要拼接了手機(jī)號(hào)那它的分類(lèi)和分級(jí)就必須立即升格。4. 分級(jí)分類(lèi)落地后怎樣讓控制措施跟得上4.1 分級(jí)結(jié)果如何驅(qū)動(dòng)訪問(wèn)控制和加密策略分級(jí)分類(lèi)做得再漂亮如果不能轉(zhuǎn)化成技術(shù)控制策略那就是紙上談兵。最直觀的轉(zhuǎn)化方式體現(xiàn)在訪問(wèn)控制上機(jī)密級(jí)文件只允許特定崗位和特定級(jí)別的人員訪問(wèn)內(nèi)部級(jí)文件允許全員訪問(wèn)但禁止外發(fā)公開(kāi)級(jí)文件可以被外部合作伙伴共享。這一層要和域 5 的訪問(wèn)控制模型打通實(shí)際落地通常是在身份管理平臺(tái)或系統(tǒng)授權(quán)模型里配置規(guī)則。加密策略的差異化也能從分級(jí)結(jié)果里推出。機(jī)密級(jí)數(shù)據(jù)在存儲(chǔ)和傳輸鏈路中都應(yīng)當(dāng)啟用強(qiáng)加密重要等級(jí)較低的數(shù)據(jù)至少保證傳輸加密對(duì)外公開(kāi)的數(shù)據(jù)甚至可以不加密只做完整性校驗(yàn)。我還見(jiàn)過(guò)一種更細(xì)的做法分級(jí)結(jié)果直接決定備份頻率和容災(zāi)等級(jí)資產(chǎn)越重要備份周期越短恢復(fù)時(shí)間目標(biāo)設(shè)置得越低這是把分級(jí)分類(lèi)的價(jià)值延伸到了業(yè)務(wù)連續(xù)性管理值得參考。4.2 分級(jí)結(jié)果如何影響審計(jì)和監(jiān)控審計(jì)和監(jiān)控的力度同樣應(yīng)該和資產(chǎn)敏感程度掛鉤。機(jī)密級(jí)資產(chǎn)要求開(kāi)啟詳細(xì)的行為審計(jì)包括誰(shuí)訪問(wèn)了、訪問(wèn)了什么字段、做了哪些修改、是否嘗試下載或外發(fā)日志保留時(shí)間也要更長(zhǎng)。內(nèi)部級(jí)資產(chǎn)做概要審計(jì)即可公開(kāi)級(jí)資產(chǎn)甚至可以不記操作日志。實(shí)際操作中很多安全團(tuán)隊(duì)的困擾是日志量太大每天產(chǎn)生的告警根本看不過(guò)來(lái)。分級(jí)分類(lèi)恰好能幫你做告警過(guò)濾只對(duì)敏感級(jí)資產(chǎn)的異常訪問(wèn)行為產(chǎn)生高優(yōu)先級(jí)告警其他資產(chǎn)的行為記錄進(jìn)入冷存儲(chǔ)留作溯源。這樣既不會(huì)漏掉真正的高風(fēng)險(xiǎn)操作也避免了告警疲勞。4.3 分級(jí)結(jié)果如何支撐數(shù)據(jù)防泄漏體系數(shù)據(jù)防泄漏工具運(yùn)行的前提就是一份可靠的敏感數(shù)據(jù)字典和分級(jí)規(guī)則。我之前接觸過(guò)一家企業(yè)的 DLP 項(xiàng)目規(guī)劃階段就把分級(jí)分類(lèi)做在前面給 DLP 配置規(guī)則時(shí)幾乎是一氣呵成機(jī)密的薪酬數(shù)據(jù)匹配正則表達(dá)式加關(guān)鍵字組合客戶(hù)資料匹配特定數(shù)據(jù)庫(kù)表的導(dǎo)出行為源代碼匹配版本控制系統(tǒng)的外發(fā)監(jiān)控。上線后的誤報(bào)率維持在比較低的水平核心原因不是工具的算法有多強(qiáng)而是前期的分級(jí)定義足夠清楚。反過(guò)來(lái)那些沒(méi)有做分級(jí)就直接上 DLP 的公司大概率會(huì)面臨兩個(gè)極端規(guī)則太松敏感文件照樣外發(fā)被審計(jì)和監(jiān)管抓住尾巴規(guī)則太緊員工連正常的郵件附件都發(fā)不出去最后 DLP 被業(yè)務(wù)部門(mén)聯(lián)合要求下線。這個(gè)教訓(xùn)說(shuō)明分類(lèi)分級(jí)不是一個(gè)獨(dú)立的合規(guī)動(dòng)作而是整個(gè)數(shù)據(jù)保護(hù)技術(shù)體系的基座。4.4 分級(jí)結(jié)果如何指導(dǎo)員工意識(shí)教育和流程設(shè)計(jì)再?gòu)?qiáng)大的技術(shù)控制也會(huì)被人為操作繞過(guò)。分級(jí)分類(lèi)的價(jià)值之一就是給員工提供了一個(gè)清晰的行為判斷依據(jù)。比如公司規(guī)定郵件發(fā)送前要先看文件分級(jí)標(biāo)識(shí)機(jī)密級(jí)文件不得通過(guò)郵件外發(fā)打印敏感文件后要立刻取走廢棄的敏感紙張必須進(jìn)碎紙機(jī)共享文件夾里出現(xiàn)未標(biāo)記的敏感文件時(shí)要上報(bào)安全團(tuán)隊(duì)。流程設(shè)計(jì)上也要跟分級(jí)對(duì)齊機(jī)密級(jí)數(shù)據(jù)的導(dǎo)出需要雙人審批內(nèi)部級(jí)數(shù)據(jù)導(dǎo)出只需直線經(jīng)理審批公開(kāi)級(jí)數(shù)據(jù)導(dǎo)出無(wú)需審批。把流程的復(fù)雜度按敏感等級(jí)拉開(kāi)既能保障安全又不至于讓所有業(yè)務(wù)操作都卡在審批鏈條上。這一點(diǎn)特別考驗(yàn)設(shè)計(jì)者的平衡能力流程太粗控制失效流程太死業(yè)務(wù)反噬。分級(jí)分級(jí)正是在這兩個(gè)極端之間提供了一條中間路線。5. 常見(jiàn)坑與排查方法實(shí)錄5.1 分級(jí)標(biāo)準(zhǔn)形同虛設(shè)全員一律填“機(jī)密”這是最常見(jiàn)也最致命的問(wèn)題。一旦所有文件都被打成“機(jī)密”級(jí)別機(jī)密就不再代表任何信息訪問(wèn)控制策略形同虛設(shè)審計(jì)監(jiān)控也會(huì)被海量無(wú)效告警淹沒(méi)。出現(xiàn)這種局面的原因通常是分級(jí)標(biāo)準(zhǔn)和員工對(duì)標(biāo)準(zhǔn)的理解脫節(jié)或者標(biāo)準(zhǔn)定義過(guò)于復(fù)雜員工沒(méi)有足夠精力逐項(xiàng)判斷。排查方法很簡(jiǎn)單看分級(jí)臺(tái)賬的分布情況。如果機(jī)密級(jí)資產(chǎn)占比超過(guò)三成基本可以斷定標(biāo)準(zhǔn)執(zhí)行出了問(wèn)題。解決辦法是簡(jiǎn)化判斷規(guī)則給每個(gè)級(jí)別配一個(gè)直觀示例定期抽查各業(yè)務(wù)線分級(jí)結(jié)果并把分級(jí)準(zhǔn)確率納入部門(mén)考核。不要指望一次培訓(xùn)就能解決分級(jí)文化的形成需要持續(xù)引導(dǎo)和督促。5.2 只盤(pán)數(shù)據(jù)不盤(pán)載體物理介質(zhì)成了大漏洞很多企業(yè)做數(shù)據(jù)分類(lèi)時(shí)只顧著網(wǎng)盤(pán)、數(shù)據(jù)庫(kù)、業(yè)務(wù)系統(tǒng)里的電子數(shù)據(jù)卻忽略了承載同樣敏感信息的物理介質(zhì)。紙質(zhì)合同、打印出來(lái)的財(cái)務(wù)報(bào)表、存有備份數(shù)據(jù)的移動(dòng)硬盤(pán)、報(bào)廢電腦里的舊硬盤(pán)都是等價(jià)的信息資產(chǎn)載體。如果它們的存在形態(tài)沒(méi)納入分級(jí)體系后續(xù)的處理流程里就不會(huì)有保密要求等問(wèn)題爆發(fā)時(shí)才想起來(lái)補(bǔ)救就很難了。排查時(shí)我建議做一次“從紙張到硬盤(pán)”的全面回溯把文檔從打印到分發(fā)、傳閱、歸檔、銷(xiāo)毀整條鏈路上所有可能落地的介質(zhì)列一遍再逐項(xiàng)確認(rèn)是否有對(duì)應(yīng)的分級(jí)標(biāo)簽和保護(hù)流程。這個(gè)過(guò)程經(jīng)常會(huì)發(fā)現(xiàn)最硬核的機(jī)密信息反而以最松散的方式存在于打印室旁邊的廢紙簍里。5.3 分類(lèi)分級(jí)做了但資產(chǎn)所有者不認(rèn)賬有時(shí)分級(jí)結(jié)果做出來(lái)了卻Nobody 真正負(fù)責(zé)。資產(chǎn) owner 覺(jué)得分類(lèi)單是安全部門(mén)做的出了事追責(zé)時(shí)一臉無(wú)辜。這就是典型的沒(méi)有把責(zé)任閉環(huán)。CISSP 強(qiáng)調(diào)資產(chǎn) owner 要對(duì)資產(chǎn)的全生命周期負(fù)責(zé)這個(gè)要求不能停留在政策里要落到日常管理動(dòng)作上。排查方法是看一個(gè)問(wèn)題當(dāng)資產(chǎn)需要進(jìn)行重新分級(jí)或發(fā)生重大變更審批時(shí)簽字的人是誰(shuí)如果是用印秘書(shū)、行政專(zhuān)員隨便代簽?zāi)钦f(shuō)明 owner 制度已經(jīng)虛化。整改方向是把分級(jí)審批流程嵌入到系統(tǒng)變更、數(shù)據(jù)導(dǎo)出、合作方數(shù)據(jù)共享等實(shí)際場(chǎng)景里讓資產(chǎn) owner 在關(guān)鍵節(jié)點(diǎn)必須做出明確判斷和授權(quán)責(zé)任自然就落到了實(shí)處。5.4 只看靜態(tài)分級(jí)忽略派生數(shù)據(jù)和數(shù)據(jù)集成的動(dòng)態(tài)變化兩個(gè)分類(lèi)普普通通的數(shù)據(jù)源拼接在一起后可能變成高敏數(shù)據(jù)。比如用戶(hù)基本信息和用戶(hù)行為日志各自是內(nèi)部級(jí)但合并分析之后就能還原出完整的用戶(hù)畫(huà)像和消費(fèi)習(xí)慣敏感等級(jí)應(yīng)該直接抬到機(jī)密級(jí)。很多組織的分級(jí)體系是靜態(tài)的只對(duì)原始數(shù)據(jù)做標(biāo)記沒(méi)有定義派生數(shù)據(jù)和數(shù)據(jù)集成的分級(jí)規(guī)則。排查時(shí)可以重點(diǎn)看數(shù)據(jù)倉(cāng)庫(kù)和數(shù)據(jù)中臺(tái)里的表哪些表是原始表直接同步的哪些表是經(jīng)過(guò) join、匯總、清洗后生成的。對(duì)于后者建議在數(shù)據(jù)開(kāi)發(fā)規(guī)范里加一條硬性要求生成物數(shù)據(jù)必須由其生產(chǎn)者按照“是否可識(shí)別到個(gè)人、是否涉及商業(yè)秘密、是否屬于敏感類(lèi)別”三問(wèn)進(jìn)行重新定級(jí)否則不允許發(fā)布到共享數(shù)據(jù)域。這既能避免動(dòng)態(tài)場(chǎng)景下的敏感數(shù)據(jù)裸奔也讓數(shù)據(jù)團(tuán)隊(duì)更有責(zé)任心。5.5 外部合作方數(shù)據(jù)沒(méi)納入分級(jí)成為被遺忘的角落和合作伙伴交換數(shù)據(jù)是很常見(jiàn)的業(yè)務(wù)場(chǎng)景但很多組織的分級(jí)分類(lèi)體系只覆蓋公司內(nèi)部資產(chǎn)合作方發(fā)來(lái)的資料、雙方共建的系統(tǒng)數(shù)據(jù)、臨時(shí)存放在共享空間里的聯(lián)合項(xiàng)目材料全都處在監(jiān)管真空中。當(dāng)外部合作方發(fā)生數(shù)據(jù)泄露或者被監(jiān)管問(wèn)詢(xún)時(shí)組織往往連自身在這些數(shù)據(jù)中的責(zé)任邊界都說(shuō)不清。排查方法是把所有涉及外部數(shù)據(jù)交換的接口、臨時(shí)存儲(chǔ)位置、合作項(xiàng)目目錄做一次專(zhuān)項(xiàng)盤(pán)點(diǎn)給每個(gè)數(shù)據(jù)交換通道建立分級(jí)登記記錄明確數(shù)據(jù)類(lèi)別、敏感級(jí)別、使用范圍和保留期限。更嚴(yán)謹(jǐn)?shù)淖龇ㄊ窃诤献骺蚣軈f(xié)議里寫(xiě)明數(shù)據(jù)分級(jí)要求要求合作方同樣按約定標(biāo)準(zhǔn)建立保護(hù)機(jī)制并保留審計(jì)權(quán)。6. 備考 CISSP 與日常工作的幾條真實(shí)心得6.1 從考試角度理解分級(jí)分類(lèi)的考點(diǎn)套路CISSP 在這部分的出題風(fēng)格喜歡考察概念辨析和場(chǎng)景判斷。比如題干描述一個(gè)業(yè)務(wù)場(chǎng)景問(wèn)這件事應(yīng)該由誰(shuí)來(lái)負(fù)責(zé)正確答案大概率是資產(chǎn)所有者題干描述一種控制措施問(wèn)它對(duì)應(yīng)滿足哪些安全目標(biāo)你需要從保密性、完整性、可用性三個(gè)維度去篩選。備考時(shí)不要死記硬背每個(gè)術(shù)語(yǔ)的定義建議把每個(gè)概念還原到一個(gè)實(shí)際場(chǎng)景里去理解。選擇題里還有一個(gè)高頻陷阱把分類(lèi)和分級(jí)混用。題干說(shuō)“按照數(shù)據(jù)內(nèi)容維度將數(shù)據(jù)劃分為客戶(hù)數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、人力資源數(shù)據(jù)”這不是分級(jí)是分類(lèi)題干說(shuō)“將某一類(lèi)數(shù)據(jù)劃分為絕密、機(jī)密、內(nèi)部、公開(kāi)”這是分級(jí)。抓住概念差異題目就能拿穩(wěn)這也是我反復(fù)跟備考者強(qiáng)調(diào)的。6.2 報(bào)名和學(xué)習(xí)資源選擇的理性建議最近總有人問(wèn) CISSP 報(bào)名費(fèi)用多少、要不要報(bào)培訓(xùn)班之類(lèi)的問(wèn)題?？荚噲?bào)名費(fèi)是固定的需要在官方渠道查看最新標(biāo)準(zhǔn)避免被不如實(shí)報(bào)價(jià)的中介坑到。更值得關(guān)注的是學(xué)習(xí)資源的取舍市面上教材、模擬題、視頻課五花八門(mén)我的建議是主教材加一套分域題庫(kù)就夠用了沒(méi)必要囤積一堆課程信息過(guò)載反而影響備考節(jié)奏。CISSP 的難點(diǎn)從來(lái)不是單點(diǎn)知識(shí)而是知識(shí)體系的串聯(lián)。所以做題時(shí)不要滿足于選對(duì)答案要逼著自己把每個(gè)錯(cuò)誤選項(xiàng)為什么錯(cuò)、它對(duì)應(yīng)的是哪個(gè)域的哪個(gè)概念說(shuō)出來(lái)這個(gè)過(guò)程對(duì)綜合理解幫助很大。我當(dāng)年備考后期基本不看教材就是拿錯(cuò)題本反反復(fù)復(fù)推演知識(shí)點(diǎn)在案例中的映射關(guān)系。6.3 學(xué)完這部分內(nèi)容如何反哺實(shí)際工作如果你只是因?yàn)閭淇冀佑|到分級(jí)分類(lèi)我建議考完之后別把這份知識(shí)丟掉。現(xiàn)實(shí)中很多組織和壓縮餅干式的甲方乙方都急需一套能落地的資產(chǎn)分級(jí)體系。你哪怕是先從一個(gè)小小的部門(mén)試點(diǎn)開(kāi)始把他們的數(shù)據(jù)盤(pán)清楚、分好級(jí)、貼上標(biāo)簽再配上幾條訪問(wèn)控制規(guī)則就已經(jīng)比大多數(shù)公司做得規(guī)范了。一個(gè)很實(shí)在的做法是把 CISSP 學(xué)到的分級(jí)流程簡(jiǎn)化成公司的落地模板不要貪多求全先從“客戶(hù)數(shù)據(jù)、員工數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、源代碼”四類(lèi)最敏感的資產(chǎn)切入。等這套運(yùn)行順暢了再逐步擴(kuò)展到商業(yè)秘密、合作伙伴數(shù)據(jù)、分析報(bào)表等更復(fù)雜的類(lèi)別。這個(gè)過(guò)程既是提升組織安全水位的過(guò)程也是把認(rèn)證知識(shí)轉(zhuǎn)化成實(shí)際能力的過(guò)程。6.4 最后分享一個(gè)執(zhí)行層面的細(xì)節(jié)小技巧資產(chǎn)分級(jí)分類(lèi)推進(jìn)困難常常不是方法論出了問(wèn)題而是溝通方式出了問(wèn)題。安全團(tuán)隊(duì)習(xí)慣用“保密性”“完整性”“關(guān)鍵資產(chǎn)”這種術(shù)語(yǔ)業(yè)務(wù)部門(mén)聽(tīng)著就頭大。我這幾年的經(jīng)驗(yàn)是盡量用業(yè)務(wù)視角的話術(shù)去溝通。與其說(shuō)“這臺(tái)服務(wù)器承載了機(jī)密級(jí)數(shù)據(jù)需要加強(qiáng)訪問(wèn)控制”不如說(shuō)“這份客戶(hù)名單一旦被對(duì)手拿到咱們下季度的續(xù)約率會(huì)很危險(xiǎn)”。把分級(jí)分類(lèi)和業(yè)務(wù)價(jià)值直接掛鉤業(yè)務(wù)負(fù)責(zé)人才能理解這不是安全部門(mén)的自嗨而是給業(yè)務(wù)上保險(xiǎn)。我見(jiàn)過(guò)一個(gè)比較成功的推廣方式是在做分級(jí)宣貫時(shí)直接拿一個(gè)業(yè)務(wù)線上的真實(shí)事故來(lái)復(fù)盤(pán)讓大家直觀看到“當(dāng)初如果分級(jí)清楚這個(gè)損失本可以避免”說(shuō)服力遠(yuǎn)勝于十頁(yè)培訓(xùn)課件。信息資產(chǎn)分級(jí)分類(lèi)這塊內(nèi)容無(wú)論從備考 CISSP 還是從實(shí)際工作的角度都值得花時(shí)間好好消化。它不像攻防技術(shù)那么炫酷卻是整個(gè)安全治理體系的地基地基穩(wěn)了上層建筑才有意義。