安全部门不是所有安全问题的唯一责任人

catfishfighting
catfishfighting

透明魔方

2026年7月5日 21:03
上海

在小说阅读器读本章

去阅读

如果你们公司的服务器被黑了，老板第一个找谁？

怎么让他不第一个找你？

这里的“不第一个找你”，不是说我们要推卸责任或逃避问题，而是指：在老板的认知里，安全责任不应该只挂在安全部门头上。这也是我们第一次直播CISSP中“安全融入业务，体系驱动落地” 提出的主要观念，安全本质是业务管理要素，管业务必须管安全，所以，老板接到消息后，第一反应应该是找业务负责人。

如何实现这个转变？答案就藏在CISSP认证最基础、也最核心的章节——1.2.2 至 1.2.5 里。这些看似理论的知识点，恰恰是构建“安全融入业务，体系驱动落地”大厦的基石。

今天，我们就来深入浅出地聊聊，学这些知识，到底怎么用。

（大家可以去B站关注catfish2018，然后翻到CISSP合集回顾直播）：

1.2.2 - 1.2.5 核心内容在“安全101”的概念基础上，深入探讨了安全的核心目标、原则和实现机制。

1.2.2 完整性 (Integrity)：这是CIA三要素之一。它指的是保护数据和系统免受未经授权的修改，确保其准确、可靠和一致。完整性不仅防止恶意篡改（如病毒、黑客入侵），也防止授权用户的误操作（如意外删除或错误更改）。实现完整性的关键控制措施包括：严格的访问控制、强身份认证、入侵检测系统（IDS）、数据加密和哈希校验（确保数据未被改动）、输入验证等。

1.2.3 可用性 (Availability)：这是CIA三要素的另一支柱。它确保授权主体在需要时能够及时、不间断地访问数据和资源。可用性不仅关乎系统正常运行，也涉及抵御拒绝服务（DoS）攻击的能力。保障可用性的措施包括：冗余设计（如RAID磁盘阵列、备用电源、集群服务器）、容错机制、健全的备份和恢复策略、业务连续性计划（BCP）以及监控和性能管理等。

1.2.4 DAD、过度保护、真实性、不可否认性和AAA服务：这部分是对CIA的补充和深化。

DAD三元组：与CIA相对，代表了安全保护的失败，即泄露 (Disclosure)、修改 (Alteration) 和破坏 (Destruction)。这提醒我们，当安全措施失效时，我们需要明确查找问题的类型。

过度保护：一个重要的提醒。过度强调某一要素（如为保密性而设置极其复杂的访问控制）可能会损害其他要素（如可用性）。安全需要平衡。

真实性 (Authenticity)：确保数据是可信的、非伪造的，并且来自其声称的来源。

不可否认性 (Non-repudiation)：确保用户不能否认自己执行过的操作（如发送邮件、转账）。这是通过数字签名、审计日志等技术实现的，是问责制的基础。

AAA服务：这是实现安全管理的核心流程，包含五个要素：

标识 (Identification)：主体声明自己的身份（如输入用户名）。

身份认证 (Authentication)：验证声明的身份是否有效（如输入密码）。

授权 (Authorization)：根据已验证的身份，决定允许主体执行哪些操作（如读取文件）。

审计 (Auditing)：记录主体和系统的活动（如日志）。

记账/问责 (Accounting/Accountability)：通过审查日志，让主体为其行为负责。

1.2.5 保护机制：介绍了几种实现安全控制的具体技术手段。