信息安全基础与法律法规
本域是信息安全工程师考试的基础域，选择题占比高，考查信息安全基本属性与安全模型的基本判断，以及《网络安全法》《数据安全法》《个人信息保护法》《密码法》等法律法规的适用对象、义务主体与法律责任。
属性与对应技术
- 保密性：仅授权者可见，靠加密、访问控制、涉密载体管控实现。
- 完整性：防止未授权篡改，靠哈希校验、数字签名、只读介质实现。
- 可用性：授权者按需可用，靠冗余、备份、容灾、抗 DDoS 实现。
- 延伸属性：可控性、不可否认性（数字签名）、可审查性（审计）。
法律体系（记施行日期与规制对象）
- 《网络安全法》2017-06-01 施行：确立网络安全等级保护制度、关键信息基础设施保护、网络运营者安全义务、网络实名制、网络日志留存不少于六个月。
- 《数据安全法》2021-09-01 施行：数据分类分级保护、重要数据目录、数据出境安全管理、数据处理者全流程安全义务。
- 《个人信息保护法》2021-11-01 施行：告知-同意、敏感个人信息单独同意、最小必要、个人信息保护影响评估（PIA）、跨境三条路径（安全评估、保护认证、标准合同）。
- 《密码法》2020-01-01 施行：密码分为核心密码、普通密码、商用密码；商用密码用于非国家秘密领域，实行许可与检测认证；修订后的《商用密码管理条例》2023-07-01 施行。
- 《关键信息基础设施安全保护条例》2021-09-01 施行：运营者主体责任、专门安全管理机构、每年至少一次检测评估。
- 《刑法》第 285、286 条：非法侵入计算机信息系统、非法获取数据、破坏计算机信息系统罪。
工作示例
某三甲医院上线在线挂号，采集身份证号、科室与既往病史，并与境外科研机构联合分析。判断链条：先定性--病史与身份证号结合属于敏感个人信息（医疗健康），须取得单独同意、告知必要性与保存期限并开展 PIA；再定级--系统承载挂号与支付、影响就诊秩序，可能定为等级保护三级，需每年至少测评一次并向公安机关备案；最后看出境--向境外提供病历须申报数据出境安全评估。三项义务并行，不能只做其中一条。
高频陷阱
- 去标识化不等于匿名化：去标识化后仍属个人信息，匿名化后不再适用个保法。
- 备案（公安机关）与等级测评（测评机构）是两件事，三级每年、四级每半年测评。
- 日志留存六个月是网安法对网络运营者的要求，与等保测评周期无关。