问 AI 助教考点精讲
- 讲义指出数据安全是数据的质量属性，目标是保障数据资产的保密性、完整性和可用性，简称 CIA，也称数据安全三要素模型。三项目标：赋能对企业数据资产的适当访问并防止不当访问；确保符合隐私、保护和保密性的法规政策；满足利益相关方对数据隐私和机密性的要求。第 229 页表列六条原则：协同合作（涉及 IT 安全管理员、数据管理专员与数据治理、内外审计团队及法律部门）、企业统筹、主动管理、明确责任（界定跨组织的数据监管链职责）、元数据驱动（分类分级是数据定义的组成部分）、减少接触以降低风险。第 238 页安全过程能力为访问、审计、验证、授权，另列权限 Entitlement 与统一身份管理 Account。漏洞是弱点或缺陷，威胁是潜在攻击行动（不一定恶意），风险是造成损失的可能性。风险按敏感性分 CRD、HRD、MRD；加密分哈希、对称、非对称三类。
- 前后置引导：需先理解第 2 章的数据处理伦理，安全是伦理要求的技术落地。；安全之后是集成，建议接着学习「数据集成与互操作：ETL 与时延」。
记忆技巧
六条原则记「协同·统筹·主动·明责·元数据驱动·减少接触」；4A 记「访问·审计·验证·授权」
漏洞—威胁—风险三层记「有弱点 → 有人来打 → 造成损失的可能」
常见误区
- 把数据安全等同于「防黑客」，忽略讲义首要目标是「赋能适当访问」
- 认为威胁一定是恶意的，忽略讲义明确「威胁不一定总是恶意的」
- 把漏洞、威胁、风险混为一谈，忽略三者分别是弱点、潜在行动、损失可能性
- 以为加密只有对称与非对称两类，忽略哈希是第三类且不可解密
- 以为安全原则只有三条，忽略讲义第 229 页表列六条（另含明确责任、元数据驱动、减少接触以降低风险）
真题思路
- 【讲义原题·讲义第256页 第9题】 数据安全需求和活动分为4个方面，即4A。这4A包括：
访问（Access）、审计（Audit）、验证（Authentication）和授权（Authorization） 收集（Acquisition）、访问（Access）、可用性（Availability）、分析（Analysis） 认证（Authenticatone）、授权（Authorization）、账号（Account）、审计（Audit） 行动（Action）、自动化（Automation）、准确性（Accuracy）、自适应性（Adaptability）
答案：A
解析：（讲义练习页仅印题干与选项、未印答案，本题答案依据讲义正文推导）讲义第 238 页「数据安全过程」一页按序号列出四项能力：访问（Access）、审计（Audit）、验证（Authentication）、授权（Authorization），与 A 项逐词对应。讲义开篇对数据安全的定义亦为「为数据和信息资产提供正确的身份验证、授权、访问和审计」。B 混入可用性与分析，C 混入账号，D 属自造词。故选 A。
常见问题
Q：CIA 三要素分别指什么？
A：保密性、完整性、可用性。（解析：讲义第 232 页原文：数据安全是数据的质量属性，其目标是保障数据资产的保密性、完整性和可用性，简称 CIA，也被称为数据安全三要素模型。 数据安全的三个关键术语需区分：漏洞是弱点、威胁是潜在攻击行动（不一定恶意）、风险是造成损失的可能性。加密分哈希、对称与非对称三类，其中哈希不可解密，通常用于完整性或身份验证。）
Q：漏洞、威胁、风险三者如何区分？
A：漏洞是弱点、威胁是潜在攻击行动、风险是造成损失的可能性。（解析：讲义分别在第 233、234、235 页给出三者的定义。风险可通过威胁发生概率与频率、损害类型与程度、对收入和运营的影响、修复成本、预防成本、攻击者意图等因素计算，并按潜在损害程度或发生概率排定优先级。）
Q：数据安全的六条原则是什么？
A：协同合作、企业统筹、主动管理、明确责任、元数据驱动、减少接触以降低风险。（解析：讲义第 229 页表（目视核对）完整列出六条：协同合作要求涉及 IT 安全管理员、数据管理专员或数据治理、内部和外部审计团队以及法律部门；企业统筹要求运用数据安全标准和策略时保证组织一致性；主动管理强调成功取决于主动性和动态性、所有利益相关方的关注、管理变更以及克服组织或文化瓶颈；明确责任要求明确界定角色和职责，包括跨组织和角色的数据监管链；元数据驱动要求数据安全分类分级作为数据定义的重要组成部分；减少接触以降低风险要求最大限度减少敏感或机密数据的扩散，尤其是在非生产环境中。）
Q：风险分类中的 CRD、HRD、MRD 分别指什么？
A：关键风险数据、高风险数据、中等风险数据。（解析：讲义第 236 页：CRD 具有直接财务价值、外部希望获取，如个人信息；HRD 为公司提供竞争优势、具有潜在业务价值，如财务数据；MRD 是没有价值的非公开数据但非授权使用可能对公司有负面影响，如公司非公开信息。）
Q：4A 的说法在讲义里怎么对应？
A：第 238 页安全过程按序号列出访问、审计、验证、授权四项，另列权限 Entitlement 与统一身份管理 Account；第 256 页第 9 题以「4A」提问。（解析：讲义第 238 页「数据安全过程」一页逐项给出访问（Access）、审计（Audit）、验证（Authentication）、授权（Authorization），其后另列权限（Entitlement）与统一身份管理（Account）。第 256 页第 9 题的题干用的是「4A」，正确选项与第 238 页前四项逐词对应。注意选项 C 把 Account 混入其中，而 Account 在正文里与 4A 并列而非其成员。）
相关知识
教材出处：第7章 数据安全 数据安全