安全是如何影响商业的？
现在广泛互联的商业环境，数据可以以许多不同的形式被获取，如数字媒体和打印等方式。因此，被使用、共享、传播的每一字节的数据都需要进行保护，将商业风险和丢失关键数据造成的其他影响降到最低。个人信息，公司信息以及知识产权的相关信息必须进行保护，如果任意这些领域中存在安全漏洞，那么组织可能需要在挽救损失方面付出极大的代价。
在信息安全中，风险表示的是面临损坏或丢失的可能性的概念，它说明了发生灾难或重大威胁的概率。而威胁是指可能对资产造成损害的任何事件或行动。威胁常常发生在违反安全要求、策略或程序的过程中，无论这种违反是有意的还是无意的，恶意的还是非恶意的，都被认为是一种威胁。例如，一位心怀不满的前任员工是一种威胁，这种威胁展示出来的风险程度取决于这位员工访问他/她的原业务资源，移除或损坏数据的可能性大小，也取决于这种行为引发的危害程度。因此，为了避免，缓解或抵消由威胁或攻击引发的安全风险需要做出相应的控制对策，制定一个使组织机构能够满足其信息安全战略目标的解决方案和行动。
如何在组织中实施信息安全控制？
我们可以引入三个原则来表示公司的安全性，这三个原则分别是：机密性、完整性、可用性，这种性质被称为CIA三位一体，如果其中一个原则受到破坏，那么公司的安全性就会受到威胁。
机密性：这是保障信息和通讯私密性以及保护其不受未授权访问威胁的基本原则。机密性通常通过加密，访问控制，信息隐藏等方式进行控制。
完整性：这是保障组织信息准确性，无错性，以及无未授权修改的一项基本原则。完整性通常是通过散列，数字签名，证书和变更控制来进行保障。
可用性：这是确保计算机系统持续性运行以及授权人员能按需访问数据的一项基本原则。可用性通常是通过冗余，容错和补丁的方式进行控制。
除了以上三个基本原则，还有其他相关原则，比如：
不可否认性：确保了发起传输或创建数据的一方保持与数据的连接且不能否认发送或创建过该数据。实现了可追责性，确定特定活动或事件（登录）的负责人。
当然还有一系列技术手段，比如：
身份识别：对特定实体的性质声明所有权的过程。进行身份识别的投入方法和努力方式会根据组织所需的安全程度和保护等级有所变化。
认证：验证特定实体或个人身份及其唯一证书的方法。认证的核心工作就是验证特定个体是否拥有进入系统或安全站点的正确证书。认证证书应当进行保密以便能够阻止未经授权的个人获取机密信息。
授权：确定特定实体拥有哪些权利和权限的过程。用户的身份被识别和认证之后，系统就能确定用户对不同资源拥有的权利和权限。
访问控制：为不同资源，对象或数据确定并分配权限的过程，说明了授权是如何被管理的。
计费和审计：计费是指跟踪并记录系统活动和资源访问的过程，审计是计费的一部分，安全专家会审核被记录下来的日志。
最小特权：规定用户和软件只能被赋予执行任务所必须的最低访问级别。
在确保以上原则和实施相关技术手段后，还需要对权限进行管理，可采用临时权限，在仅需要的时候才授予权限，然后在任务完成时或不再需要时立即撤销。还可以通过单点登录为用户提供浏览不同服务器或站点等资源的一次性认证。
组织应该采用何种认证？
口令：可以是物理的或虚拟的对象，如智能卡，身份徽章或存储了认证信息的数据包。口令可以存储个人身份识别号码（PIN），有关用户的信息或密码。唯一的口令值可以通过特殊的硬件设施或用于响应来自认证服务器质询的软件生成，也可以通过使用独立算法生成。
密码：结合使用用户名和密码是一种最基本且广泛使用的认证机制之一。在这种认证类型中，用户的证书会与存储在数据库中的证书进行对比。
智能卡：是基于口令认证的一种常见例子。智能卡是一种包含一张嵌入式计算机芯片的塑料卡片，其中能够存储不同类型的电子信息。
生物识别：是通过被测者物理特征来确定个人身份的一种认证机制。这种机制包括指纹扫描仪，视网膜扫描仪，手形扫描仪或声音识别和面部识别软件。
定位：将internet协议（IP）地址，无线射频识别（RFID），嵌入式硬件或软件编号，发票，wifi定位系统，设备的GPS坐标或其他信息与地理位置相结合，就能进行互联网和计算机的定位验证。通过查找地理位置数据库中的主机IP地址，并检索注册人的国家，地区，城市，名称和其他信息，就能进行地理定位。
击键认证：指在计算机或其他电子设备中键入信息时，根据按键被按压的释放时精确且详细的信息进行验证的认证类型。在键盘上打字时，每个用户都有特定的倾向，节奏和模式。这些信息可以被记录下来并与以后的击键方式进行比较。
多因素认证：指需要验证两种或多种认证因素的认证机制。可以任意结合使用你的身份，你的所有物，所在位置或不在位置，你的行为这些认证因素。
相互认证：指需要通讯中的每一方之间相互验证身份的安全机制。服务或资源验证客户端的凭证，客户端验证资源的凭证。相互认证可以预防客户端在无意之间将机密信息提交到不安全的服务器上。可以使用任何类型或组合形式的认证机制进行相互认证。
密码学及编码方式
密码学：一种隐藏信息的科学，最常用的方式就是对用于发送消息的密码代码进行编码和解码。
加密能够促进并支持许多不同的安全目标和技巧：
1、防止数据的未授权访问从而实现了机密性。
2、如果不知道被保密的解密密文，想要解密被加密数据是十分困难的，因此能够保障完整性。
3、只有知道加密机制才能加解密数据，因此实现了不可否定性。
4、大多数认证机制都运用了某些加密形式来保护密码。
5、加密还用在了许多访问控制机制中。
编码：一种用于加密或解密数据的算法。
密钥：加密密钥是指与算法一起使用来执行加解密的特定信息段。密钥可以是静态的或短暂的，静态密钥被设计为可在相对较长的时间段内使用，并且用于密码建立过程中的许多实例，而短暂密钥是为每个单独的通讯片段或会话生成的。
对称加密：一种双向加密，其中加解密都使用相同的密钥，加密速度相对于非对称加密较快。
非对称加密：主要使用的是私钥与公钥。在双向加密过程中，私钥有其中一方进行保密，因为私钥是不能被共享的，就确保了一定的安全性。公钥可以被任何人获取，根据加密的应用过程，双方都能使用加密密钥。与之相对的另一个密钥用来解密。密钥对中的私钥可以解密使用相应公钥编码的数据。由于非对称加密算法使用更长的密钥，因此它的执行速度相对对称密钥算法来说通常更慢。
散列算法：指将明文转换为无法直接解密的密文的过程或函数，输入数据的长度可能不同，但散列值的长度是固定的。
散列算法的用途：
1、散列算法在多种密码认证机制中都有应用。被加密的密码数据就被叫做密码的一个散列。
2、散列值可以被嵌入到电子消息中，以支持数据的完整性和不可否认性。这就是数字签名的作用。
3、文件的一个散列可以用来验证文件经过传输后的完整性。
信息隐藏：一种可选的加密技巧，指通过将秘密消息装入图形、视频或声音等普通文件中进行隐藏。虽然加密隐藏了信息的内容，但是不会隐藏信息存在的事实，而信息隐藏甚至把信息存在这个事实模糊了。隐写技术包括将信息隐藏在无足轻重的文本中，通过使用细微的线索或通过某种算法改变图片中单个像素颜色隐形地改变数字图片的结构来将信息隐藏在图片中。
企业应该如何进行全面的风险分析？
风险管理：在信息管理领域中，风险会以许多不同的形式展现出来。如果不能正确地管理风险，就可能引起重要资产的泄露，篡改，丢失，破坏或干扰。风险管理是一种周期性过程，包括四个阶段：
1、确定并评估系统中存在的风险。
2、分析风险对系统产生的潜在影响。
3、规划如何响应风险的策略。
4、缓解风险对未来安全造成的不良影响。
风险分析的组成：风险是指威胁利用漏洞引起某种可能性。因此，当你进行分析，确定风险是否存在时，不仅要确定潜在的威胁，还要确定系统中是否存在这些威胁可以利用的漏洞。一旦确认风险存在，根据风险可能引起的损害及其发生概率就能确定该风险的严重程度。
风险分析的阶段：确定如何保护计算机网络，计算机安装和信息时，风险分析这一安全过程能够评估可能影响整个组织的风险危害。主要分为六个阶段：
1、资产确定：确定需要保护的资产并确定资产的价值。
2、漏洞确定：确定漏洞，使分析师能确认资产保护过程中什么地方存在问题。确定了缺陷的位置也就显示了最容易受漏洞影响的关键区域。漏洞扫描是一种用于确定系统内缺陷的方法。但这种方式可能会产生错误警报，引起关注，即使系统中并没有实际的错误或缺陷。
3、威胁评估：一旦了解到漏洞所在，就能确定可能会利用这些漏洞的威胁。
4、可能性量化：量化威胁利用漏洞的可能性或概率。
5、影响分析：一旦确定了可能性，这些潜在威胁可能造成的影响就需要评估。包括从损坏中恢复的影响，以及实施预防措施带来的影响。
6、应对措施的确定：确定并开发应对措施消除或降低风险。应对措施必须在经济上有效可行，并提供符合预期的保护强度。换句话说，应对措施的成本必须小于威胁利用漏洞造成的预计损失。
风险分析的方式：
1、定性：定性分析方法通过描述和文字的方式衡量风险的数量和影响力。根据分析影响力使用的标准，可以将等级分为高、中或低。定性分析通常会根据场景不同而变化。定性风险分析的一个缺点源于其有时比较主观和不可测试的方法论。
2、定量：定量分析完全根据数值来进行。使用历史记录，经验，行业最佳实践和记录，统计理论，测试以及实验等方法来对数据进行分析。在风险难以被量化的情况下，这种方法论可能就会显得力不从心。
3、半定量：半定量分析方法使用与数值相关的描述来进行。它不是完全定性也不是完全定量。这种方法论尝试在前两种风险分析类型之间找到一个中间位置。
风险计算：风险计算侧重于研究财务和运营损失的影响，并在组织中寻找威胁利用的指标。风险计算可以被视作一种公式，用来考虑每种资产价值，计算每种威胁发生的可能性，并衡量缓解系统漏洞的可能成本。组织可以使用这种流程来确定每种已知风险的单一损失预期SLE（single loss expectancy）或年度损失预期ALE（annual loss expectancy）。SLE的值代表特定不利事件的财务损失。ALE的值是通过SLE乘以它的年发生率ARO（annual rate of occurrence）来计算，以确定组织在一年内可能承担的风险总成本。
风险响应的技巧：一旦确定了一项风险，就能制定响应策略来确定合适的应对措施。甚至可以结合多种策略来完成一次响应。常见的四种响应技术：
1、接受：这表示如果风险真实发生，承认并接受风险及其带来的后果。但接受并不代表让系统完全地暴露在漏洞之下，而是意识到涉及的风险不能完全避免，或是缓解和避免的成本过高。
2、转移：将风险的责任分配给其他架构，或第三方，如保险公司。
3、避免：通过消除风险的来源彻底消除风险。
4、缓解：这种技巧能防御可能的攻击并在潜在风险产生重大影响时实施。缓解措施可能以入侵检测系统等主动防御措施或备份处于风险中的数据等警示措施的形式出现。
风险缓解和控制类型：
1、技术控制：应用软硬件装置监控和防止计算机系统与服务中的威胁和攻击。
2、管理控制：应用相应流程监控组织安全策略的服从情况。这些控制专门用于控制特定区域的操作效率，并监控安全策略的服从度。例如，年度或定期安全扫描和审计能够检查对安全策略的服从程度。
3、操作控制：用于保护日常业务操作，功能和活动所有方面的安全措施。
4、损失控制：用于保护关键资产不受侵害的安全措施。包括降低损失发生概率，以及降低发生损失时的严重程度。
变更管理：是一种批准并执行变更的系统性方法，以便确保信息技术服务达到最佳的安全性，稳定性和可用性。当一个组织变更它的硬件，软件，基础设施或文档时，就会面临引入意外事件的风险。因此，对一个组织来说，合理评估风险，量化培训，支持，维护或实施成本，合理权衡提议变更带来的复杂性和利益都是重要的工作。通过维护一个有存档的变更管理流程，组织就能避免因草率变更带来可能的反作用。
分析风险的准则：
1、清晰地定义组织对安全性的期望。
2、确定需要进行保护的资产，并确定它们的价值。
3、寻找可能存在的漏洞，如果这些漏洞被利用，可能对组织产生的副作用。
4、确定组织资产的潜在威胁。
5、确定威胁利用漏洞的可能性或概率。
6、确定潜在威胁的影响，无论是从故障系统中恢复还是实施可降低或消除风险的安全控制。
7、确定最适合组织的风险分析方式。在定量和半定量风险分析的方式中，为每种威胁计算SLE和ARO，然后计算ALE。
8、确定可能的应对措施，确保这些措施有成本效益并且能够按预期执行。
9、清晰记录分析过程中的所有发现和所做决策。
企业如何进行业务的风险分析？
业务影响分析：是一种系统性活动，用于确定组织风险及其对持续的，任务关键型的业务与流程产生的影响。BIA包括对漏洞的评估，对风险及其影响的评测。BIA还要包含业务的所有阶段，以确保所有的必要功能和关键系统得到确认，所有的相关风险得到处理。
组织使用两种基本隐私评估来进行业务影响分析：
1、隐私影响评估PLA（privacy impact assessment）：这种工具能够确定并分析程序或系统生命周期中针对隐私的风险。其中声明了哪些个人可识别信息PII（personally identifiable information）会被收集，并解释了其维护，保护以及共享方式。
2、隐私阈值分析PTA（privacy threshold assessment）：一种用于确定什么时候需要PLA的文档，PTA通常包括描述系统的信息，收集或使用哪些PII，以及PII的来源。
关键系统和功能：指当发生缺失或严重退化时能够防止组织在既定的最低预期水平上运行的系统和功能。确定系统和功能相对重要性的一种方法就是制定一些定量数据用于比较。如：
1、最大可承受停机时间（MTD）
2、平均故障时间（MTTF）
3、平均修理时间（MTTR）
4、平均故障间隔时间（MTBF）
5、恢复时间目标（RTO）
6、恢复点目标（RPO）
执行业务影响分析的准则：
1、确定任务必要型的功能和每种功能中的关键型系统。这些是你需要评估其影响力的系统。
2、确定会使你的业务操作面临风险的重大场景。
3、计算MTD,RPO,RTO,MTTF,MTTR和MTBF。
4、必要时，执行隐私阈值评估和隐私影响评估。
5、确定单点故障，并在可能的情况下建立冗余或备用系统和解决方案。