1 人员安全管理（Personnel Security）
| 生命周期节点 | 关键控制 | 说明 · 考点 |
|---|---|---|
| 1.1 录用前筛选 | - 背景调查（身份、学历、资历、信用、犯罪记录）- 职位敏感度评估 | 依据岗位等级实施深度不同的筛查（高、中、低）。 |
| 1.2 雇佣协议 & 政策 | - 保密协议 (NDA)- 竞业限制 (NCA)- 组织道德与 (ISC)² 职业道德 | 确保员工知晓并承担保密与合规责任。 |
| 1.3 在职控制 | - SoD 职责分离- 最小特权 / 按需可知- PAM 特权账户管理- 岗位轮换 / 强制休假 | 减少共谋与内部滥用风险；提升问责。 |
| 1.4 离职控制 | - 访问权限实时撤销- 资产回收 & 退出面谈- 关键知识转移 | 主动离职威胁更大→严控窗口期。 |
| 1.5 第三方人员 | - 供应商、顾问、承包商账户按“访客/特权最小化”- SLA / MSA / ISA 明确安全条款（99.999 可用等）- 跳板机 & 分离网络 | 供应链风险管理（SCRM）的具体落地。 |
| 1.6 安全意识、教育、培训 | - 三层级：意识 → 教育 → 技能- 方法：仿真钓鱼、游戏化、Security Champion- 效果评估：测试 + KPI/KRI | 人永远是最脆弱环节――持续改进。 |
| 1.7 隐私与合规 | - GDPR/35273 个人信息保护- 隐私设计 (PbD)- UBA / UEBA 行为分析 | 兼顾员工隐私与监控、审计需求。 |
| 1.8 社会工程防护 | - 安全文化 + 物理安保（尾随）- 多因子验证（MFA）- 安全热线 / 不良行为举报 | 对抗钓鱼、Vishing、垃圾搜索等。 |
2 风险管理（Risk Management）
2.1 核心概念
| 元素 | 定义 | 公式/说明 |
|---|---|---|
| 资产 (Asset) | 具备价值的事物（信息、人员、硬件、声誉） | 直接价值 + 间接价值 |
| 威胁 (Threat) | 潜在导致损害的事件/主体 | 自然、人为（内/外，恶意/非恶意） |
| 脆弱性 (Vulnerability) | 弱点，可被威胁利用 | 技术 + 管理 + 人员 |
| 风险 (Risk) | 资产×威胁×脆弱性的综合暴露 | 可能性 × 影响 |
| 暴露 (Exposure) | 风险触发时的潜在损失面 | |
| 固有风险 | 无控制情况下的原始风险 | |
| 残留风险 | 已部署控制后仍存在的风险 | 总风险 − 控制减分 |
| 控制风险 | 控制本身失效的风险 |
2.2 风险管理流程（PDCA 循环）
mermaid
复制编辑
graph TD
A[制定范围与环境] --> B[风险评估]
B --> C[风险响应]
C --> D[监控与改进]
D --> B
-
评估
- 识别资产 / 威胁 / 脆弱性 / 现有控制
- 风险分析
- 定性：概率‑影响矩阵、热力图
- 定量：SLE = AV×EF / ALE = SLE×ARO
-
响应（四大战略）
- Avoid 规避
- Mitigate/Control 减轻（实施控制）
- Transfer 转移（保险、外包）
- Accept 接受（高层签字）
Ignore = 未识别/疏忽►不可取
-
监控
- 威胁情报、漏洞通报、KRI
- 定期重新评估（风险动态变化）
2.3 控制措施分类
| 按作用 | 说明 | 例子 |
|---|---|---|
| 预防性 | 事前阻止 | 防火墙、强密码、SoD |
| 检测性 | 事中/事后发现 | IDS、日志分析、UEBA |
| 纠正性 | 恢复正常 | 备份/恢复、补丁 |
| 补偿性 | 弥补主控缺口 | 审计日志复核 |
| 威慑性 | 威慑恶意行为 | 告警标识、法律通告 |
| 恢复性 | 灾后恢复 | DRP、热站点 |
| 指示性 | 提供指南 | 标准操作程序SOP |
选择控制需成本‑效益分析 (ROSI)，并满足法律/时间/技术等约束。
2.4 供应链风险管理（SCRM）
- 供应商安全尽调 & 连续监控
- 最低安全基线 + SLA 安全条款
- 第三方风险转移 vs 合规执法
- 零信任观念：“永不信任，持续验证”
2.5 风险框架对照
| 框架 | 侧重 | 关键词 |
|---|---|---|
| ISO 31000 | 企业级风险通用框架 | 原则‑框架‑流程 |
| NIST RMF | 政府/关键基础设施 | 7 步生命周期 |
| NIST CSF 2.0 | 识别‑保护‑检测‑响应‑恢复‑治理 | 功能‑类别 |
| ISO/IEC 27005 | ISMS 风险管理专用 | 支持 27001 |
| SABSA | 架构‑六视图 | 上下文‑概念‑逻辑‑物理 |
| COBIT | IT 治理 & 控制 | APO / DSS / MEA |
| PCI DSS | 支付卡行业 | 12 要求 |
3 安全治理要点
- 战略一致性：安全目标需贴合业务使命
- Due Care vs Due Diligence
- Due Care = 日常合理注意
- Due Diligence = 系统性、持续改进
- 风险委员会：C‑Level + 部门主管定期开会
- KPI / KRI：量化安全与风险表现
- 效率与安全平衡：业务连续性 vs 控制深度
4 思维导图导入说明
- 复制下方 纯文本层级 → 粘贴到 XMind / MindManager / 幕布 等「按 Tab 缩进」导入。
- 选择「分支主题」风格，即得完整可视化思维导图。
markdown
复制编辑
人员安全与风险管理
人员安全管理
录用前筛选
背景调查
职位敏感度评估
雇佣协议与政策
NDA
NCA
伦理守则
在职控制
职责分离 SoD
最小特权
PAM
岗位轮换
离职控制
权限撤销
资产回收
知识转移
第三方人员管理
SLA/MSA/ISA
跳板机
安全意识培训
三层级
钓鱼演练
隐私与合规
GDPR
UBA/UEBA
社会工程防护
风险管理
核心概念
资产
威胁
脆弱性
风险
暴露
固有/残留风险
流程 PDCA
识别
评估
响应
监控
风险评估
定性
定量 SLE ALE
风险响应
避免
减轻
转移
接受
控制分类
预防
检测
纠正
补偿
威慑
恢复
指示
供应链风险管理
控制选择 ROSI
框架
ISO 31000
NIST RMF
NIST CSF 2.0
ISO 27005
SABSA
COBIT
PCI DSS
安全治理
战略一致性
Due Care / Due Diligence
KPI/KRI
风险委员会
效率 vs 安全