| 1、安全與風(fēng)險管理Security and Risk Management |
安全與風(fēng)險管理的概念
機(jī)密性、完整性與可用性
安全治理
→策略、目的、任務(wù)和目的等方面的安全準(zhǔn)則
→組織流程
→安全角色及其任務(wù)
→控制框架
→行為準(zhǔn)則
→應(yīng)注意事項(xiàng)
完整與有效的安全體系
合規(guī)性（原法律法規(guī)章節(jié)）
全球性法律與法規(guī)問題（原法律法規(guī)章節(jié)）
→計算機(jī)犯罪
→版權(quán)和知識產(chǎn)權(quán)
→進(jìn)出口控制 | →跨境數(shù)據(jù)流
→隱私
→數(shù)據(jù)破壞
理解專業(yè)道德（原法律法規(guī)章節(jié)）
開發(fā)與實(shí)施安全策略
→開發(fā)和制定項(xiàng)目的范圍和計劃
→實(shí)施業(yè)務(wù)影響分析（BIA）
業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)需求（原
BCP與
DRP章節(jié)）
管理人員安全
風(fēng)險管理的概念
威脅建模
采購策略與實(shí)踐
安全教育、培訓(xùn)與意識 |
| 2、資產(chǎn)安全Asset Security |
資產(chǎn)安全概念
數(shù)據(jù)管理：決定與維護(hù)所有權(quán)
數(shù)據(jù)標(biāo)準(zhǔn)
數(shù)據(jù)壽命與使用
信息分級與支持資產(chǎn)
資產(chǎn)管理 | 保護(hù)隱私
確保合適的保存
數(shù)據(jù)安全控制
→基準(zhǔn)
→范圍和屬性
→密碼學(xué)
標(biāo)準(zhǔn)選擇 |
| 3、安全工程（融合了安全架構(gòu)、物理安全、密碼學(xué)等） |
在工程生命周期中應(yīng)用安全設(shè)計原則
安全模型的基本概念
信息系統(tǒng)安全評價模型
安全架構(gòu)的漏洞
數(shù)據(jù)庫安全
軟件和系統(tǒng)的漏洞與威脅
嵌入式設(shè)備和網(wǎng)絡(luò)物理系統(tǒng)的漏洞 | 密碼學(xué)應(yīng)用
→密碼學(xué)的生命周期
→密碼學(xué)的類型
→公鑰基礎(chǔ)設(shè)施等
站點(diǎn)和設(shè)施的設(shè)計考慮
站點(diǎn)規(guī)劃
設(shè)施安全的設(shè)計與實(shí)施
設(shè)施安全的實(shí)施與運(yùn)營 |
| 4、通信與網(wǎng)絡(luò)安全 Communication and Network Security |
通信與網(wǎng)絡(luò)安全概念
安全網(wǎng)絡(luò)架構(gòu)與設(shè)計
多層協(xié)議的含義
各類協(xié)議
網(wǎng)絡(luò)組件安全
→硬件操作
→傳輸媒體 | →終端安全等
通信通道安全
→聲音和多媒體合作
→遠(yuǎn)程遙控
→數(shù)據(jù)流通
→虛擬網(wǎng)絡(luò)
網(wǎng)絡(luò)攻擊 |
| 5、身份與訪問管理 Identity and Access Management |
身份與訪問管理概念
資產(chǎn)的物理與邏輯訪問
→信息、系統(tǒng)、設(shè)備、設(shè)施
人員和設(shè)備的身份識別與認(rèn)證
→識別使用的管理系統(tǒng)
→單/多因素認(rèn)證 | →賬戶和集中管理、聯(lián)合賬戶管理等
身份管理實(shí)施
身份即服務(wù)（IDaaS）
集成第三方身份服務(wù)
授權(quán)機(jī)制的實(shí)施與管理
防護(hù)或緩解對訪問控制攻擊
識別與訪問規(guī)定的生命周期 |
| 6、安全評估與測試 Security Assessment and Testing |
安全評估與測試概念
評估與測試策略
收集安全流程數(shù)據(jù)
賬戶管理（如：升級，撤銷）
管理審查
重要性能和風(fēng)險預(yù)測
備份驗(yàn)證數(shù)據(jù)
培訓(xùn)和意識
災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性 | 內(nèi)部與第三方審計
安全控制測試
→漏洞評估
→滲透測試
→綜合交易
→代碼審查和測試
→濫用情況測試
接口測試（如：API,UI,物理）等 |
| 7、安全運(yùn)營 Security Operations |
安全運(yùn)營概念
調(diào)查
→證據(jù)收集和處理（如：保管鏈，面
試）
→報告和記錄
→調(diào)查技術(shù)（如：根源分析，事故處理）
→數(shù)字取證（如：媒體，網(wǎng)絡(luò)，軟件和嵌入
裝置）
為資源提供配置管理
安全運(yùn)營的基本概念
資源保護(hù) | 事件響應(yīng)
針對攻擊的防御性措施
補(bǔ)丁和漏洞管理
變更與配置管理
災(zāi)難恢復(fù)流程
演練計劃回顧
業(yè)務(wù)連續(xù)性與其他風(fēng)險領(lǐng)域
訪問控制
人員安全 |
| 8、軟件開發(fā)生命周期安全 Software Development Security |
軟件開發(fā)生命周期安全概念
→開發(fā)新的方法（如，敏捷）
→操作和維護(hù)
→改變管理方法
軟件開發(fā)安全概要
環(huán)境與安全控制 | 軟件環(huán)境安全
軟件保護(hù)機(jī)制
評估軟件安全的有效性
→審計并記錄變更
→分析、降低風(fēng)險
評估軟件采購安全 |
什么是等保？為什么做等保？如何做等保？ 喊話安全經(jīng)理：你們家的系統(tǒng)通過“三級等?！绷藛?？
CISSP考試通知
CISSP常見問答 
