什么是信息安全？

信息安全（Infosec）是一套用于保护数字数据和其他类型信息的策略、程序和原则体系。它涉及设计和部署用于保护敏感业务信息免遭修改、中断、破坏和未经授权检查的过程和工具。

信息安全职责包括建立一套业务流程来保护信息资产，无论这些信息采用何种格式，处于传输、处理还是静态存储状态。通常，组织将信息安全作为整体网络安全计划的一部分来保护数字信息。信息安全确保员工能够访问所需数据，同时防止未经授权的访问。它还与风险管理和法律法规相关联。

信息安全的重要性

信息安全在保护组织最关键资产——数据方面发挥着至关重要的作用。安全措施不足可能使企业面临严重风险，包括财务损失、声誉损害、监管罚款甚至基本运营崩溃。

以下要点突显了信息安全对组织的重要性：

保护敏感信息
信息安全保护组织的敏感信息，包括客户记录、员工详细信息、机密业务信息和商业秘密。它还保护对关键基础设施（如电网）至关重要的数据。没有强大的信息安全措施，关键信息容易受到未经授权的访问、盗窃、恶意篡改和破坏。这对个人和组织都构成风险。

防止财务损失
勒索软件、网络钓鱼和数据泄露等网络攻击可能在恢复工作、法律费用、业务损失和监管罚款方面造成数百万损失。有效的信息安全计划有助于预防或减少此类事件的影响。

确保业务连续性和运营韧性
信息安全对于维持业务连续性和运营韧性至关重要。网络攻击和安全事件可能导致中断，造成长时间停机和重大财务损失。通过采用强大的信息安全实践，如事件响应策略和灾难恢复协议，组织可以快速识别、遏制攻击并从中恢复。

维护信任和声誉
信息安全对于维护组织的信任和声誉至关重要。数据泄露或安全事件可能损害组织的公众形象并削弱客户信心，导致客户流失和负面媒体报道。这种信任的丧失也可能削弱投资者信心，可能导致市场价值下降和长期品牌损害。通过实施强大的信息安全实践，公司展示了他们致力于保护数据免受未经授权访问、滥用和网络威胁的承诺。

实现法规遵从
许多行业受法律管辖，如《健康保险可移植性和责任法案》（HIPAA）、《通用数据保护条例》（GDPR）和《萨班斯-奥克斯利法案》。不合规可能导致罚款、法律诉讼和诉讼。信息安全通过主动确保遵守复杂的数据保护法律和标准，帮助组织满足法律和监管要求。

防御威胁
网络威胁范围从内部威胁到复杂的高级持续威胁（APTs）。信息安全计划通过提供结构化方法来有效识别、评估和管理这些风险，防御这些攻击向量。

信息安全原则

信息安全的支柱或原则统称为机密性-完整性-可用性（CIA）三要素。这些旨在作为组织内信息安全政策和流程的指南。信息安全的总体目标是让好人进入，同时将坏人挡在外面。支持这一目标的三个主要原则是机密性、完整性和可用性：

机密性
此原则要求信息仅对具有适当授权访问该数据的人员可用。

完整性
此原则规定信息必须一致、准确和可信。

可用性
此原则要求信息易于具有适当授权的人员访问，并在发生故障时保持可访问性以最小化对用户的中断。

这三个原则并非孤立存在，而是相互影响。因此，任何信息安全系统都涉及这些因素的平衡。作为一个极端例子，仅作为书面纸张存储在保险库中的信息是机密的，但不易获得。雕刻在石头上的信息展示在大厅中具有很高的完整性，但它既不机密也不可用。

其他信息安全原则
虽然CIA三要素构成了信息安全政策和决策的基础，但完整的信息安全计划还应添加以下因素：

风险管理
因为信息安全涉及竞争因素的平衡，它与风险管理相关联。这里的目标是最大化积极结果，同时最小化消极结果。组织使用风险管理原则来确定执行系统时愿意承担的风险水平。他们还可以实施保障措施和缓解措施来降低风险。

数据分类
与信息安全一起，应考虑数据分类，对需要保持高度机密或易于获取的信息给予额外关注。

媒体和保密协议
信息安全不仅限于数字数据和计算机系统。完整的信息安全政策涵盖物理信息、打印信息和其他类型的媒体。它可能还包括保密协议。

用户培训
企业还应采用用户培训来保护个人数据，以及将计算机控制和组织政策作为风险缓解因素。例如，为了限制会计分析师更改财务数据的风险，组织可以实施限制更改权利和记录更改的技术控制。或者，让第二个人审计已完成记录的组织政策也可以减轻这种风险。

不可否认性
另一个重要的信息安全因素是不可否认性，即证明信息未被篡改的能力。任何人都不应篡改静态或传输中的数据，其来源应可信，并且不应意外或恶意修改。

业务连续性和灾难恢复
BCDR是信息安全的额外考虑因素。在软件或硬件故障的情况下，数据应保持可用和不变。组织可以通过备份或冗余系统实现这一点。

变更管理
在信息安全政策中也应考虑变更管理。管理不善的变更可能导致影响系统可用性的中断。系统变更也会影响存储数据的整体安全性。

地方法律和政府法规
监管机构通常根据地区监管个人可识别信息。法规，如医疗数据的HIPAA、支付信息的支付卡行业数据安全标准（PCI DSS）或欧盟的GDPR立法，要求某些信息被不同对待或具有特殊的安全控制。

最小权限
强大的信息安全要求仅授予用户和系统执行任务所需的最低访问级别。这强制执行最小权限原则，减少攻击面并在凭据受损时限制潜在损害。

业务连续性和灾难恢复规划，作为整体信息安全战略的一部分，由多个层次组成。

信息安全类型

虽然信息安全可以采取多种不同形式，但以下是最常见的类型：

应用程序安全
这种信息安全方法旨在保护应用程序和应用程序编程接口。它阻止和防止漏洞和数据泄露影响应用程序。应用程序安全可以通过各种技术实现，例如使用Web应用程序防火墙和持续查找、监控和缓解漏洞的扫描器。

基础设施安全
基础设施安全侧重于保护内部网和外部网网络，以及实验室、数据中心、服务器、台式计算机、云资产和移动设备。它还保护免受典型网络犯罪以及自然灾害和其他事故的影响。简而言之，基础设施安全在减少和减轻任何类型故障造成的损害方面发挥着重要作用。

云安全
这种方法旨在保护、构建和在云中托管应用程序。为确保云安全，企业必须确保安全的应用程序使用和独立进程之间的隔离，因为云应用程序在共享环境中运行。

密码学
这是通过加密将纯文本数据转换为安全数据的过程。密码学加密静态和传输中的数据，以确保数据完整性并防御网络攻击。为了使消息和数据更难阅读，安全团队经常使用数字签名和复杂算法。例如，对称密钥算法（如高级加密标准）经常用于保护敏感的政府数据。

漏洞管理
每年都会发现数千个新漏洞，要求组织修补其操作系统和应用程序并重新配置其网络的安全设置。漏洞管理过程识别和管理环境中的所有弱点，以便在漏洞变成真正威胁之前主动解决它们。

事件响应计划
事件响应计划是一组信息安全过程，用于识别、遏制安全漏洞并从中恢复。通过制定事件响应策略，组织可以遏制威胁并轻松从安全事件的后果中恢复。还应作为此计划的一部分建立保存证据以供取证检查和未来起诉的步骤。这些细节可用于识别犯罪者并防止后续攻击。

身份和访问管理
IAM是一个全面的策略、流程和技术框架，旨在管理数字身份并监管用户对资源的访问。它包括创建和管理独特的数字身份，以及通过密码、多因素认证或生物识别等凭据验证这些身份。它还包括基于角色或属性的权限授权。通过结合身份验证、凭据管理、访问控制和审计，IAM确保只有经过验证和授权的用户和系统才能在适当的时间访问特定资源。

运营安全
这涉及实施和维护与数据处理和保护相关的安全流程和决策实践。它包括安全处置设备、管理第三方或供应商风险以及确保日常操作不会无意中暴露敏感信息等活动。

物理安全
虽然在数字时代经常被忽视，但物理安全是信息安全的基础组成部分。它涉及保护支持信息系统的物理资产，如数据中心、服务器机房和硬件，免受未经授权的访问、盗窃、损坏和环境威胁。措施包括访问控制系统，如钥匙卡、生物识别、监控摄像头、保安和环境控制。

常识性安全实践有助于防止数据泄露，作为整体信息安全计划的一部分。

信息安全威胁

信息安全威胁以多种方式表现出来。以下是最常见的威胁向量：

不安全系统
新技术每天都在发布。但是，如果设计时没有考虑安全性，它可能对组织的信息安全产生严重影响。因此，如果企业运行过时或遗留系统，则很有可能成为安全漏洞的受害者。组织应识别薄弱系统并根据需要修补或停用它们。

社交媒体攻击
通过社交媒体对信息安全的攻击正在增加。2022年10月7日，Facebook的母公司Meta宣布其研究人员在前一年发现了400个恶意Android和iOS应用程序，这些应用程序旨在窃取Facebook用户的用户名和密码并危害其账户。网络罪犯使用直接或间接手段攻击社交媒体网站。通过消息传递，攻击者通常可以将恶意软件传输给作为直接攻击目标的社交媒体用户。间接技术涉及从社交媒体网站收集数据，以识别组织或用户漏洞并计划攻击。

社会工程攻击
社会工程是强迫个人披露或窃取其个人信息的行为。这种策略依赖于利用人性，这通常是系统中最薄弱的环节。攻击者通常发送带有紧迫或恐惧语气的网络钓鱼电子邮件和消息，诱骗用户泄露其敏感信息。

第三方漏洞
攻击者有时使用缺陷或漏洞来访问和窃取第三方供应商系统上持有的数据。例如，在2021年，黑客利用Microsoft Exchange Server中的漏洞访问了60,000家私营公司和9个政府实体的电子邮件。

敏感信息攻击
加密是保护组织内信息资产的绝佳方式。例如，医疗保健行业遵循HIPAA合规性，由于涉及数据的敏感性，要求每台计算机都加密。然而，由于其复杂性和缺乏法律影响，这一重要方法经常被忽视。

AI驱动和自动化攻击
网络罪犯越来越多地使用AI和自动化来扩大攻击规模，使网络威胁更加普遍和动态。根据Fortinet的一份报告，AI驱动的自动扫描在2024年飙升至惊人的每秒36,000次扫描，年增长率为16.7%。这让攻击者以前所未有的速度识别漏洞。威胁行为者还使用AI制作高度个性化的网络钓鱼消息，开发自适应恶意软件，甚至部署自主攻击，以最少的人工干预执行多阶段利用。

零日漏洞利用
这些漏洞利用是软件中供应商未知且在修复可用之前被攻击者利用的安全漏洞。因为零日漏洞利用尚未修补或公开披露，它们对信息安全构成严重威胁，因为它们为网络罪犯提供了一个发动隐蔽且通常有针对性的攻击的机会窗口。这些漏洞利用难以检测，使其成为APT和国家行为者的首选工具。

云安全漏洞
当云环境配置错误、监控不力或缺乏强大的身份和访问控制时，就会出现云安全漏洞。这些漏洞将敏感数据暴露于潜在的泄露风险。随着组织采用混合和多云架构，可见性和治理往往变得分散，增加了未经授权访问或意外数据泄露的风险。弱权限结构、过度授权和被忽视的资产都导致这些漏洞。

人为错误
除了恶意攻击，信息安全还受人因威胁，包括无意的错误、疏忽和个人缺乏安全意识，导致配置错误的系统、意外数据披露和使用弱密码等漏洞。

信息安全工具

信息安全依赖于一套强大的工具、平台和技术，旨在检测、预防、响应威胁并从中恢复。

以下是信息安全生态系统中一些关键安全工具：

防火墙
这些充当受信任的内部网络和不受信任的外部网络（如互联网）之间的屏障。它们根据预定义的安全规则控制传入和传出的网络流量。

下一代防火墙
NGFW通过深度包检测、应用程序感知和威胁情报集成等功能超越传统防火墙。

入侵检测系统和入侵防御系统
IDS监控网络或系统活动以查找恶意活动或策略违规并向管理员发出警报。IPS不仅检测还主动阻止或防止检测到的威胁达到其目标。

虚拟专用网络
VPN用于在不那么安全的网络（如互联网）上创建安全、加密的连接。这确保远程用户可以安全地访问公司资源。

安全信息和事件管理
SIEM工具从组织内的各种安全设备和系统收集和聚合日志数据。通过这样做，它们提供集中监控、事件关联和实时警报。

密码学
这种方法使用算法将信息转换为不可读的格式，确保只有拥有正确解密密钥的授权个人才能访问和理解其内容。

端点检测和响应
EDR工具持续监控端点活动，收集数据并使用分析来检测和调查可疑行为，实现对威胁的快速响应。

防病毒和反恶意软件
这些工具检测、预防和从端点删除恶意软件，如病毒、蠕虫、特洛伊木马和间谍软件。

身份和访问管理
IAM工具确保只有正确的个人在正确的时间出于正确的原因访问正确的资源。

用户行为分析
UBA在安全网络环境中建立正常用户活动的基线。它持续监控与此基线的偏差，将任何异常或异常行为标记为潜在恶意以进行进一步调查。

数据包和协议分析器
数据包和协议分析器是用于捕获、检查和分析通过网络传输的数据包的强大工具。这些工具使安全专业人员、网络管理员和渗透测试人员能够在细粒度级别检查流量，帮助识别性能问题、错误配置和安全威胁。

信息安全与网络安全的区别

由于大多数信息交换现在发生在网络空间，因此术语信息安全和网络安全经常互换使用。虽然它们的路径相交，但两个术语都有各自的含义。

物理安全、端点安全、数据加密和网络安全是信息安全的例子。它还与信息保证密切相关，信息保证保护数据免受威胁，如自然灾害和服务器中断。简而言之，信息安全关注保护任何类型的数据，而不仅仅是网络空间中的数据。

另一方面，网络安全是信息安全的一个子类别。它处理技术威胁以及可用于减轻网络攻击（如间谍软件或勒索软件）的实践和工具。它优先考虑技术，如防火墙、入侵检测系统、端点保护、加密和事件响应，以保护数字资产。

数据安全是网络安全的另一个相关类别，侧重于保护组织的数据免遭意外或恶意暴露给未经授权的各方。

信息安全的数据保护法律

美国没有管理数据安全的联邦法律，但已通过一些法规来保护特定类型的数据。另一方面，欧盟遵守GDPR，该法规管理有关欧盟居民数据的收集、使用、存储、安全和传输。

美国的数据安全法规包括以下内容：

联邦贸易委员会法案
该法律禁止企业在隐私规则方面误导消费者，未能妥善保护客户隐私以及使用欺骗性广告。

儿童在线隐私保护法案
这一项控制有关儿童的信息和数据如何受到监管。

HIPAA
这控制健康信息的使用、存储和机密性。

公平准确信用交易法案
FACTA指定应如何使用和丢弃信用报告数据。

Gramm-Leach-Bliley法案
GLBA限制银行和金融机构如何收集和存储个人信息。

除了这些联邦法律外，美国许多州还颁布了自己的数据泄露通知法和全面的隐私法，这些法律施加了数据安全要求。例子包括《加州隐私法》和《加州隐私权法案》、《弗吉尼亚消费者数据保护法》和《科罗拉多隐私法》。

全球还有其他重要的国家法规施加严格的数据保护和信息安全要求。这些包括以下内容：

澳大利亚审慎监管局CPS 234
APRA标准强制要求受监管实体（如银行和保险公司）保持与其信息安全漏洞和威胁相称的信息安全能力。

加拿大个人信息保护和电子文档法案
PIPEDA是一项联邦法律，管辖私营部门组织在加拿大各地商业活动中如何收集、使用和披露个人信息。

新加坡个人数据保护法案
PDPA管辖新加坡组织对个人数据的收集、使用和披露，强调数据保护的同意和问责制。

信息安全职位

大多数涉及计算机工作的角色都包含信息安全的元素。因此，信息安全工作在组织中的头衔各不相同，并且通常是跨学科或跨部门的。

以下是信息安全中最常见的职位头衔：

在IT中，首席安全官或首席信息安全官与首席信息官合作，负责整体网络安全和信息安全政策。

安全总监是监督公司内所有IT安全措施应用的高级专业人员。

IT安全架构师负责开发和监督公司的网络和计算机安全基础设施。

安全工程师或安全系统管理员负责执行或评估信息安全控制、管理防火墙配置、保持组织的IT安全解决方案最新以及调查入侵事件。

信息安全分析师或IT安全顾问负责进行安全风险评估、评估控制的有效性以及分析故障及其后果。

安全运营中心分析师在SOC中工作，以检测、分析并升级安全事件和潜在漏洞。

渗透测试员，也称为道德黑客，模拟网络攻击以合法识别和利用安全弱点。

云安全工程师保护云环境，专注于身份、加密和错误配置。

数字取证分析师调查漏洞并恢复受损数据。

治理、风险和合规分析师确保遵守监管和内部标准。

信息安全专业人员在其信息安全职业生涯中可以采取许多路径。

信息安全认证

对于在信息安全领域工作或渴望专门从事信息安全的IT专业人员，有许多认证可用。以下是按职业阶段和重点领域组织的需求信息安全认证的精选列表：

入门级认证

CompTIA Security+
此认证涵盖核心网络安全知识，用于获得入门级IT和信息安全角色的资格。

全球信息保证认证安全基础
由GIAC创建和管理，此认证面向希望证明自己有资格担任与IT系统安全任务相关的实践角色的安全专业人员。考试要求考生展示对信息安全超越简单术语和概念的理解。

ISC2网络安全认证
这是由国际非营利网络安全认证机构ISC2提供的入门级认证。它旨在帮助个人开始网络安全职业生涯，涵盖安全原则、事件响应、网络安全和安全运营。

中级认证

CompTIA PenTest+
此认证涵盖漏洞评估和渗透测试，包括规划、范围确定、执行安全评估和报告。对于执行实践渗透测试的网络安全专业人员来说是理想的。

EC-Council认证道德黑客
此认证是公认的道德黑客证书之一。它以合法和道德的方式教授恶意黑客常用的工具和技术，以帮助识别和解决系统漏洞。

ISACA认证信息系统审计师
ISACA是一个非营利性独立协会，倡导信息安全、保证、风险管理和治理领域的专业人员。CISA考试认证安全专业人员的知识和技能。要获得此认证，候选人必须具有与信息系统审计、控制或安全相关的五年专业工作经验。

ISACA认证信息安全经理
CISM是一项高级认证，验证已证明具有开发和管理企业信息安全计划所需的深入知识和经验的个人。ISACA将此认证针对信息安全经理、有抱负的经理和支持信息安全计划管理的IT顾问。

高级和资深级别认证

CompTIA Security X
这是针对企业安全的高级从业者级认证。它是一个高级别的、基于性能的认证，专为希望保持实践而不是转向管理的经验丰富的网络安全专业人员设计。

EC-Council认证首席信息安全官
此认证专为当前和有抱负的CISO设计，涵盖执行级安全管理、治理、风险管理、战略规划和安全计划的财务管理。

GIAC安全领导认证
GSLC认证面向安全领导者和经理，涵盖安全策略、政策、法律问题以及与执行管理的有效沟通。它提供了对安全领导原则的广泛理解。

IS2认证云安全专业人员
CCSP专注于保护云环境。此认证的目标受众是云架构师、安全顾问、工程师和负责云安全架构和运营的经理。

ISC2认证信息系统安全专业人员
CISSP是针对经验丰富的网络安全专业人员的高级认证。考试涵盖设计和开发信息安全计划的能力。

一系列云供应商的以信息安全为重点的认证也很容易获得。流行的例子包括AWS认证安全-专业、Google专业云安全工程师和Microsoft信息保护管理员。

网络安全作为信息安全的一个子类别，需要周密规划才能成功。通过阅读本指南了解如何执行网络安全最佳实践。此外，了解数据安全的基础知识以及维护组织数据的机密性、完整性和可用性的实践。