訪問控制（access control）是cissp知識體系中的第三個cbk，它的內容包括如何使用多種系統提供的安全功能來控制對組織的資訊和資料處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段，我們可以從第乙個cbk——資訊保安管理裡面中了解到它們的實施原則， 我們來逐一了解下這三類手段的定義：
邏輯手段（logical control）：主要指的是在資訊系統中部署的各種訪問控制手段，其中我們日常生活中最常見到的就是「密碼」這種方法，密碼因為它的低成本易部署而成為絕大部分作業系統中的標準配置，但它的安全性並不高，也容易被惡意的攻擊者所獲得。在訪問控制後面的內容裡，我們還會了解到如何克服「密碼」的弱點和更安全的邏輯訪問控制方法。
管理手段（administrative control）：是指通過特定的規章制度或工作流程來限制對業務資源和特定的工作目標進行限制的訪問控制方法。和物理/邏輯訪問控制方法針對的物件是資源為主不同的是，管理手段主要針對的是乙個業務流程，主要的原則是防止單個人員能夠獨自的控制特定的業務流程，以防止欺詐等犯罪行為的出現。常見的管理訪問控制方法有職責分離（separation of duties）、職責輪換（rotation of duties）和最低許可權（least privilege）。
職責分離，就是指在完成乙個關鍵的業務流程的時候，必須要根據業務的階段分割，來安排不同的人員合作完成。比如在乙個企業裡面，如果乙個職員能夠負責裝置的報廢上報、審批和入庫過程，他就有可能利用這個權利，將還沒有符合報廢標準的裝置當作報廢裝置進行替換，然後再通過對倉庫的控制權將其**，在國外發生過類似的案件。因此，為了防止單個人員控制某個關鍵業務的整個流程，企業的管理層應該根據某個業務流程的階段，安排不同的人員負責，進行互相監督，儘管這樣有可能會導致合謀犯罪的發生，但這樣進行許可權分離後的風險仍然要比單個人員控制整個流程要安全得多。在cissp的考試中常常會出考察許可權分離的情景題，回答這類題的關鍵就是要根據防止個人獨自控制整個業務的原則來進行答案的篩選。
職責輪換，對於重要業務流程的某個職務或不太重要的業務流程，儘管進行了職責分離但仍然會有欺詐行為的風險，職責輪換便作為職責分離的補充被提出。在企業中常見的職責輪換的形式一般如下，管理層給重要崗位的員工安排假期，並在該員工休假期間進行目標崗位的工作審計。因為職責輪換一般都涉及到放假，所以職責輪換也通常成為強制放假。職責輪換除了可以進一步的防止重要崗位的欺詐之外，另外也可以讓人員熟悉本來不屬於他負責的其他工作，為業務流程的崗位安排帶來人員備份和協調工作能力提公升的好處。
最低許可權，就是管理層只給使用者分配滿足他的日常工作所需的許可權，比如財務部門的使用者不允許訪問審計部門的資料和資源、銷售部門的使用者不能訪問產品定價等。在軍事領域裡面也有乙個類似的「need to know」 的原則，這就是最低許可權原則的乙個特例。最低許可權原則還在系統架構設計、操作安全、網路安全等領域有所要求，屬於cissp知識體系中較為重要的概念，在複習時可以適當關注一下。
以上介紹到的都是屬於訪問控制cbk中最關鍵的概念，cissp考試時對這幾個概念的考察也是比較多的，在複習時可以充分結合工作經驗或常見案例，掌握這幾個概念。
CISSP的成長之路（十六） 複習訪問控制（1）
j0ker給大家介紹了cissp知識體系中的第二個cbk系統 安全架構和設計。接下來的8個cbk裡，我們將進入cissp知識體系中更為具體的部分，它們也都更多的從技術層面來講述如何使用各種安全方法和安全技術來實現資訊保安目標 保密性 完整性和可用性。訪問控制 access control 是ciss...
CISSP的成長之路（十） 複習資訊保安管理 4
乙個資訊保安計畫的最終目標，就是要保護目標組織資訊資產的完整性 保密性和可用性，而各種針對資訊資產的威脅，諸如非授權訪問 篡改 毀壞和洩漏等，卻經常會破壞組織的資訊資產。這樣的狀況就要求組織把資訊保安計畫納入整個組織的資產保護計畫中去，此外，資訊保安技術並不能完全徹底的保護資訊資產免受各種威脅的損害...
我的CISSP備考之路
備考近半年，當完成長達6個小時的考試，走出考場從工作人員手中接過成績單，看到已通過的那一刻，我欣喜若狂。考試結束後的一周，在這裡對自己的學習過程做個覆盤，總結一下自己走過的彎路，分享一點備考經驗。首先介紹一下cissp，全稱是certified information system security...