月份: 2021 年 8 月

-ISO 31000

在 ISO 31000 中，風險評鑑包括三個步驟：風險識別、風險分析和風險評鑑；威脅是一種帶來負面影響的風險。在 NIST 的世界中，風險評鑑和風險分析是同義詞。但是，它們具有相同的性質，即風險處理和響應遵循風險評鑑。安全控制是特定的風險處理或緩解風險的響應。
脆弱性是威脅的一個因素。NIST 的通用風險模型具體定義了威脅因素：

-NIST 通用風險模型 (NIST SP 800-30 R1)

安全評鑑(Security Assessment)
安全評鑑可以指安全控制評鑑（SCA）或資訊安全評鑑（ISA）。然而，它們有細微的差別。SCA 是 ISA 的一個子集。本題中的安全評鑑是指安全控制評鑑。
. 安全控制評鑑（SCA）的意思是“測試或評鑑的安全控制，以確定該控制是否正確執行，按預期方式操作的程度，並產生相對於所期望的結果滿足用於資訊系統或組織的安全性要求。” (NIST SP 800-53 R4)
. 一種資訊安全評鑑（ISA）是“確定實體被如何有效評鑑的過程中（例如，主機，系統，網絡，程序，人知的作為評鑑對象）滿足特定安全目標。” (NIST SP 800-115)

參考
. 安全評鑑

資料來源： Wentz Wu QOTD-20210708

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

縱深防禦是一種“整合人員、技術和運營能力的資訊安全戰略，以在組織的多個層次和維度之間建立可變的屏障”。（NIST 術語表）
. 人：提升安全意識
. 運營：幫助人力資源人員審查招聘流程
. 技術：實施入侵檢測系統以回應安全事件和基於生物識別的存取控制

基於風險的存取控制（Risk-based Access Control）
存取控制是指“授予或拒絕特定請求的過程：
1）獲取和使用資訊及相關資訊處理服務；和
2) 進入特定的物理設施（例如，聯邦建築物、軍事機構、邊境口岸）。（NIST 術語表）
有兩類存取控制方法：傳統的和動態的。傳統的存取控制方法利用嚴格且預先確定的策略來確定存取決策。或者，動態存取控制方法不僅採用靜態策略，還採用動態和實時特性來做出存取決策。這些動態特徵可能涉及上下文、信任、歷史事件、位置、時間和安全風險。基於風險的存取控制模型是利用與每個存取請求相關的安全風險值作為判斷存取決策的標準的動態方法之一。
資料來源：MDPI

完全調解（Complete Mediation）
“完全調解的原則要求檢查對對象的所有存取，以確保它們被允許。” (CISA)

參考
. 縱深防禦
. 基於風險的存取控制模型：系統文獻綜述
. 完全調解

資料來源： Wentz Wu QOTD-20210707

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

專有資料和個人資料（或 PII）是資料治理的重要主題。由於個人資料通常對隱私敏感，因此在網絡安全上下文中將信息/資料安全和隱私分開處理。例如，NIST SP 800-53 R5 提供了安全控制和隱私控制；ISO 27001 (ISMS) 處理信息安全，而 ISO 27701 處理隱私信息。

專有資料角色
. 資料所有者（Data Owner）：分類、授權和問責
. 資料管家(Data Steward)：資料質量
. 資料保管人(Data Custodian)：實施和日常工作

資料所有者對其“擁有”的資料負責，因此管理團隊的成員通常承擔此角色。但是，他可以將職責委派給任何人（例如，資料管家或資料保管人），但仍需對結果負責。

在 NIST 指南中，資料管理員通常等同於資料所有者（或由資料所有者委託），因為資料所有者並不真正擁有“個人資料”的所有權。他們似乎通過不使用有爭議的術語來迴避個人資料所有權的爭論。
在私營部門，資料角色可以更明確地實施。組織可以在資料治理計劃中添加更多角色以滿足他們的要求。資料角色不限於上述三種。此外，組織可以使用他們喜歡的任何角色名稱。

個人資料角色
. 資料主體(Data Subject)/主體(Principal)
. 資料控制器(Data Controller)
. 資料處理器(Data Processor)
在我看來，個人資料的所有權應該屬於資料主體。組織並不“擁有”它們，而只是控制和處理它們。資料控制者決定處理的目的和方式；資料處理者代表資料控制者並根據資料控制者確定的目的和方式處理個人資料。

參考
. 隱私

資料來源： Wentz Wu QOTD-20210706

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文