网络与信息安全管理员（一级）三色笔记

利益冲突管理强调“申报—回避—隔离”的前置处置原则。工程师兼职于同一业务竞争企业并可能接触敏感信息，属于潜在利益冲突，项目经理应首先要求其申报并安排回避，而非以降薪、公开投票或等待结果等方式消极处理。

漏洞信息属于机构重要敏感数据，披露须遵循授权、审批和最小必要原则。应由机构统一管理，在修复与审批后决定披露范围；个人决定、为宣传而披露或未经授权提供细节均违反保密与职业道德要求。

高级别安全管理人员面对违规接入应坚持“先控制风险、再报告决策、后协同整改”。立即隔离和留证可防止风险扩大，报告并组织跨部门评估符合管理协调与合规要求；口头提醒、擅自关停全部门权限、延迟到季度检查均不当。

等保第四级要求区域边界访问控制、入侵防范和恶意代码防范，必须采用纵深防御和最小授权。内部区域间也应受控，不能合并区域或默认互通，更不能以VLAN替代安全域边界控制。

零信任强调持续验证和最小权限，控制平面由身份认证与策略决策中心构成，需综合终端、行为、上下文动态授权，而非依赖静态IP放行或永久隧道。

SABSA六层模型依次为业务视图、架构视图、设计视图、构建视图、实施视图、服务管理视图。业务视图之后是架构视图，用于定义安全服务与架构原则。

威胁甲对应风险值=5×4×3=60，威胁乙对应风险值=5×2×5=50，取较大者，系统风险值为60。110 是两项风险值之和，属于叠加计算错误；50、20 均非最大值。

通过放弃或终止引发风险的业务活动来消除风险源，属于风险规避。风险降低是采取控制措施减小可能性或影响；风险转移是将损失后果转由第三方承担；风险接受是不采取进一步措施而容忍风险。

残余风险无法也不必完全消除，应由具备相应权限的风险所有者依据风险接受准则评审并明示接受，形成文件化记录后持续监控。个人擅自关闭、追求零风险、转嫁个人均不符合风险管理要求。