INFO5990-Week10-Lecture-Summary
一、本周整体框架
Week 10 Lecture 的主题是 Security Management — Part 2（安全管理第二部分），是 Week 8（信息安全基础）与 Week 9 的延续与深化，重点在于：如何通过框架、标准、威胁建模与应急计划，在数据的整个生命周期和现代云环境中系统性地保护组织的信息资产。
本周讲义按以下四大议程（Agenda）展开：
- Data Lifecycle and Governance frameworks（数据生命周期与治理框架）
- Cybersecurity standards and Best practices（网络安全标准与最佳实践）
- Threat modelling and Incident response（威胁建模与事件响应）
- Modern IT Security（现代IT安全）
核心逻辑链：
数据在生命周期的每个阶段都需要安全控制 → 用治理框架（NIST CSF、GDPR）把安全与业务目标对齐 → 用网络安全标准（ISO 27001、PCI DSS、HIPAA）确保合规一致 → 用威胁建模（STRIDE）预判攻击 → 用 IRP / DRP / BCP 三层计划应对事件、灾难与业务中断 → 在云与远程办公环境下，以纵深防御与持续监控应对不断演化的威胁。
提示： 本周内容与 Week 9 高度重叠（同为 Security Management Part 2），可与 Week 9 总结配合复习；考试中安全相关的简答题与案例题主要落在这一部分。
二、Data Lifecycle（数据生命周期）
2.1 为什么重要
数据生命周期（Data Lifecycle）是信息安全与数据治理的基础概念，它描述了数据如何被创建、使用、存储，并最终被销毁。数据并不是静止的，它会经过多个阶段，而 IT 专业人员必须在每一个阶段都施加相应的安全控制。常见模型包含 6 至 7 个阶段（不同框架略有差异）。
2.2 六个阶段及其安全控制
下表总结了每个阶段的关键活动与对应的安全关注点：
| 阶段 | 说明 | 安全关注点（Security Focus） |
|---|---|---|
| 创建 / 收集（Creation / Collection） | 数据从用户、设备或系统中产生或收集（如注册表单、IoT 传感器、员工记录） | 数据最小化（只收集必要数据）、安全的输入校验、在收集点取得知情同意（informed consent） |
| 存储（Storage） | 数据保存在数据库、数据仓库或云存储中 | 静态加密（encryption at rest）、访问控制（谁可读/写）、冗余与备份以防丢失 |
| 使用 / 处理（Usage / Processing） | 数据用于运营、分析或决策 | 使用中加密（confidential computing）、基于角色的访问控制（RBAC）、审计日志记录谁访问/修改了数据 |
| 共享 / 分发（Sharing / Distribution） | 数据在内部部门间或与外部伙伴、供应商、监管机构之间共享 | 传输中加密（TLS/SSL、VPN）、对第三方做数据脱敏/匿名化、用合同/协议确保符合隐私法 |
| 归档（Archival） | 不再活跃使用但因合规、历史或业务原因需保留的数据（如旧财务记录、病历） | 安全的长期存储、检索控制（仅授权用户）、法定保留期限（如税务记录保留 7 年） |
| 销毁 / 处置（Destruction / Disposal） | 不再需要的数据被安全销毁 | 物理文件粉碎、磁盘擦写/覆盖（DoD 5220.22-M、NIST 标准）、云环境中的加密擦除（cryptographic erasure） |
2.3 贯穿生命周期的 CIA 安全
在每个阶段，IT 专业人员都必须落实 CIA 三元组：
- 机密性（Confidentiality）： 只向需要的人开放访问。
- 完整性（Integrity）： 确保数据准确、未被篡改。
- 可用性（Availability）： 确保授权用户在需要时能访问数据。
关键洞察： 数据泄露常常发生在组织忘记保护"非活跃"或"已归档"数据的时候。像 GDPR 这样的法规要求组织清楚地知道数据处于生命周期的哪个阶段。安全的生命周期管理能够防止未授权访问、误用与法律上的不合规。
三、Governance Frameworks（信息安全治理框架）
信息安全治理（Information Security Governance）就是建立政策、流程与控制措施，使信息资产得到保护并与业务目标保持一致。常见框架包括 ITIL 与 COBIT（已在 Week 6 讲解）、以及本周重点的 NIST 与 GDPR。
3.1 NIST Cybersecurity Framework (CSF)
- 来源： 由美国国家标准与技术研究院（NIST）开发，最初面向关键基础设施，现已被全球广泛采用。
- 主要价值： 为网络安全讨论提供统一语言；帮助根据风险暴露对安全投资排定优先级；鼓励持续改进。
- NIST CSF 的核心是五大功能：Identify（识别）→ Protect（保护）→ Detect（检测）→ Respond（响应）→ Recover（恢复），并配合风险管理框架（Risk Management Framework）使用。
3.2 GDPR（通用数据保护条例）
- 来源： 欧盟法规，于 2018 年 5 月生效。其目的在于保护欧盟公民的个人数据与隐私权、统一各成员国的数据保护法、并赋予个人对其数据更多的控制权。
个人数据权利（Individual Rights）： 访问权、更正权、删除权、限制处理权、数据可携带权、反对权，以及不受自动化决策显著影响的权利。
GDPR 七大原则：
- 合法、公平与透明（Lawfulness, Fairness, Transparency）——数据须合法、公平、透明地处理。
- 目的限制（Purpose Limitation）——只为特定目的收集数据。
- 数据最小化（Data Minimization）——只收集必要的数据。
- 准确性（Accuracy）——保持数据准确且最新。
- 存储限制（Storage Limitation）——只在必要期限内保留数据。
- 完整性与机密性（Integrity and Confidentiality）——防止未授权访问、丢失或损坏。
- 问责制（Accountability）——组织必须能够证明其合规性。
NIST 与 GDPR 的区别（高频考点）： NIST CSF 是美国开发的自愿性网络安全框架，提供基于风险的方法论（五大功能），侧重"如何把安全做好"；GDPR 是欧盟的强制性数据保护法规，侧重个人数据隐私权与组织的合规义务，违规处罚严厉。
四、Cybersecurity Standards & Best Practices（网络安全标准与最佳实践）
4.1 什么是网络安全
网络安全（Cybersecurity）是保护计算机、网络、程序与数据免遭未授权访问、攻击、破坏或盗窃的实践，专注于信息安全的数字层面，并与 CIA 三元组紧密对齐（机密性、完整性、可用性）。
4.2 网络安全的七大领域
- 网络安全（Network Security）： 保护网络及联网设备免遭入侵与攻击。
- 应用安全（Application Security）： 确保软件没有漏洞、免受威胁。
- 信息安全（Information Security）： 保护静态与传输中的数据。
- 运营安全（Operational Security, OPSEC）： 用政策与流程保护组织的运营过程。
- 终端安全（Endpoint Security）： 保护电脑、手机、IoT 等终端设备。
- 云安全（Cloud Security）： 保护云端基础设施、应用与数据。
- 身份与访问管理（IAM）： 控制谁能访问哪些资源。
4.3 常见网络安全实践
使用强密码与多因素认证（MFA）；及时更新与打补丁；部署防火墙、VPN 与入侵检测系统（IDS）；对传输中与静态数据加密；对员工进行钓鱼、社会工程与安全上网培训；制定事件响应计划（IRP）；持续监控系统与审计日志以发现可疑活动。
4.4 主要网络安全标准
网络安全标准为组织提供结构化的指南、最佳实践与控制措施，确保跨行业的一致性、合规性与风险管理。常见标准包括 ISO/IEC 27001、NIST CSF、PCI DSS 与 HIPAA Security Rule 等。
PCI DSS（支付卡行业数据安全标准）
- 目的： 保护支付卡数据、降低欺诈风险，适用于任何存储、处理或传输信用卡/借记卡信息的组织。由 PCI 安全标准委员会（Visa、MasterCard、Amex、Discover、JCB 共同创立）制定。
- 适用范围： 涉及支付卡交易的任何组织，包括商户、处理商与服务提供商。
- 六大核心要求： ①建立并维护安全网络（安装防火墙、不使用厂商默认密码）；②保护持卡人数据（存储与传输均加密）；③维护漏洞管理程序（使用并定期更新杀毒软件）；④实施强访问控制（按需知密、为用户分配唯一 ID）；⑤定期监控与测试网络（追踪并监控所有访问、定期测试安全系统）；⑥维护信息安全政策（为员工与承包商制定政策）。
HIPAA（健康保险流通与责任法案）
- 目的： 保护医疗行业的电子受保护健康信息（ePHI），确保患者健康数据的机密性、完整性与可用性。
- 适用范围： 涵盖实体（医疗服务提供方、健康计划、清算机构）与业务伙伴（处理 ePHI 的服务提供商）。
- 违规后果： 民事处罚每次违规 $100–$50,000、每年最高 $150 万；故意违规可负刑事责任；并导致声誉与患者信任的损失。
- 三类安全保障（Safeguards）： 管理性保障（安全管理流程、风险分析与缓解、员工培训、应急计划）；物理性保障（设施访问控制、服务器/工作站/纸质记录的安全存储、设备与介质处理政策）；技术性保障（访问控制、审计控制、完整性控制、ePHI 的存储与传输加密）。
五、Threat Modelling — STRIDE（威胁建模）
5.1 什么是威胁建模
威胁建模（Threat Modelling）是一种结构化方法，用于识别、理解并优先排序系统、应用或组织面临的潜在安全威胁，从而在攻击发生之前就加以预防。其目的在于：识别系统或流程中的漏洞、根据风险与潜在影响优先安排安全措施、以及在设计与架构阶段就融入安全考虑。
5.2 STRIDE 六类威胁与缓解措施
STRIDE 是微软提出的威胁建模框架，定义了六类威胁，每类都有对应的缓解策略：
| 威胁类型 | 含义 | 缓解策略（Mitigation） |
|---|---|---|
| Spoofing（仿冒身份） | 攻击者冒充他人以获得未授权访问 | 多因素认证（MFA）、强身份验证、基于令牌的安全认证 |
| Tampering（篡改数据） | 在存储、传输或处理过程中未授权地修改数据 | 数字签名与校验和、传输/静态加密、带审计日志的访问控制 |
| Repudiation（抵赖） | 用户否认其行为，而系统缺乏证据反驳 | 日志与审计跟踪、数字签名等抗抵赖机制、关键日志的不可变存储 |
| Information Disclosure（信息泄露） | 敏感信息被未授权地暴露 | 敏感数据加密、数据分类与脱敏、强访问控制与网络分段 |
| Denial of Service（拒绝服务） | 使系统/服务对合法用户不可用 | 速率限制与限流、负载均衡与冗余、监控与自动告警 |
| Elevation of Privilege（权限提升） | 用户或进程获得超出预期的更高权限 | 最小权限原则（PoLP）、定期打补丁与漏洞管理、基于角色的访问控制（RBAC） |
六、Incident Response Plan (IRP)（事件响应计划）
6.1 定义与目标
事件响应计划（IRP）是一套结构化方法，用于检测、响应并从网络安全事件中恢复，确保组织把损害降到最低、快速恢复运营，并满足法律与监管义务。其三大目标是：降低事件影响（财务、运营、声誉）、确保业务连续性、以及从事件中学习以提升未来的安全态势。
6.2 事件响应生命周期（六个阶段）
- 准备（Preparation）： 在事件发生前建立政策、流程与工具；培训员工并组建事件响应团队（IRT）；部署监控与日志系统。
- 识别（Identification）： 尽早检测潜在事件；确定事件的范围、类型与严重程度。
- 遏制（Containment）： 限制事件的扩散与影响，分为短期遏制（立即行动以防进一步损害）与长期遏制（在维持运营的同时实施修复）。
- 根除（Eradication）： 从环境中彻底移除事件的根本原因。
- 恢复（Recovery）： 将受影响的系统与服务恢复到正常运营，确保系统完全可用、安全且经过验证，并监控是否有残留威胁或问题复发。
- 总结经验（Lessons Learned）： 进行事后复盘——哪些做得好、哪些可改进、政策或技术上有哪些缺口；更新 IRP、安全控制与员工培训；为监管与审计目的记录发现。
七、Disaster Recovery Plan (DRP)（灾难恢复计划）
7.1 定义与目标
灾难恢复计划（DRP）是一份成文的、结构化的方法，描述组织在破坏性事件（网络攻击、硬件故障、自然灾害或人为错误）之后如何恢复 IT 系统、数据与运营。目标是：最小化停机与数据丢失、确保业务连续性、保护关键系统与资源、并满足监管与合同要求。
7.2 灾难恢复策略
| 策略 | 说明 | 恢复速度 / 成本 |
|---|---|---|
| 冷站点（Cold Site） | 预先准备的物理场地，仅有基础设施，灾难时需现场搭建 | 最慢 / 最低 |
| 温站点（Warm Site） | 部分配置好的备用站点，服务器与数据需在使用前配置 | 中等 / 中等 |
| 热站点（Hot Site） | 完全运行的镜像环境，灾难时可立即接管 | 最快 / 最高 |
| 云灾备（Cloud DR / DRaaS） | 将系统/数据复制到云端以快速恢复 | 快 / 弹性 |
| 备份与恢复（Backup and Restore） | 定期备份并异地存放，恢复较慢但性价比高 | 慢 / 低 |
7.3 IRP 与 DRP 的区别（高频考点）
| 维度 | 灾难恢复计划（DRP） | 事件响应计划（IRP） |
|---|---|---|
| 焦点 | 灾难后恢复 IT 系统、数据与运营 | 检测、遏制并缓解网络安全事件 |
| 目标 | 最小化停机与数据丢失 | 最小化损害、遏制威胁 |
| 范围 | IT 基础设施、应用、备份 | 安全事件、泄露、攻击 |
| 时机 | 灾难后的恢复 | 事件发生期间及事件刚发生后 |
| 最佳实践 | 至少每年或重大变更后测试；使用冗余与故障切换；保持文档清晰可及；确保合规；与 IRP、BCP 对齐 | 随威胁演化保持计划更新；定期演练与桌面推演；自动化监控与告警；落实最小权限；维护异地备份；整合威胁情报 |
八、Business Continuity Plan (BCP)（业务连续性计划）
8.1 定义与目标
业务连续性计划（BCP）是一项主动的战略与成文计划，确保组织在破坏性事件期间与之后都能维持关键运营。其目标是：在中断期间维持关键业务职能、最小化财务/运营/声誉影响、确保员工与客户/利益相关者的信心，并与 DRP 互补以覆盖 IT 系统。
8.2 BCP 生命周期（七个阶段）
- 项目启动与管理——确立目标、范围与资源。
- 业务影响分析（BIA）——识别关键职能并排定恢复优先级。
- 风险评估——评估威胁与脆弱性。
- 策略制定——为关键流程定义恢复策略。
- 计划制定——记录流程、角色与资源。
- 测试与演练——通过演练验证计划。
- 维护与持续改进——根据经验教训与业务变化更新计划。
8.3 BCP 最佳实践
将 BCP 与 DRP、IRP 对齐形成完整的韧性策略；识别并保护关键资源（人员、技术、设施、供应商）；确保沟通计划经过测试且可及；定期审计与更新计划；利用云服务与远程能力提升灵活性；争取领导层支持以在危机中加快决策。
三层计划关系： IRP 回答"事件发生时怎么办"（检测、遏制、根除）；DRP 回答"灾难后如何恢复 IT"（恢复系统、数据、基础设施）；BCP 回答"中断期间如何维持业务运转"（维持核心业务职能）。三者互补，共同构成组织的完整韧性策略。
九、Modern IT Security（现代IT安全）
9.1 引言
现代威胁演化迅速，常常同时针对人、技术与流程。安全不再只是 IT 部门的责任，而需要全组织的方法。必须采用主动的、分层的防御（政策 + 技术 + 意识 + 持续监控），并整合 NIST、ISO 27001、PCI DSS、HIPAA 等框架与标准来增强韧性。
9.2 现代IT安全挑战
- 云采用风险（Cloud adoption）： 分布式员工与 BYOD 扩大了攻击面；常见问题包括配置错误、责任共担模型的混淆、API 漏洞等。
- 远程办公安全（Remote work）： 使用不安全的家庭网络、个人设备缺乏企业级安全控制等。
- 影子 IT（Shadow IT）： 员工在 IT 部门不知情的情况下使用未经授权的应用或云服务。
9.3 云部署模型（Cloud Deployment Models）
| 模型 | 说明 | 示例 |
|---|---|---|
| 公有云（Public） | 第三方通过互联网提供、共享基础设施 | AWS、Azure、Google Cloud |
| 私有云（Private） | 专供单一组织、控制与安全性更强 | VMware vSphere、OpenStack |
| 混合云（Hybrid） | 结合公有与私有、灵活分配工作负载 | 本地 + Azure/AWS 集成 |
| 社区云（Community） | 为特定群体或行业共享的基础设施 | 政府或医疗联盟云 |
9.4 云服务模型（Cloud Service Models）
| 模型 | 说明 | 示例 |
|---|---|---|
| IaaS（基础设施即服务） | 提供虚拟化的计算资源（服务器、存储、网络） | AWS EC2、Google Compute Engine |
| PaaS（平台即服务） | 提供应用开发与部署平台 | Google App Engine、Azure App Service |
| SaaS（软件即服务） | 提供可通过网页访问的全托管软件 | Microsoft 365、Salesforce、Zoom |
| FaaS / Serverless（函数即服务） | 无需管理服务器、由事件触发运行代码 | AWS Lambda、Azure Functions |
9.5 云与虚拟化环境的安全
云与虚拟化带来灵活性与可扩展性，但也产生新的安全挑战，安全必须覆盖公有/私有/混合环境中的基础设施、平台、应用与数据。新兴安全技术包括：零信任架构（Zero Trust）——"永不信任，始终验证"；容器安全——保护 Kubernetes 与 Docker 环境；云工作负载保护平台（CWPP）——监控虚拟机、容器与无服务器负载；AI 驱动的威胁检测——发现云流量中的异常行为。
9.6 云环境安全最佳实践
保护虚拟机监控器（Hypervisor，仅授权人员访问并定期打补丁）；对静态、传输中与备份数据加密；强身份管理（RBAC、MFA、SSO）；集中化日志与网络流量监控（SIEM 集成）；微分段（限制虚拟网络中的横向移动）；定期漏洞评估（扫描虚拟机、容器与云负载）；安全配置（遵循 CIS 基线）；使用自动化安全工具（云安全态势管理 CSPM 与容器安全方案）。
十、End of Lecture Questions（课后复习问题与参考答案）
描述数据生命周期，并解释为何每个阶段都需要保护。 数据生命周期包含创建/收集、存储、使用/处理、共享/分发、归档、销毁/处置六个阶段。每个阶段面临不同威胁（如创建阶段需数据最小化与知情同意，存储阶段需加密与备份，销毁阶段需安全擦除），因此每个阶段都需相应控制以保护 CIA。
NIST 与 GDPR 框架在安全管理中有何区别？ NIST CSF 是美国的自愿性网络安全框架，通过 Identify–Protect–Detect–Respond–Recover 五大功能提供基于风险的方法论，侧重技术性安全管理；GDPR 是欧盟的强制性数据保护法规，侧重个人数据隐私权与组织合规义务，违规处罚严厉。
列举保护组织免受威胁的常见网络安全实践。 强密码 + MFA、及时打补丁、防火墙/VPN/IDS、传输与静态加密、员工安全培训、事件响应计划、持续监控与审计日志。
解释事件响应、灾难恢复与业务连续性计划的区别。 IRP 聚焦在事件期间检测、遏制并缓解安全事件；DRP 聚焦灾难后恢复 IT 系统与数据；BCP 聚焦中断期间维持核心业务运营。三者互补，共同构成组织韧性。
主要的云部署与服务模型有哪些，它们有何不同？ 部署模型：公有云（共享基础设施）、私有云（专属）、混合云（结合两者）、社区云（行业共享）。服务模型：IaaS（基础设施）、PaaS（平台）、SaaS（软件）、FaaS（无服务器函数）。从 IaaS 到 SaaS，用户的管理责任递减、提供商的责任递增。
指出云采用与远程办公引入的至少三项现代IT安全挑战。 云采用风险（配置错误、责任共担混淆、API 漏洞）；远程办公安全（不安全的家庭网络、个人设备缺乏企业控制）；影子 IT（员工使用未经 IT 监管的应用与云服务）。
十一、Case Study：CloudSafe Corp（案例研究）
11.1 背景
CloudSafe Corp 是一家为医疗服务方提供 SaaS 解决方案的中型公司。公司近期将 70% 的应用迁移到混合云模型，同时把敏感的患者病历保留在私有云上。员工远程办公，通过 Slack、Microsoft Teams 与云存储进行协作。
11.2 事件
某天早晨，IT 团队检测到异常活动：一种勒索软件已加密了公有云中的多台生产服务器，多名员工报告无法访问共享文件。攻击似乎是通过针对远程员工的钓鱼邮件进入，并利用了薄弱的 MFA 实现。托管 SaaS 应用的部分虚拟机已离线，影响服务交付。
11.3 现状
私有云数据安全，但部分混合云服务已宕机；事件响应只部分执行，一些团队对各自职责不清；客户已报告服务中断，媒体关注度上升。
11.4 案例讨论问题
- 指出至少三项导致此次勒索软件攻击的安全失误。
- 解释混合云部署模型如何影响了本次事件的影响范围。
- CloudSafe Corp 应立即采取哪些事件响应步骤来遏制勒索软件？
- 为本场景建议可最小化停机的备份与灾难恢复策略。
- 讨论身份与访问管理（IAM）在防止同类攻击中的作用。
- 为 CloudSafe Corp 在勒索软件爆发期间设计一份高层级的事件响应清单。
参考思路： 安全失误包括薄弱的 MFA、员工缺乏钓鱼防范意识、责任共担/职责不清；混合云使公有云侧的攻击面更大、放大了横向移动与服务中断；立即步骤为隔离受感染服务器、停用被利用账户、保存日志取证、启动 IRT；备份/DR 应采用 3-2-1-1 不可变备份 + DRaaS 以缩短 RTO/RPO；IAM 通过强 MFA、RBAC 与最小权限可有效阻断初始入侵与提权。
十二、考试速查表（Quick Reference）
数据生命周期
创建 → 存储 → 使用 → 共享 → 归档 → 销毁（每个阶段都需 CIA 控制）。
治理框架
- NIST CSF： Identify → Protect → Detect → Respond → Recover（五大功能）。
- GDPR： 七大原则 + 个人数据权利，2018 年 5 月生效，具域外效力。
网络安全标准
- ISO 27001 = 信息安全管理体系（ISMS）。
- PCI DSS = 支付卡数据安全（六大要求）。
- HIPAA = 医疗 ePHI 保护（管理/物理/技术三类保障）。
STRIDE 威胁模型
仿冒 → 强认证；篡改 → 哈希/签名；抵赖 → 审计日志；信息泄露 → 加密；拒绝服务 → 冗余/限流；权限提升 → 最小权限。
三层韧性计划
- IRP（六阶段）：准备 → 识别 → 遏制 → 根除 → 恢复 → 总结经验。
- DRP（站点策略）：冷站点（最慢最便宜）→ 温站点 → 热站点（最快最贵）/ DRaaS。
- BCP（七阶段）：启动 → BIA → 风险评估 → 策略 → 计划 → 测试 → 维护。
云模型
- 部署：公有 / 私有 / 混合 / 社区。
- 服务：IaaS / PaaS / SaaS / FaaS。
- 安全技术：零信任、容器安全、CWPP、AI 威胁检测。