security frameworks 安全框架的定義：

較為廣泛的意思，安全框架是用來建立計畫的指導方針，目的是幫助減輕（mitigate）風險和威脅，特別針對數據和隱私相關的問題。
這些框架提供了一系列的步驟和最佳實踐，以幫助組織識別和管理其面臨的風險。

• Security frameworks provide a structured approach to implementing a security measure.
• A security frameworks is
  • a set of guidelines used for building plans to help mitigate risk and threats to data and privacy.
  • Which of the following is a set of guidelines used for building plans to help mitigate risk and threats to data and privacy?

結構化的安全生命週期：

“提供一個結構化的方式”暗示這些框架不是隨意的，而是有系統地設計來指導組織如何進行安全管理。
安全生命週期（security lifecycle）指的是一套不斷演變的政策和標準，這些政策和標準定義了組織如何管理風險、遵循既定指南並滿足法規遵從的要求。

持續的改變：

“持續演變”意味著安全框架需要根據新的威脅和挑戰進行調整，這讓組織能夠應對不斷變化的安全環境。

風險管理與合規性：

這種結構化的方法不僅僅是為了應對當前的威脅，也是為了滿足各種法律與規範（regulatory compliance），這對任何組織而言都是至關重要的。

purposes of security frameworks

• 將安全與業務目標對齊 Aligning security with business goals
• 識別安全弱點 Identifying security weaknesses
• 保護財務信息 Securing financial information
• protecting personally identifiable information, known as PII,
• securing financial information,
• identifying security weaknesses,
• managing organizational risks, and aligning security with business goals.

4 core components of Frameworks

1. Identifying and documenting security goals 識別（Identify）：這個階段涉及識別和評估資產、風險和威脅，以便了解組織的安全需求和優先事項。安全分析師”角色通常負責確保組織符合這些法律和標準。分析師的任務是識別並記錄出現不合規的領域，這有助於降低法律風險並增強組織的整體安全性。

2. 設定指導方針以實現安全目標 setting guidelines to achieve security goals:為了達成法律合規性，組織可能需要制定新的政策，這些政策將規範如何處理個別用戶的數據請求。幫助組織有系統地處理安全問題，確保在面對法律和道德責任時有清晰的行動計劃。

3. 即實施強有力的安全流程 implementing strong security processes：負責設計和協調這些程序，以確保企業在處理用戶請求時遵循法律和公司政策。這種協作至關重要，以避免因不合規而受到的法律責任和罰款。

用戶數據請求的例子：提到的「用戶嘗試更新或刪除其個人資料資訊」的例子，具體展示了用戶如何行使他們在GDPR下的權利。這表明組織需具備能力來迅速而有效地響應用戶的請求，以維護信任並遵循法律。
You are a security analyst working for a social media company and need to help design procedures to ensure the organization complies with laws established by the General Data Protection Regulation (GDPR). Which framework component relates to this task?

4. 監控和溝通結果 is monitoring and communicating results：安全分析師需要定期檢查網絡流量、系統日誌和使用者行為，以發現任何可疑的活動。一旦發現潛在的安全問題，將信息報告給相關負責人（如經理或法規遵從官）是非常重要的。這不僅有助於組織及時採取必要的行動來防止損害，還確保組織能夠遵循相關的法律法規，特別是涉及到個人數據保護的問題，例如GDPR。

Security controls

• A security professional has been tasked with implementing safeguards to reduce suspicious activity on their company's network. They use Security controls to help them reduce this type of risk.
• A security professional implements encryption and multi-factor authentication (MFA) to better protect customers' private data. This is an example of using Security controls

Security controls - CIA triad

CIA stands for confidentiality, integrity, and availability.

1. 機密性（Confidentiality）：
   • 確保資訊僅能被授權的個人或系統存取。
   • 透過加密、存取控制和身份驗證等技術來保護資料不被未經授權者查看或竊取。
2. 完整性（Integrity）：
   • 確保資訊的準確性和完整性，防止未經授權的修改或破壞。
   • 使用校驗和、數位簽章和版本控制等方法來保護資料不被篡改。
3. 可用性（Availability）：
   • 確保授權的用戶能夠在需要時存取資訊和資源。
   • 透過冗餘、備份和災難恢復計劃來確保系統和資料的可用性。
     Question:
     An organization requires its employees to complete a new data privacy training program each year to reduce the risk of a data breach. What is this training requirement an example of?
     A: Security control

asset ＆ NIST CSF

資產（asset）和NIST網絡安全框架（CSF）之間的關聯在於，NIST CSF提供了一個結構化的方法來管理和保護組織的資產。資產被視為對組織具有價值的項目，因此需要根據其風險實施適當的安全控制。

NIST CSF

幫助組織識別、評估和減輕網絡安全風險，從而保護關鍵資產免受威脅行為者的攻擊。通過使用這個框架，組織可以更好地理解資產的價值和風險，並制定相應的安全策略來確保資產的機密性、完整性和可用性。
The NIST CSF is a voluntary framework that consists of standards, guidelines, and best practices to manage cybersecurity risk.

NIST網絡安全框架（NIST CSF）的主要功能包括：

• 識別（Identify）：幫助組織理解和管理網絡安全風險，識別關鍵資產、系統和數據。

• 保護（Protect）：制定適當的安全措施和控制，保障資產的機密性、完整性和可用性。

• 檢測（Detect）：建立和實施活動監控，以便及時發現網絡安全事件。

• 響應（Respond）：制定計劃和程序，快速有效地應對網絡安全事件，減少影響。

• 恢復（Recover）：確保在發生網絡安全事件後，能夠迅速恢復服務和運營。

與反擊相關的道德關切和法律組織 Ethical concerns and laws related to counterattacks

• United States standpoint on counterattacks
• International standpoint on counterattacks

道德原則 Ethical principles and methodologies /Security ethics

「道德原則（ethical principles）」是處理風險緩解時可能會引發質疑的要素，這些原則包括「保密性（confidentiality）」、「隱私保護（privacy protections）」和「法律（laws）」。

• confidentiality：保密性意味著只有授權用戶才能訪問特定的資產或數據。與專業倫理相關的保密性意味著必須對隱私保持高度尊重，以保障私人資產和數據的安全
• privacy protections：隱私保護意味著保護個人信息不被未經授權的使用。個人可識別信息（PII）和敏感個人可識別信息（SPII）是可以在被竊取時對人們造成傷害的個人數據類型。PII數據是用來推斷個體身份的任何信息，例如他們的姓名和電話號碼。SPII數據是一種特定類型的PII，受更嚴格的處理指導方針管控，包括社會安全號碼和信用卡號碼。為有效保護PII和SPII數據，安全專業人員有道德義務保護私人信息，識別安全漏洞，管理組織風險，並將安全與業務目標對齊。
• law