1.1理解和应用保密性、完整性及可用性的概念
保密性、完整性和可用性（Confidentiality,Integrity and Availability,CIA）
CIA三元组的优先级别中一个普遍存在的情况是军方和政府机构很多时候倾向于优先考虑保密性而不是完整性和可用性，而私营企业倾向于优先考虑可用性而不是保密性和完整性。
1.2 评估和应用安全治理原则
1.2.1与业务战略、目标、使命和宗旨相一致的安全功能
战略计划(strategic plan):有效期大约是5年，还应包括风险评估。
战术计划（tactial plan）:一年左右，或根据不可预测的事件临时制定。
操作计划(operational plan):每月或每季
1.2.2组织的流程
1.变更控制/变更管理
安全环境的变更可能引入漏洞、重叠、客体丢失和疏忽进而导致出现新脆弱性。
2.数据分类
政府/军事分类方案分为五个分类级别
绝密（Top Secret） 未经授权泄露将对国家安全造成严重影响和严重损害
秘密(Secret) 未经授权泄露将对国家安全造成重大影响和重大损害
机密（Confidential） 未经授权泄密将对国家安全造成明显影响和严重损害
敏感但未分类（Sensitive But Unclassified,SBU） 办公室使用（For Office Use Only,FOUO）
未分类（Unclassified） 泄露未分类数据不会损害保密性
商业公司常见四个分类级别
机密（Confidential）
私有（Private）
敏感（Sensitive）
公开（Public）
1.3开发、记录和实施安全策略、标准、程序和指南
安全策略：规范化的最高层级文件是安全策略。安全策略是安全实施的战略计划。
标准是战术计划文档。
下一层级是基线。基线定义了整个组织中每个系统必须满足的最低安全级别。
指南提供了关于如何实现标准和基线的建议，作为安全专业人员和用户的操作指南。
程序：可讨论整个系统部署操作，或关注单个产品或方面，如部署防火墙或更新病毒定义。
1.4 理解与应用威胁建模的概念和方法
威胁建模可当作设计和开发期间的一种主动措施被执行，也可作为产品部署后的一种被动措施被执行。
微软的安全开发生命周期(SDL)
微软STRIDE的威胁分类方案：欺骗（Spoofing）、篡改(Tampering)、否认(Repudiation)、信息泄露（Information Disclosure）、拒绝服务(Dos)、特权提升(Elevation of Privilege)
攻击模拟和威胁分析(Process for Attack Simulation and Threat Analysis,PASTA)
Trike
VAST（Visual,Agile and Simple Threat,视觉、敏捷和简单威胁 ）
DREA（Disaster,Reproducibility,Exploitability,Affected Users and Discoverability,潜在破坏、可再现性、可利用性、受影响用户和可发现性）
1.5 将基于风险的管理理念应用到供应链
现场评估
文件交换和审查
过程/策略审查
第三方审计：为所有收购设立最低限度的安全要求。
2020-05-22