问题16：安全和风险管理
Rymar科技公司正在对他们的财务文件服务器进行定量分析。服务器的SLE是50000美元。公司想解决文件服务器每两年发生一次故障的问题。三位不同的管理人员对如何保护文件服务器提供了建议，用于保护服务器免受潜在的破坏、拒绝服务、其它类型的泄露。
Manager 1建议买两台价值3000美元的防火墙，主备热备部署。
Manager 2希望在服务器机房前面放置一个最先进的生物识别设备。目前只有公司授权员工通过刷卡和输入PIN才能进入房间。新设备可以取代刷卡和PIN系统，只有通过生物特征识别的授权员工才能进入。另外再加上部署高可用性防火墙。
Manager 3还想安装一个入侵防御系统、一个入侵检测系统、一台负载均衡设备，并购买一个热站点并存放通过远程日志复制原始文件服务器上的数据。
这个问题是像管理者一样思考很好的例子。三位经理提供了三个不同的建议，你的工作就是把你在CISSP学习中学到的全部知识都用上，选择“最有效”的选项。所有的选项看起来都是正确的，但有一个选择是必要的，从而能影响成本、安全性或网络设计。
线索：最好先计算资产的价值，然后将其与建议的控制成本进行比较。
考试要点：学习专业术语和概念是为了理解问题，而不是为了回答问题。
可以把CISSP看作是一个带有技术术语的商务考试。我们研究风险、灾难恢复、流程、框架、访问控制、软件生命周期、动态路由和其他网络安全操作的元素。所有这些知识都用于评估问题，看看哪些选项会影响成本、收入和业务扩展。
资产计算中总是存在一定百分比的不确定性。无论何时考虑ALE的分解，都应考虑置信水平。
管理者1建议在两个防火墙上总共花费6000美元。管理者2想要一个新的生物识别出入控制系统。管理者3想增加更多的网络安全设备。如果您不能理解这个问题，那么请考虑哪种选择最终降低了机密性、完整性、可用性这三个风险的核心概念。
这个问题需要马上计算文件服务器每年的预期损失。ALE是通过将单一预期损失(SLE)乘以年发生率(ARO)来计算。SLE就是问题中的50000美金，ARO=0.5，也就是服务器每两年一次故障。这样就算可得ALE=25000。
![CISSP管理者思路系列-16]( "CISSP管理者思路系列-16")
服务器的价值是50000美金，每2年发生1次故障，这每年的损失是25000美金。
你不应该为了保护50000美金的服务器而去购买一台价值80000美金的防火墙。如果控制措施费用超过要保护的资产，那么管理者会选择接受风险而放弃控制措施。
Manager 1建议在高可用性模式下使用3000美元的防火墙，这意味着需要两个防火墙，总共需要6000美元。高可用性意味着部署两个防火墙，一个是保护网络的主动防火墙，另一个是备用防火墙，用于防止主防火墙出现故障（两者也可以处于主动/主动模式）。高可用性可防止单点故障。如果文件服务器两年内出现一次故障，公司将损失25000美元。购买2台防火墙总共花费6000美元的技术性预防控制措施将是一项具有成本效益的措施。高可用性防火墙对将是一个适当的控制，以防止未经授权的访问文件服务器的外部威胁，以努力维护机密性和完整性。如果一个威胁摧毁了主防火墙，则备用防火墙将接管，从而保持可用性。Manager 1提出了非常有效的解决方案。
当使用刷卡和PIN访问资产时，这是双因素身份验证方式。通过取消使用刷卡和PIN，Manager 2实际上降低了对文件服务器的访问安全性，因为双因素身份验证比单因素身份验证更安全。如果生物识别系统同时取代了这两种认证形式，那么它将使用单因素认证。尽管生物识别系统在技术上可能是精确的，但它本身就是在证明something you are。输入生物特征信息加上something youhave（刷卡）和something you konw（PIN）会更好地维护机密性和完整性。从管理者的角度来看，生物识别设备是一项昂贵的成本。它不仅需要花钱购买，还需要雇佣需要管理系统、注册用户、生成模板、平衡交叉错误率和提供持续管理支持的专业人员。所以，Manager 2的建议不是最有效的选择，因为它增加了成本，降低了组织的安全态势。
manager3的建议是不正确的：添加负载平衡设备。负载均衡设备意味着在多个服务器或网络设备上按比例数学地分配网络流量。本问题只有一台财务文件服务器，没有其他服务器来分配进入网络的流量负载；所以不需要负载平衡设备。额外的IPS、IDS、负载均衡设备和热站点的成本没有被提及，它们的总和可能比文件服务器本身的成本高或低，但这不是决定因素。虽然除负债均衡设备外的其余设备不考虑成本因素，都可以为文件服务器提供足够的安全性。
本公众号技术文章仅供学习交流之用【转载请注明：转载自CISSP Learning】。
扫描下方二维码加入CISSP Learning交流群（请备注:申请加群）。
原文始发于微信公众号（CISSP Learning）：CISSP管理者思路系列-16
评论