欢迎来到网络安全的世界！
你好，未来的会计师！欢迎来到资讯系统与控制（ISC）考试中最重要的部分：安全性（Security）。如果你曾经因为充满技术术语的讨论而感到不知所措，别担心！我们将把这些概念拆解成简单、生活化的实际应用。请不要把安全性看作一堆枯燥的程序代码，而应将其视为一道保护公司最宝贵秘密的“数字围墙”。在本章中，我们将学习公司如何识别门口的人是谁、如何锁好门户，以及如何防范数字“窃贼”。
1. 基础：CIA 三位一体（CIA Triad）
在深入探讨“如何做”之前，我们需要先了解“为什么”。在安全领域，我们所做的一切都是为了保护这三项原则，我们称之为 CIA 三位一体。（不，这不是指那个情报机构！）
• 机密性（Confidentiality）：保守秘密。只有获得授权的人才能看到敏感数据。
类比：一封只有收件人才能拆开的密封信件。
• 完整性（Integrity）：确保数据没有被篡改或因错误而改变。资讯必须准确且完整。
类比：一份详实记录你所有消费的银行对账单，不多也不少。
• 可用性（Availability）：确保系统在人们需要时能够正常运作。
类比：当你在凌晨 2 点需要提款时，自动取款机（ATM）确实能正常运作。
快速回顾：
Confidentiality = 保密
Integrity = 准确
Availability = 可用
2. 身份与存取管理（IAM）
IAM 是确保正确的人能以正确的方式存取正确资源的流程。它通常遵循三个步骤。如果这些术语听起来很相似，别担心，以下是它们的区别：
第一步：识别（Identification）
这仅仅是告诉系统你是谁。
例子：输入你的用户名（Username）。
第二步：验证（Authentication）
这是证明你确实是你所声称的那个人。这就是多重身份验证（MFA）发挥作用的地方。为了更高的安全性，我们要求提供来自不同类别的“凭证”：
• 你知道的（Something you know）：密码或 PIN 码。
• 你拥有的（Something you have）：实体钥匙、接收验证码的智能手机，或 USB 安全密钥。
• 你具备的（Something you are）：生物识别技术，例如指纹或人脸扫描。
重要提示：要达到“多重”身份验证，必须使用来自“不同”类别的项目。使用两个不同的密码并“不是”MFA，那只是两个“你知道的”类别！
第三步：授权（Authorization）
既然系统已经确认了你的身份，你被允许做什么？这受最小权限原则（Principle of Least Privilege）管辖。该规则规定，员工应仅拥有执行工作所需的最低限度存取权限。
例子：实习生不应该拥有“删除所有文件”的按钮！
重点总结：
识别是姓名，验证是身份证，而授权是唯一能打开特定门的钥匙。
3. 保护网络
组织使用多种工具来保护其“数字家园”免受外部威胁。
防火墙（Firewall）
可以把防火墙想象成夜店的保安。它位于公司的私人网络与危险的公共互联网之间。它会检查每一个试图进入或离开的数据“数据包（Packet）”，并根据一套规则决定是否放行。
虚拟私人网络（VPN）
正确设定的加密VPN可保护不可信网络上隧道内流量，但不保证端点、使用者、应用程式或隧道外流量安全，仍须认证、修补、存取及端点保安。
加密（Encryption）
加密是使用数学密钥将可读数据（明文，Plaintext）转变为乱码（密文，Ciphertext）的过程。
• 静态数据加密（Encryption at Rest）：保护存储在硬盘或服务器上的数据。
• 传输中数据加密（Encryption in Transit）：保护在互联网上传输的数据（例如使用 VPN 或“https”网站）。
4. 系统与终端安全
“终端（Endpoint）”是指任何连接到网络的设备——笔记本电脑、手机，甚至是智能打印机。这些通常是安全环节中最薄弱的一环。
弱点管理（Vulnerability Management）
软件并非完美，通常会有漏洞或弱点（Vulnerabilities）。黑客会寻找这些洞。公司必须进行弱点扫描来找出它们，然后应用补丁（Patches，即更新）来修复。
鼓励小语：如果你的手机提醒你更新软件，请务必更新！你实际上是在“修补”一个安全漏洞。
恶意软件防护（Malware Protection）
电脑病毒附于宿主档案或程式复制，破坏不是定义必需。勒索软件常加密或封锁资料，相关勒索亦可偷取资料威胁公开，有时不加密。
5. 人为因素：社交工程（Social Engineering）
有时候，进入系统最简单的方法不是通过电脑，而是通过使用它的人。这就是所谓的社交工程。
商业电邮诈骗冒认或入侵可信身份诱使未授权付款或披露，可能冒充高管、供应商或其他联络人；钓鱼只是其中方法，敏感更改须经独立核实渠道确认。 社交工程亦含钓鱼讯息及以虚构故事身份作借口。
商业电邮诈骗冒认或入侵可信身份诱使未授权付款或披露，可能冒充高管、供应商或其他联络人；钓鱼只是其中方法，敏感更改须经独立核实渠道确认。 社交工程亦含钓鱼讯息及以虚构故事身份作借口。
6. 监控与响应
保安日志记录已设定且可取得事件，非必然所有活动。有效监察须覆盖范围、同步时间、保护储存、保留、警报分流及回应；人手及时段依机构，SOC非必然全天有人。
组织通常设有资讯安全运营中心（SOC）——这是一组 24/7 全天候监控这些日志的专家团队，专门寻找显示安全事件正在发生的“红旗（警示信号）”。
快速回顾盒：
MFA：需要 2 个以上不同的因素（知识、持有、特征）。
最小权限：只给予工作所需权限。
防火墙：过滤流量（保安）。
VPN：远程工作的安全隧道。
网络钓鱼：窃取资讯的诈骗邮件。
总结：为什么这对会计师很重要？
缺少多重认证等控制可增未授权存取风险，须评估帐户、系统、资料、威胁及补偿控制；缺陷本身不证明财务资料已被改或错报。
如果这些术语看起来很多，别担心！只要记住这些类比：保安（防火墙）、秘密隧道（VPN）和访客名单（授权）。你一定做得到！