CISSP学习笔记-域2（资产安全）

CISSP学习笔记-域2（资产安全）学习笔记和重要习题。强化学习的重点，有助于巩固记忆。

CISSP学习笔记-域2（资产安全）

• 知识点
  • 2.1 对信息和资产进行识别和分类
    • 2.1.1. 数据分类
      • 数据分关是为了满足法律和监管要求，根据数据的关键性（对业务流程的重要性）和敏感性（数据的保密程度）对数据进行分类，以便进行更有效的分析和实施安全控制。
      • 2.1.1.1 数据分类的维度：
        • •基于上下文：依据元数据进行分类，例如所有权、位置等。
        • 。基于内容：根招文件内容直接识别敏感数据，如HIPAA、PCI 或合同条款涉及的隐私、医疗、财务等。
        • •基于用户：根据用户对数据的理解和组织的分类方案进行手动分配。
      • 2.1.1.2数据分类的敏感级别标签：
        • 1 .商业组织：
          • •机密(Confidential)：泄漏可能对企业竞争力造成极大影响的数据，如商业秘密、核心代码、专利等。
          • •敏感(Sensitive)：价值低于机密但仍需保护的数据，如战略文件、项目细节、利润收益和预测等。
          • •私人(Private)：不会对公司造成损害但需保密的数据，如个人医疗、工资等隐私信息。
          • •专有(Proprietary)：有限度向公司外部披露的数据，或可能降低公司竞争优势的信息，如新产品技术规格。
          • •公共(Public) ：可向公众公开的非敏感信息。
        • 2.攻府或军事组织：
          • 。绝密(Top Secret)：披露可能对国家安全造成极大损害的数据。
          • •秘密(Secret)：披露可能对国家安全造成严重损害的数据。
          • •机密(confidential)：披露可能对国家安全造成损害的数据。
          • •味分类(Unclassified)：数据不属于敏感分类。
          • 其他：用于指定文件的其他标签（非分类)，如仅供官方使用 (FOUO） 和有限官方使用。
    • 2.1.2. 资产分类
      • 2.1.2.1 资产类别
        • 在信息安全领域，资产通常分为两大类：有形资产和无形资产。
        • •有形资产：包括硬件、设备、建筑物等可以看到和触摸的物品。这类资产的价值可以通过市场价格、成本或者折旧等方式来衡量。有形资产的安全通常涉及物理保护措施，如访问控制、监控系统等。
        • •无形资产：包括知识产权、商业秘密、员工技能和经验等无形的、不易估价的资产。这类资产的价值在于其对组织的贡献和潜在的市场优势。保护无形资产通常涉及法律、合同、知识产权保护等手段。
      • 2.1.2.2 进行资产分类
        • 需要考虑资产的重要性和敏感性。可以帮助组织合理分配安全资源，确保关键资产得到足够的保护。
        • 资产分类的过程包括：
          • •资产清点：
            • 收集和记录组织内的所有资产信息，包括名称、类型、位置等。
          • •确定贵任人或所有者：
            • 为每个资产指定一个负费人或所有者，确保资产的安全和管理责任有所归属。
          • •分类和分组：
            • 根据资产的关键性和敏感性，将资产划分为不同的类别或分组。这可以根据组织的具体需求和风险容忍度来确定。
          • •确定安全控制措施：
            • 针对不同类别或分组的资产，实施相应级别的安全控制措施，以确保资产的保密性、完整性和可 用性。资产分类的实际应用可能因组织的规模、行业和需求而有所不同。在实施资产分类时，建议参考行业标准和最佳实践，以确保有效和可持续的资产保护。
          • 备注：在CISSP 考试中，我们把资产看作是有形的东西，而把数据分开处理。数据往往是所有资产中最大的资产 （例如，知识产权）
  • 2.2. 建立信息和资产处理要求
    • 2.2.1. 资产处理要求
      • 1.标识和标签
        • 为资产贴上分类标签，便于识别和管理。对于未标记的数据资产，最好先采取最高级别的安全措施。数据丢失预防 (DLP） 系统可防止敏感信息泄露。
      • 2.处理
        • 制定政策和程序管理不同分类的资产，包括访问、传输和使用规则。加强员工培训，提高信息处理的责任感和意识。
      • 3.存储
        • 加密静态敏感数据，合理保管密钥。限制保留数据量，降低组织风险和运营成本。关注数据备份。
      • 4.解除分类
        • 调整资产分类至较低敏感度。变更分类时，相应调整标记、 处理和存储要求。解除分类需多层次批准，由数据所有者(data owner)决定。
      • 5.解除分类的方法
        • 通过匿名化(anonymization)、掩蔽(masking)和标记化(masking)等方法移除或混淆数据中的敏感元素。
  • 2.3. 安全地提供资源
    • 2.3.1. 信息和资产所有权
      • 资产所有者 (Asset Owner） 是指在组织内对特定信息资产或物理资产负有最终责任的个人或实体。资产所有者通常对资产的使用、保护和管理负责，并需确保资产的保密性、完整性和可用性得到维护。
    • 2.3.1.1 资产所有者的职责：
      • •开发和维护系统安全计划
        • 确定资产的分类等级、授权访问权限、实施适当的安全控制措施
      • •确保安全计划贯彻执行
        • 监控和评估上述措施的有效性
      • •确保系统用户和支持人员接受适当的安全培训
        • 资产所有者可能是业务部门的负责人、项目经理或具有相应职能的高级管理人员。可能与数据所有者是一个人。
    • 2.3.2. 资产盘点
      • 2.3.2.1 资产清单
        • •物理资产（例如：硬件设备）
        • •虚拟资产（例如：软件应用程序、数据）
      • 2.3.2.2 资产盘点工具
        • 由于资产盘点的规模、复杂性和频率，组织应该尽量使用自动化工具来协助创建和维护资产清单。主要功能包括：
          • 1.能够识别和区分已授权与未授权资产
          • 2.发现潜在安全威胁时发出警报
          • 3.收集和跟踪资产信息：
          • •硬件规格
          • •软件版本和许可证
          • •用于报告、审计、风险管理和事件管理
      • 2.3.2.3 资产记录系统
        • 通过建立权威的记录系统，作为整个组织内部参考的主要数据源，在遇到不一致或冲突的信息时，作为权威和可靠的来源。并可用于满足官方报告和其他数据要求
        • 例如：审计、合规性检查
    • 2.3.3. 资产管理
      • 资产管理是一种系统化的方法，用于对组织内的所有资产 （包括硬件、软件、信息和其他有形或无形资产） 进行有效和高效的跟踪、管理和保护。它酒盖了从资产采购、部署、维护、升级到最终退役的整个生命周期。资产管理的主要目标是确保组织的资产能够为组织提供最大的价值，同时降低风险、成本和资源浪费，并确保符合法规和合规要求。
      • 资产管理涉及多个关键活动和流程，如：
        • 1.所有权分配：
          • 确定资产所有者，确保对资产的使用、保护和管理负责。
        • 2.资产盘点：
          • 识别组织内所有的物理和虚拟资产，创建和维护资产清单。
        • 3.IT 资产管理 (ITAM)：
          • 确保资产的核算、维护、升级和退役得到有效管理，符合相关标准（如ISO 19770
        • 5.配置管理：
          • 严格控制和记录系统和软件的配置，确保库存的有效性。
          • •系统基线：确定了产品、系统或子系统中所有配置项的版本和设置；
          • •安全基线：是保护特定系统所需的最低保障措施（如：安全控制）
        • 6.变更管理
          • 采用标准化的流程对资产进行变更，确保资产的稳定性和安全性
  • 2.4管理数据生命周期
    • 2.4.1. 数据角色
      • 2.4.1.1 数据所有者(Owners)
        • •决定数据用途和保护方式
        • •负有组织内数据的最终责任
        • •职资包括：数据识别、分类、标记；安全策路和控制；访问权限管理；承担最终责任
      • 2.4.1.2 数据控制者(Controllers)
        • •决定如何处理不同类型的数据
        • 。确保遵守数据处理原则 ：遵守合法性、公平性、透明度、数据最小化、准确性、存储限制、完整性和个人数据的保密性等
        • •可能是数据所有者本身，也可能是第三方
      • 2.4.1.3 数据托管员(Custodians)
        • •负责维护IT基础设施上的数据
        • •通常是IT部门负责
      • 2.4.1.4 数据处理者(Processors)
        • 在GDPR 中代表数据控制者提供服务和处理数据的人或实体。数据处理者不一定是个人;签约代表数据控制者处理数据的第三方服务提供者也符合这一定义。
      • 2.4.1.5 数据用户(Users)
        • •消费数据的一方
        • •可要求数据处理者对服务水平协议(SLA)负责
      • 2.4.1.6 数据主体(Subjects)
        • •通常是指人类，提供个人信息的个体
        • •隐私保护的目标是保护数据主体的权益和个人信息
    • 2.4.2. 数据收集
      • 2.4.2.1 数据生命周期
        • 1.收集(Collect)：数据产生或汇总
        • 2.存储(Store）：数据保存到存储系统或存储库
        • 3.使用(Use)：数据处理或分析
        • 4.分享(Share)：数据与外部授权用户和系统共享
        • 5.保留(Retain)：数据按预定期限保存（如存档）
        • 6.销毁(Destroy)：数据永久删除，无法访问和使用
      • 2.4.2.2数据收集过程
        • •特续进行，如;：医疗数据输入、在线财务表格填写等
        • •可以是正式或非正式，纸质或电子方式
        • •组织应只收集满足商业目的或法规要求的数据
        • •数据管理政策应限制收集范围
        • •从隐私角度，遵循最佳实践和法规（如 GDPR)，在收集数据前获得同意或其他法律授权
    • 2.4.3. 数据位置
      • 越来越多的法律、法规中关于各种类型数据可能被处理和存储的地点的要求。例如，一些隐私法要求关于一个国家的公民的信息必须在该国境内存储。企业需要了解特定地区的要求，并在其资产管理流程中加入步骤，以确定和确认资产的物理位置，并进行定期审查，以确认资产位置符合监管要求。
    • 2.4.4. 数据维护
      • 2.4.4.1数据维护
        • 数据维护关注数据在组织内部移动、处理、分析和共享时的安全性。为确保有效维护，组织应：
          • 1控制访问和实施安全控制。
          • 2.持续监控，采用最小特权和纵深防御等原则。
          • 3.功能与安全的权衡，持续评估政策和控制以实现安全的业务需求满足
      • 2.4.4.2 数据保留策略
        • 在安全销毀之前，数据保留的时间长度需考虑以下因素：
        • 1确保数据保留政策满足所有法律和监管要求。
        • 2.规定敏感或个人数据的最大保留期限。
        • 3.拥有的数据越少，安全漏洞造成的破坏性就越小。
        • 4对不再需要的数据，应安全地销毀。
    • 2.4.5. 数据销毀
      • 数据销毀是指用于从系统或数据存储介质中州除数据的各种技木，以确保没有人能够重建这些数据。
      • 2.4.5.1数据销毁原则
        • •合规优先
          • 数据销毀首先要考虑合规然，如果法规中要求彻底地物理摧毀存储设备，即使成本很高，也不得不这样做，以确保敏感数据无法被还原。
        • •成本考量
          • 如果不涉及敏感数据，组织可能会通过覆盖或消磁等技术方法对存储介质进行处理，然后复用该设备。
      • 2.4.5.2 数据销毁方式
        • •物理销毁：例如，粉碎、砸碎或熔化存储介质，确保数据无法恢复。这适用于光盘、硬盘驱动器和闪存设备等。
        • •逻辑销毁：包括覆盖、加密或消磁等方法。这些方法不会破坏存储设备本身，而是通过覆盖或修改数据以防止其饮复。
        • •注意确保所有副本都已销毁。在销毁数据时，需要考虑所有可能的副本，例如备份、存档或云存储中的数据。
        • •合同终止时销毁第三方持有的数据。在与第三方合作结束时，确保他们按照合同要求和法规销毀所有与你组织相关的数据。
    • 2.4.6.数据残留
      • 2.4.6.1 数据残留的处理方式：
        • 当对数据的不充分剧除会导致信息的池露，就会发生数据残留。
        • •清理(Clearing)：
          • 以数字方式擦除(Erasing)数据或以零或一覆盖(overwriting)数据。这是删除数据的最不有效的方法，可能允许数据被恢复。
        • •清除(Purging)：
          • 包括一些方法，如消磁(Degaussing)，即通过将其存储介质暴露在强磁场中来破坏数据。
        • •销毁(Destruction)：
          • 通过粉碎、燃烧等物理性销毁媒体
      • 2.4.6.2介质消毒
        • 消毒一般是通过清理和清除的组合方式，以便介质能够在组织内重新使用。它比简单格式化或重新分区 更彻底。
      • 2.4.6.3 应对云上的数据残留
        • 因云租户不能访问物理驱动器，所以在云环境中，替代方案是对数据进行加密，并将密钥保存在数据所在的云环境之外，当不再需要数据，通过删除密钥，数据将变得不可用和不可读，这被称为加密清除(cry ptographic erasure)。
  • 2.5. 确保适当的资产保留
    • 2.5.1. 资产保留
      • 2.5.1.1 资产 （系统、硬件、设备和软件）的生命周期
        • •需求：根据业务发展需求提出需求。
        • •创建或收购：经评申后开展相应的商业活动。
        • •运营和维护：投入使用并进行维护。
        • •替换或报度：资产进入未期。
      • 2.5.1.2寿命终止 (EOL, end of life)
        • 通常指的是产品的销售终止时间。
      • 2.5.1.3 支持终止 (EOS. end of support)
        • 通常指的是产品不再支持更新。
      • 2.5.1.4 资产保留记录
        • 记录保留需要考虑以下两个方面：
          • •合规要求：满足法律和监管要求,考虑到某些数据在生命周期末尾可能仍有再次使用的需求，如审计或恢复等场景。
          • ••内部要求：满足组织内部的需求和规定;无限制地保留资产并不现实，因为组织的资金是有限的。
  • 2.6. 确定数据安全控制和合规要求
    • 2.6.1. 数据状态
      • 2.6.1.1 静止的数据(Data at Rest)
        • 定义：存储在系统中，没有被主动写人、读出、传输或以其他方式处理的数据。
        • 存储系统包括数据库、数据仓库、电子表格、档案、酸带、场外备份、移动设备等。
        • 保护方法：
          • •祊问控制：例如，敏感数据需要多因素身份认证。
          • •加密：例如，硬件加密（TPM 等）或通过加密算法对数据进行加密 (AES等）
      • 2.6.1.2 传输中的数据(Data in Transit)
        • 定义：通过网络传输的任何数据，也称为移动或通信中的数据。
        • 保护方法：
          • 使用传输层安全(TLS）或虚拟专用网络(VPN） 来保障传输过程无法被截获、监听和解密。
      • 2.6.1.3 使用中的数据(Data in Use)
        • 定义：处于临时或短暂状态的数据，其特点是数据被设备的CPU 积极处理，并强留在易失性或临时存储器中，例如 RAM。
        • 保护方法：同态加密 (homomorphic encryption)。
    • 2.6.2.裁剪以及范围界定
      • "裁剪与范围界定"是在信息安全管理过程中，根据组织的特定需求、风险状况和业务环境，对安全控制措施进行调整和优化的过程。
      • 2.6.2.1 裁剪(Tailoring)
        • 定义：根据组织进行的风险评估和最佳实践，对安全控制基线进行裁剪，记录相关决策。
        • NIST SP 800-53 关于裁剪的最佳实践：
          • 1.识别和指定通用控制(Common Controls)
          • 2.应用范围(Scoping)考虑
          • 3.选择补偿性控制措施
          • 4指派安全控制参数
          • 5.补充基线安全控制
          • 6.为实施提供额外的规范信息
      • 2.6.2.2 范围界定(Scoping)
        • 定义：将一个更广泛的标准修剪掉不重要或不需要的部分的过程。
      • 2.6.2.3 通用控制(Common Controls)
        • •技术控制(Technical controls)：防火墙、IDS、DLP、PKl、网络安全监控等。
        • •管理控制(Administrative controls)：数据保护政策、NDA等。
        • •物理控制(Physical controls)：物理访问控制、环境控制等。
      • 2.6.2.4 补偿性安全控制
        • 定义：在基线控制可能降低或阻得业务运营或成本过高时，采用的替代或增强控制措施。
        • 示例：安全人员有限时，无法实现责任分离（需要更多人力资源)，补偿性控制可以是增加对安全日志的收集和审查。
    • 2.6.3. 标准选择
      • 建立安全控制基线的一个方法是选择一个现有的框架。安全框架是一个记录的政策和程序的集合，它决定了如何管理一个企业的安全。一般来说，安全框架较少关注特定的控制，而更多地关注整体流程和最佳实践。使用一个框架来建立安全基线是适当的，以评估和改善组织的能力，以防止，检测和应对网络攻击。
      • 在选择信息资产保护标准时，需要记住的最重要的概念是平衡信息的价值和保护信息的成本,相关的国际或行业标准：1SO27000系列、NIST SP 800-53、CIS、行业标准(PCI DSS、HIPAA、GDPR 等）
    • 2.6.4. 数据保护方法
      • 2.6.4.1 DRM 和IRM
        • 数宇版权管理（DRM)和信息权限管理 (IRM) 是一组用于保护数字内容和数据的技术。DRM 专注于防止未经授权的内容访问和复制，而 IRM 则更广泛地保护数据免受未经授权的访问和修改。
        • 主要功能：
          • •限制对特定内容的访问
          • 使用加密技术保护内容
          • 控制数据访问和修改权限
          • -应用于文件、电子邮件、网页等多种信息形式
      • 2.6.4.2 数据丢失预防(DLP)
        • 数据丢失预防（DLP）是一组用于保护敏感数据不被丢失或访问的技术和实践。DLP
        • 主要通过以下三个阶段实施：
          • 1.发现和分类：找到存储的所有数据，并根据敏感性和价值对其进行分类。
          • 2.监控：在整个数据生命周期内监控数据，以发现滥用或处理不当的情况。
          • 3执行 ：对监控阶段发现的政策违规行为采取行动。
      • 2.6.4.3网络 DLP (NDLP)
        • 将数据保护策略应用于传输中的数据，通常以设备形式实施，部署在组织的网络边缘
      • 2.6.4.4端点DLP（EDLP）
        • 将保护策略用于静态数据和使用中的数据，通过在每个受保护的端点上运行软件实现
      • 2.6.4.5 云访问安全代理(CASB)
        • 云访问安全代理（CASB） 是一种部署在用户和云计算资源之间的软件，支持本地和云环境部署。
        • 主要功能：
          • 监控和保护云计算资源访问
          • 支持本地和云环境部署
          • 实施安全策略
          • 检测影子IT
• 重点习题
  • 1.Angel日是一家银行的信息安全架构师，她被指派确保交易在网络传输过程中是安全的。她建议所有交易都使用 TLS。她最有可能试图阻止什么威胁，井且最有可能使用什么方法来防止这种威胁？ A. 中间人攻击，VPN B. 数据包注入，加密 C.嗅探，加密 D．嗅探，TEMPEST
    • C
  • 2.信息和相关技术控制目标（COBIT） 是一种用于信息技术（T) 管理和治理的框架。哪种数据管理角色最有可能选择并应用 COBIT 来平衡安全控制需求和业务需求？ A. 业务所有者(Business owners) B. 数据处理人员(Data processors) C. 数据所有者(Data owners) D. 数据监管人员(Data stewards)
    • A P155 数据所有者：高管，对数据负有最终责任 NST SP 800-18 Rev.1“联邦信息系统安全计划开发指南”概述了信息所有者(其实与数据开有者相同)的以下职责。 •建立适当使用和保护主体数据/信息的规则(行为规则)。 •向信息系统所有者提供有关信息所在系统的安全要求和安全控制的输入。 •决定谁可以访问信息系统，及其具备哪些类型的特权或访问权限。 •协助识别和评估信息驻留环境的通用安全控制。 资产所有者： NST SP 800-18 概述了系统所有者的以下职责。 •与信息所有者、系统管理员和功能的最終用户切作开发系统安全计划。 •维护系统安全计划，确保系统按照约定的安全要求部署和运行。 •确保系统用户和支持人员接受适当的安全培训，如行为规则指导。 •在发生重大变化时更新系统安全计划。 •协助识别、实施和评估安全控制。 通第系统所有者和数据所有者是同一人员，但有时不是同一个人 业务所有者： NST SP 800-18 为项目经理或信息系统所有者，COBIT
  • 3. Nadia 的公司正在运营一个混合云环境，其中一些系统位于现场，另一些系统位于云上。她在现场有令人满意的监控，但需要将安全策略应用于用户参与的所有活动，并报告她日益增多的云服务的异常情况。最适合实现这一目的的工具类型是什么？ A. 下一代防火墙 (NGFW) B. 云访问安全代理 (CASB) C.人侵检测系统 (1DS) D. 安全自动化与响应平台 (SOAR)
    • B P152 检测影子IT，CASB监控所有进入云端的数据，可以将组织内部所有安全策略都可以复制到CASB
  • 4. 当媒体基于其所包含的数据的分类进行标记时，通常应用于标签的规则是什么？ A. 数据基于其完整性要求进行标记。 B. 媒体基于其所包含的数据的最高分类级别进行标记。 C. 媒体标记包含的所有数据的分类级别。 D.媒体标记包含的数据的最低分类级别。
    • B
  • 5.以下哪一个行政流程有助于组织为敏感信息分配适当级别的安全控制？ A. 数据分类(Data classification) B. 残留数据(Remanence) C. 数据传输(Transmitting data) D.清除(Clearing)
    • A
  • 6. 数据保留政策如何帮助减少责任？ A. 确保不需要保留无用数据 B.确保犯罪证据数据被销毁 C.确保数据被安全擦除，以防止在法律发现中被恢复 D.减少法律要求的数据存储成本
    • A
  • 7. 被委派负贵日常任务的信息技术（IT)部门的员工扮演者什么数据角色？ A. 业务所有者 B. 用户 C. 数据处理人员 D. 保管人员
    • D P157 数据托管员：通常IT部门员工或系统安全管理员是托管员，可充当为数据分配权限的管理员
  • 8. Helen 的公司使用如下图所示的简单数据生命周期。在他们的数据生命周期中，哪个阶段应该首先出现？ A. 数据策略创建 B.数据标记 C.数据收集 D.数据分析
    • C
  • 9.Ben 被指派为他所在组织的信息分类系统覆盖的系统确定安全控制措施。Ben 为什么选择使用安全基线？ A. 它适用于所有情况，可以提供一致的安全控制。 B. 它们获得了行业标准机构的批准，可以防止责任。 C.它们提供了一个良好的起点，可以根据组织需求进行调整。 D.它们确保系统始终处于安全状态。
    • C
  • 10.Megan 希望准备媒体以便在相同敏感级别的环境中重新使用。下面哪个选项最适合满足她的需求？ A. 清除(Clearing) B. 抹除(Erasing) C. 清除数据(Purging) D．数据消除(Sanitization)
    • A P147 · 擦除：删除操作，实际数据仍保留在驱动器上 · 清理：清理或覆盖，不能使用传统恢复工具恢复数据 · 清除：在不太安全的环境中重用介质，不能恢复数据，和消磁组合，但是不被总是信任 · 消磁：磁带、硬盘都可以使用，但是CD、DVD等无用，硬盘可以换驱动器 · 销毁：介质生命周期的最后阶段，最安全的方法。
      • 1擦2清2消（销）
  • 11.Mikayla 想要识别环境中已存在的应该分类的数据。哪种类型的工具最适合用于识别社会安全号码、信用卡号码和类似的常见数据格式？ A. 手动搜索 B. 敏感数据扫描工具 C.资产元数据搜索工具 D.数据丢失预防系统 DLP
    • B
  • 12 硬盘上的备用扇区和坏扇区以及现代固态硬盘上的过度配置空间都存在一个共同问题是什么？ A. 它们可以用于隐藏数据。 B. 它们只能被去磁。 C. 它们是不可寻址的，导致数据残留。 D. 它们可能没有被清除，导致数据残留。
    • D
  • 13. Naomi 知道商业数据通常根据不同的标准进行分类，而不是政府数据。下面哪个选项不是商业数据分类的常见标准？ A. 有用寿命 B. 数据价值 C．对国家安全的影响 D.法规或法律要求
    • C
  • 对于问题 14-16， 请参考以下场景： 您的组织定期处理三种类型的数据：与客户共享的信息、用于内部业务的信息以及为组织提供重要竞争优势的商业秘密信息。与客户共享的信息在 Web 服务器上使用和存储，而内部业务数据和商业秘密信息都存储在内部文件服务器和员工工作站上。 14. 最能描述驻留在系统内存中的数据的术语是什么？ A. 静止数据 B.缓冲数据 C.使用中的数据 D.运动中的数据 15. 如果您的商业秘密信息泄露或被盗，并旦您需要对其进行标记以进行识别，您可以使用哪种技术？ A. 分类 B. 对称加密 C.水印 D.元数据 16. 哪种类型的加密最适合用于专有数据的文件服务器，并且在数据传输时如 可保护数据？ A. 静止状态下使用TLS，运动状态下使用 AES B. 静止状态下使用 AES，运动状态下使用 TLS C静止状态下使用 VPN，运动状态下使用 TLS D.静止状态下使用 DES，运动状态下使用 AES
    • C
    • C
    • B
  • 17. 标记数据允许DLP 系统做什么？ A.DLP 系统可以检测标记，并根据规则应用适当的保护措施。 B.DLP 系统可以根据分类方案的变化调整标记。 C.DLP 系统可以修改标记以允许请求的操作。 D.DLP 系统可以删除未标记的数据。
    • P144书中原话
  • 18. 为何购买高质量的介质来存储敏感数据具有成本效益？ A.昂贵的介质较不容易出现故障。 B.数据的价值通常远远超过介质的成本。 C.昂贵的介质更容易加密。 D.更昂贵的介质通常提高数据完整性。
    • B
  • 19. Chris 负责公司的工作站，并且知道其中一些工作站用于处理专有信息和高度敏感的商业机密。对于他负责的工作站，以下选项最能描述其生命周期结束 (EOL）时应该发生的事情？ A. 擦除(Erasing) B. 清除(Clearing) C. 消毒(Sanitization) D.销毁(Destruction)
    • D
  • 20.Fred 想要使用常见标签对组织的数据进行分类：私有、敏感、公共和专有。根据常见行业惯例，他应该将以下选项应用于最高分类级别的数据？ A. 私有 B.敏感 C. 公共 D.专有
    • D P137 政府数据分类：绝密top secret、秘密secret、机密confidential、未分类unclassified 非政府组织：机密/专有、私有、敏感、公开
  • 21. 哪种情景描述了数据静止状态？ A. IPsec 隧道中的数据 B. 电子商务交易中的数据 C. 存储在硬盘上的数据 D.存储在RAM 中的数据
    • C
  • 22 如果您要为处理信用卡的 Windows 10 系统选择一个安全标准，哪个安全标准是最佳选择？ A. Microsoft 的 Windows 10 安全基线 B.CIS 的Windows 10 基线 C. PCI DSS D. NSA 的 Windows 10 安全主机基线
    • C
  • 23CIS 基准是以下哪种实践的例子？ A. 进行风险评估 B. 实施数据标记 C.正确的系统所有权 D.使用安全基线
    • D
  • 24. 将CIS道准调整为行合组织的任务和特定的IT系统，需要进行哪两个过程？ A. 范围确定和选择 B. 范围确定和定制 C.基线确定和定制 D.定制和选择
    • B
  • P158 基线的过程：1.对比定制和范围界定 2.选择标准
  • 25. 您应该如何确定将基线中的哪些控制措施应用于特定的系统或软件包？ A. 咨询数据的保管人。 B. 根据所存储或处理的数据的数据分类进行选择。 C.将相同的控制措施应用于所有系统。 D.咨询支持系统或数据的业务所有者。
    • B
  • 26.Henry 所在的公司在欧盟运营，，并收集有关客户的数据。他们将这些数据发送给第三方进行分析，并提供报告以帮助公司做出更好的业务决策。最适合描述第三方分析公司的术语是什么？ A. 数据控制器(data controller) B. 数据所有者(data owner) C. 数据主体(data subject) D.数据处理器(data processor)
    • D
  • 27 selah被雇佣的国防承包商最近关用了一个重大的研究项目，并计划蛋新利用该项目使用的价值数十万美元的系统和数据存储磁带用于其他目的。当 selah 串查公司的内都流程时，她发现自己无法重新使用磁带，并且手册上写著应该销毀它们。Selah 为什么不能通过退磁然后重新使用磁带来为雇主节省资 A. 数据的持久性可能是一个问题。 B.数据残留是一个问题。 C.磁带可能受到位腐败的影响。 口.通过退磁无法擦除磁带上的数据。
    • B
  • 28. 用于区分或追踪个人身份的信息被称为什么类型的信息？ A. 个人可识别信息 (PI) B.个人健康信息 (PHI) C. 社会安全号码 (SSN) 口.安全身份信息 （Si1)
    • A
  • 29.在数据静态快态下，以下哪种信息安全风险对组织的声誉影响最大？ A. 不正确的分类 B. 数据泄露 C.解密 D.故意的内部威胁
    • B
  • 30. 像微软的 Bitlocker 这样的全盘加密技术用于保护处于什么状态的数据？ A. 数据传输中的数据 B. 静态状态下的数据 C.未标记的数据 D.已标记的数据
    • B
  • 31Katie 所在的公司为员工提供用于员工使用的手机，每两年更换新手机。当手机本身仍可使用并接收操作系统更新时，哪种情況最能描述这种做法？ A. 终止生命周期 (EOL) B. 计划性陈旧 C.终止支持 (EOS) D.设备风险管理
    • C
  • 32. 数据分类的主要目的是什么？ A. 定量化数据泄露的成本。 B.优先考虑IT支出。 C.符合数据泄露通知法律的要求。 D.确定数据对组织的价值。
    • D
  • 33.Fred 应该对将来自他的 Top Secret 项目的系统重新用于 Secret 项目的重用提出以下哪种关注？ A. Top Secret 数据可能与 Secret 数据混合在一起，导致需要重新标记系统。 B. 消毒过程的成本可能超过购买新设备的成本。 C.数据可能在消毒过程中暴露出来。 口. 由于数据标签的不同，组织的DLP 系统可能会标记新系統。
    • B
  • 34. 在对数招进行分类时，以下哪种关注不应该成为決策的一部分？ A. 对数据进行分类的成本 B. 数据的敏感性 C. 数据曝露可能造成的损害程度 D. 数据对组织的价值
    • A
  • 35 以下哪种方法是从媒体中删除數据效果最低的？ A. 退磁(Degaussing) B. 清除(Purging) C 擦除 D 清除
    • C
  • 请参考以下情景回答 36-38 题： 我在超需間產的愛近保地 食然奇的內部政很使用以下要求保护HIPAA数据在 静态和传输中的安全性。 36.适用于传输中的 HIPAA 文档的加密技术是什么？ A. BitLocker B. DES C. TLS D. SSL 37.Amanda 的雇主要求她对带有内部患者标识符的患者×射线数据进行分类，但没有直接识别患者的任何方式。公司的数据所有者认为数据的曝光可能会对组织造成损害（但不是特别严重的损害）。Amanda 应该如何对数据进行分类？ A.公开 B. 敏感 C.私密 D.机密 38. Amanda 的雇主可以实施哪种技术来防止机密数据被通过电子邮什发送到组 织外部？ A.DLP（数据丢失防止） B.IDS（入侵检测系统） C. 防火墙 D. UDP
    • C
    • C
    • A
  • 39. Jacob 的组织适用美国政府的数据分类系统，包括最敏呢、机密、秘密和非机密等级（以最敏感到最不敏感）。Jacob遇到一个包合秘密、机密和最高机 -数据的系统。应该如何对其进行分类？ A. 最高机密 B. 机密 C. 秘密 D. 混合分类
    • A
  • 40. Elle 正在规划组织的资产保留工作，并希望确定公司何时格停止使用资产。 以下哪个事件通常是制造商或软件提供商生命周期的最后一个事件？ A. 生命周期结束 B. 支持结束 C. 销售结束 D.一般可用性
    • B
  • 41.Amanda 被要求确保她所在组织的控制评估程序与公司使用的特定系统相匹配。以下哪个活动最符合这个任务？ A. 资产管理 B. 合规性 C.定义范围 D.定制
    • D
  • 42. Chris 负责他所在组织的安全标准， •并指导选择和实施了一种适用于组织中 的Windows个人电脑的安全基线。Chris 如何能够最有效地确保他负责的工作 站符合合规要求，并且设置已经按需应用？ A. 分配用户进行基线合规性抽查。 B. 使用微软的组策略 (Group Policy)。 C. 创建启动脚本，在系统启动时应用策路。 D. 定期与数据所有者和系统所有者一起审查基线。
    • B
  • 43. Frank 正在审查公司的数据生命周期，并希望在数据收集阶段设立适当的控制措施。以下哪个确保数据主体同意对其数据的处理？ A. 保留 B. 同意 C.认证 D.残留
    • B
  • 44. 作为数据库管理员，Amy 在她所在组织的根据角色中包括数据策略和标准的技术实施，以及管理数据存储结构。以下哪个数据角色最行合 Amy的工作？ A.数据保管员 B. 数据所有者 C.数据处理者 D 数据使用者
    • A
  • 45 jim所在的公司在过去一年遭受了重大数据泄漏， 现在希望确保知道数据的位置，并且如果数据正在传输、正在复制到一个存储设备，或者位于不应该改存在的网络文件共享中，能够得知这些情况。。以下哪种解决方案报适合对文件的伶输进行标记、监控和限制？ A. 数宇版权管理 (DRM) B. 数据丢失防止 (DLP) C.网络入侵防御系统 (network IPs) D.杀毒软件 (Antivirus)
    • B
  • 46. 在备份磁带被盗或丢失的情况下，以下哪项安全措施可以提供额外的安全 控制？ A. 保留多份磁带的副本。 B. 将磁带介质替换为硬盘。 C.使用适当的安全标签。 D.使用 AES-256 加密。
    • D
  • 47.J0e 在一家大型制药研发公司工作，负责撰写组织的数据保留政策。作为法律要求的一部分，该组织必须遵守美国食品药品管理局的 《联邦法规第 21章》。为了满足要求，组织必须保留具有电子签名的记录。为什么签名是保留要求的一部分？ A. 它确保有人已经审查了数据。 B.它提供保密性。 C.它确保数据己被更改。 D.它验证了谁批准了数据。
    • D
  • 48.Susan 希望根据保留规则来管理她的数据生命周期。她可以使用什么技术来确保已经达到生命周期未端的数据可以根据组织的处理流程进行识别和处置？ A. 轮换 B.数宇版权管理 (DRM) C.数据丢失防止 (DLP) D.标记
    • D
  • 49, Ben 被要求清理数据，以删除组织不再需要的数据。Ben 最有可能处于数据生命周期的哪个阶段？ A. 数据保留(Data retention) B. 数据维护(Data maintenance) C. 数据残留(Data remanence) D.数据收集(Data collection)
    • B
  • 50 sove对于离职员工通常掌握的专有信息感到担忧，哪项措施对抵御这种威肋最有效？ A. 消毒(Sanitization ) B. 非揭露协议 (NDAs) C.清除(Clearing) D. 加密(Encry ption)
    • B
  • 51. Alex在一家受美国联邦政府数据安全要求约束的政府机构工作。为了满足这些要求，Alex 被指派确保数据在创建时可根据其分类级别进行识别。他应该对数据进行什么操作？ A. 对数据进行分类。 B.对数据进行加密。 C对数据进行标记。 D.对数据应用数字版权管理 (DRM)。
    • C
  • 52.Ben 正在遵價国家标准与技术研究所 （NIST）的特别出版物 800-88《消毒与处置指南》，该指南如下所示。他正在处理他的组织将其分类为敏感的信息，这是 NIST 模型中的中等安全分类。如果媒体将作为闲置出售，Ben 需要遵循哪个流程？ Security Categorization Clea Purgi Categorizatior Source: NIST SP 800-88. A. 销毁、验证、记录 B. 清除、清除、记录 C. 清除、记录、验证 D 清除、验证、记录
    • D
  • 53. 通常用于保护数据在传输过程中的方法是什么？ A. Telnet. ISDN. UDP B. BitLocker, FileVault C. AES. Serpent. IDEA D. TLS. VPN, IPsec
    • D
  • 54.以下哪个数据角色对数据承担最终组织责任？ A. 系统所有者 B. 业务所有者 C.数据所有者 D. 任务所有者
    • C
  • 55. Shandra 想要保护一个加密密钥。如果该密钥在该位置保管和使用，哪个位 置最难以保护？ A. 本地网络上 B.硬盘上 C.内存中 D.公共网络上
    • D
  • 对于问题 56 至 58， 请参考以下情景： Chris 最近被一家新组织聘用。Chris 所属的组织使用以下分类过程： 1. 设定数据分类的标准。 2，为每种类型的数据确定数据所有者。 3. 对数据进行分类。 4. 为每种分类选择所需的控制措施。 5.为组织选择基线安全标准。 6. 确定和调整控制措施的范围。 7. 应用和执行控制措施。 8. 授子和管理访问权限。 56. 如果 Chris 是该组织的数据所有者之一，他最有可能负责这个过程中的需些 步骤？ A. 他负责步骤 3、4和5。 B. 他负费步聚 1、2和3。 C. 他负责步骤5、6和7。 D. 所有步骤都是他直接负责的。 57.Chris 管理一个系统管理员团队。如果他们执行分类过程中的步骤6、7和8，他们在履行哪个数据角色？ A 他们是系统所有和管理员。 B.他们是管理员和保管人。 C.他们是数据所有者和管理员。 D 他们是保管人和用户 58 如果 Chris 的公司在欧盟运营，并被合同委托处理第三方的数据，那么在使用该过程对数据进行分类和处理时，他的公司粉演的角色是什么？ A. 业务所有者(Business owners) B. 任务所有者(Mission owners) C. 数据处理者(Data processors) D.数据管理员(Data administrators)
    • A
    • B
    • C
  • 关于第59-62 题，请参考以下情景： 克里斯被安排负责他的组织的1服务管理工作，这项工作的一部分包括创建有形和无形资产的清单。作为一名安全专家，你被要求就以下每个主题向克里斯提供安全相关的指导。你的目标是向克里斯提供每个选项中的最佳答案，要知道在某些情况下，不止一个答案可以接受。 59.Chris 需要识别网络上所有活动的系统和设备。以下哪种技术将为他提供最完整的连接设备列表？ A. 查询 Active Directory 以获取所有计算机对象的列表。 B. 对网络上的所有系统进行端口扫描。 C.要求所有员工填写一份列出其所有系统和设备的表格。 D.使用网络日志识别所有连接的设备，并从那里跟踪它们。 60. Chris 知道他的清单只在完成时是准确的。他如何最好地确保它保持更新？ A.对网络连接设备进行一次性查询，并根据所发现的内容更新列表。 B. 确保采购和获取流程在部署之前将新设备添加到清单中。 C.要求每个员工每季度提供其负责的设备的更新清单。 D.每年手动验证每个组织位置中的每个设备。 61.Chris 知道他的组织不仅拥有物理资产，实际上，他的组织的业务还涉及重要的知识产权资产，包括设计和配方。Chais还需經跟感型语處说选灣，。他如何最有效地确保可以根据其分类或类型识别和管理整个组织中的数据？ A跟踪常见数据类型的文件扩展名。 B. 确保根据数据类型和使用该数据的组进行特定网络共享位置的数据收集。 C. 使用基于数据类型或安全级别的元数据标记。 D.根据文件扩展名自动标记数据。 62 Chris 被指派识别无形资产，但需要向他的团队提供他们将清点的资产列表。以下哪项不是无形资产的例子？ A. 专利 B.数据库 C.配方 D.员工
    • D
    • C
    • C
    • D
  • 63. 在数据隐私法律和法规下，以下哪项不是对数据收集的常见要求？ A. 只收集所需的数据。 B.数据应合法地和通过公平的方法获得。 C. 只能在获得被收集数据的个人的同意下收集数据。 D.数据应平等地从所有个人收集。
    • D
  • 64. Suson 所在的组织特所有可移动介质标记为包含数据的分类级别，包括公共数据。为什么 Susan 的雇主标记所有介质而不仅标记可能造成损害的数据介质？ A. 订购所有预标记介质成本更低。 B.防止敏感介质被错误地标记。 C.防止将公共介质再次用于敏感数据。 D.标记所有介质是 HIPAA 的要求。
    • B
  • 65. 存储在 RAM 中的数据最适合描述为哪种类型的数据？ A. 静止数据 B. 正在使用的数据 C. 在传输中的数据 D.大规模数据
    • B
  • 66. NIST SP 800-88 样本清除认证证书 （如下所示）的验证部分旨在帮助预防哪 个问题？ A.销毁 B. 重复使用 C.数据残留 D.归属问题
    • C
  • 67. 为什么很少选择解密作为介质再利用的选项？ A. 清除对于敏感数据已足够。 B. 擦除是首选的数据删除方法。 C.它比新媒体更昂贵，可能仍然存在问题。 D. 首先需要进行清除。
    • C
  • 68. 焚化、粉碎、撕碎和破碎都描述了介质生命周期中的哪个阶段？ A. 清除(Sanitization ) B. 磁化消磁(Degaussing ) C. 擦除(Purging) D，销毀(Destruction)
    • D
  • 69. 如何描述处方和X射线等信息？ A. PHI B 专有数据 C PID D PII
    • A
  • 70. 为什么组织会在处理不同分类级别数据的工作站上使用独特的屏籍背景或设计？ A. 表示正在使用的软件版本 B. 推广公司信息 C. 促进可用性 D. 表示数据或系统的分类级别
    • D
  • 71.为了将用于存储私密数据的介质降级，Charles 被要求遵循什么流程？ A. 消磁驱动器，然后将其重新贴上较低的分类级别标签。 B. 粉碎驱动器，然后根据其包含的数据重新分类。 C.遵循组织的清除流程，然后降级和更换标签。 口.更改介质的标签，然后按照组织的清除流程确保介质与标签匹配。
    • C
  • 72.根据 NIST SP 800-18，以下哪项任务不是系统所有者执行的任务？ A. 制定系统安全计划 B. 建立适当使用和保护数据的规则 C.确定并实施安全控制 D.确保系统用户接受适当的安全培训
    • B
  • 73.NIST SP 800-60提供了以下图表所示的用于评估信息系统的过程。该图表展示的是哪个过程？ A. 选择标准并实施 B. 分类和选择控制 C.基线和选择控制 D.分类和清除
    • B
  • 以下图來通系了二不典型的工作站和服务路以及它们之间以及与互联网的造接。有关问题74-76，请参考此圈表。 Server User workstation 74. 在这个图表中，哪些位置可能包含静止数据？ A.A、 B和C B.C和E C.A和E D.B、D和F 75. 如何最好地保护点B、D和F上的数据？ A. AES-256 B. SSL C.TLS D. 3DES 76. 如何最好地保护从工作站 A 通过互联网服务（C）发送到远程服务器E的文件？ A. 在点A 使用静止的 AES，并通过B和口在传输中使用 TLS。 B.加密数据文件并发送。 C.使用3DES 和TLS提供双重安全性。 D.在A和E点使用全盘加密，并在B和口点使用 SSL。
    • C
    • C
    • B
  • 77. Susen 需要为电子邮件提供一套最低安全要求。她应该建议组织采取哪些步骤来确保电子邮件保持安全？ A. 所有电子邮件应该加密。 8.所有电子邮件应该加密并标记。 C.敏感电子邮件应该加密并标记。 D.只有高度敏感的电子邮件应该加密。
    • C
  • 78.数据保留政策如何降低风险责任？ A.通过减少使用的存储量 B. 通过限制数据分类的数量 C.通过滅少可能需要提供给诉讼的数据量 D. 通过减少违规的法律处罚
    • C
  • 79 一个用于处理数据的系然扮演着哪种数据角色？ A. 任务所有者 B. 数据所有者 C.数据处理器 D.数据保管员
    • C
  • 80.以下哪一项在美国联邦政府的法规中不被视为个人身份信息(PI)？ A. 姓名 B. 社会保障号码 C.学生身份证号码 D.邮政编码
    • D
  • 81. 健康保险便携与责任法案 (HIPAA）要求保护哪种类型的健康信息？ A. 个人身份信息 (P1) B. 受保护的健康信息 (PHI) C. 特殊健康信息(SHI) D.高度保护的健康信息 (HPHD)
    • B
  • 82. lan 建立的系统将数据库字段中的数据替换为保持相同的随机宇符字符串。 他使用了哪种技术？ A. 数据脱敏 B. 令牌化 C. 匿名化 D.DES 加密
    • B P153 令牌化：随机字符串替换其他数据，即令牌 假名化：GDPR定义为用人为标识符替换数据的过程，比如用代号代替人名 匿名化：不需要遵循GDPR，随机屏蔽是一种匿名化有效方法，匿名化不可逆转
  • 83,Juanita 的公司处理信用卡，并希望选择适当的数据安全标准。她最有可能 霧要使用和遵守哪个数据安全标准？ A. CC-Comply B. PCI-DSS C. GLBA D. GDPR
    • B
  • 84对于清除固态硬盘（SSD），最佳的消毒方法是什么？ A. 清除 (Clearing) B. 零填充 (Zero fill) C. 粉碎 (Disintegration) D.磁化消除 (Degaussing)
    • C
  • 对于问题 85至 87，请参考以下情景： 如下所示的安全生命周期图（基于 NIST 参考架构），NIST 在风险管理中使用了一个由五个步骤组成的过程。根据您对数据角色和实践的了解，回答以下基于 NIST 框架过程的问题。 85- 谁特拥者第工步-信想系统的分类的责任，他们将委托给谁执行给2 步：哪个数据角色特负责第3步？ A 数据所有者、系统所有者、数据保管者日 数据处理者、数据保管者、用户、 •.业务所有者、管理员、数据保管者口.系统所有者、业务所有者、管理员 86 如果正在评估的系统都处理信用卡信息 （而不涉及其他敏感数据），PCIDSS 在哪一步聚中首次发挥重要作用？ A. 第1步 B. 第2步 C 第3步 D.第4步 87.哪个数据安全角色主要负责第5步？ A. 数据所有者 B. 数据处理者 C.数据保管者 D用户
    • A
    • B
  • 88. Susan 的组织在将硬盘送往第三方机构进行粉碎前，会对硬盘擦除。她的组织试图避免什么问题？ A.数据保留超过策略中定义的时间 B. 第三方对驱动器的处理不当 C.分类错误 D.数据的永久性
    • B
  • 89. Mike 希望在组织内设备和设备被移动时追踪硬件资产。哪种类型的系统可以在无需员工逐个检查条形码或序列号的情况下实现这一目标？ A. 视觉库存 B.WiFi MAC 地址跟踪 C.RFID 标签 D.隐写术
    • C
  • 90. 根据需要保留和维护信息直至不再需要的做法被称为什么？ A. 数据存储策略 B. 数据存储 C. 资产维护 D. 记录保留
    • D 注意审题
  • 91. 以下哪项活动在数据分类过程中不需要考虑？ A. 谁可以访问数据 B. 如果数据丢失或遭到泄露，会产生什么影响 C. 数据的创建成本 D.数据可能需要的保护法规
    • C
  • 92. 数据静态存储通常使用哪种类型的加密？ A. 非对称加密 B. 对称加密 C. DES D. OTP
    • B
  • 93. 哪种数据角色负责应用适当的访问权限给员工？ A. 数据处理者 B. 业务所有者 C.数据保管者 D. 管理员
    • D
  • 94. 资产安全的哪个元素通常通过确定资产的所有者来确定？ A 它确定负责保护资产的个人或团队 B. 在发生盗窃时提供执法机构的联系方式。 C.它有助于确定资产的价值。 D.它決定资产的安全分类。
    • A
  • 95.Fred 准备將备份磁带送往一个安全的第三方存储设施。在將磁带送往该设施之前，Fred 应采取环些步骤？ A 确保根据磁带的分类，以与原始媒体相同的方式处理磁带。 B，提高磁带的分类级别，因为它们离开了公司的控制。 C.清除磁带，以确保不会丢失机密数据。 D. 解密磁带，以防止在传输过程中丢失。
    • A
  • 96. 以下哪项不描述数据在传输过程中的状态？ A.发往存储设施的备份磁带上的数据 B.TCP 数据包中的数据 C.电子商务交易中的数据 D.在不同位置之间复制的文件中的数据
    • A
  • 97. 新通过了一项法律，如果该法律所涵盖的数据被窃取或无意问泄露，将对贵公司造成重大的财务损害。对此，您的组织应该采取什么措施？ A.选择一个新的安全基线。 B.对数据重新进行分类。 C.对静态和传输中的所有数据进行加密。 D．申查数据分类，并适当地对数据进行分类。
    • D
  • 98. 在公司内部而不是作为第三方承包关系中，以下哪些数据角色通常存在？ (选择所有适用项。） A.数据所有者 B. 数据控制者 C. 数据保管者 D.数据处理者
    • ABC
  • 99. 对于包含在企业网站上的数据，哪种商业数据分类最合适？ A. 私有 B. 敏感 C.公共 D. 专有
    • C
  • 100. 将下列编号的数据元素与宇母类别相匹配。您可以使用类别一次、多次或不使用。如果一个数据元素符合多个类别，请选择最具体的类别。 数据元素 1.医疗记录 2. 商业机密 3. 社会安全号码 4. 驾驶执照号码 类别 A. 专有数据 B. 受保护的健康信息 C.可以识别的个人信息
    • BACC
• 总结
  • 数据角色需要重点掌握，角色的责任和涉及的工作容易混淆
  • 数据状态
  • 数据分类
  • 数据销毁方法
  • 安全基线
  • 多做题