cisp培訓(xùn)筆記

1、12015810PPT信息安全保障10’注冊信息安全專業(yè)人員（CISP)知識體系結(jié)構(gòu)信息安全保障基礎(chǔ)信息安全保障實(shí)踐信息安全保障信息安全技術(shù)信息安全法規(guī)標(biāo)準(zhǔn)操作系統(tǒng)安全網(wǎng)絡(luò)安全應(yīng)用安全應(yīng)急響應(yīng)與災(zāi)難恢復(fù)信息安全風(fēng)險(xiǎn)管理信息安全管理基礎(chǔ)信息安全管理信息安全工程安全工程基礎(chǔ)安全工程能力評估信息安全法規(guī)與政策信息安全標(biāo)準(zhǔn)信息安全道德規(guī)范信息內(nèi)容安全信息安全管理體系密碼技術(shù)數(shù)據(jù)庫安全鑒別與訪問控制安全攻擊與防護(hù)軟件安全開發(fā)信息安全保障信息安全保

2、障1、中辦27號文號文《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》室信息安全保障工作的綱領(lǐng)性文件2、信息的安全屬性CIA：保密性、完整性、可用性保密性、完整性、可用性3、信息安全的范疇：信息技術(shù)問題、組織管理問題，社會(huì)問題，國家安全問題4、信息安全特征：系統(tǒng)性、動(dòng)態(tài)性，無邊界性、非傳統(tǒng)性系統(tǒng)性、動(dòng)態(tài)性，無邊界性、非傳統(tǒng)性（最終保障業(yè)務(wù)的安全）5、信息安全問題根源：（信息戰(zhàn)士和網(wǎng)絡(luò)戰(zhàn)士是最嚴(yán)重的）內(nèi)因，過程復(fù)雜、結(jié)構(gòu)復(fù)雜、應(yīng)用復(fù)雜

3、外因，人（個(gè)人威脅、組織威脅、國家威脅）和自然6、信息安全發(fā)展階段通信安全通信安全COMSEC，信息竊取，加密，保證保密性、完整性計(jì)算機(jī)安全計(jì)算機(jī)安全COMPUSEC，操作系統(tǒng)技術(shù)信息系統(tǒng)安全信息系統(tǒng)安全I(xiàn)NFOSEC，防火墻、VPN、PKI公鑰基礎(chǔ)設(shè)施、信息安全保障信息安全保障IA，技術(shù)、管理、人員培訓(xùn)等網(wǎng)絡(luò)空間安全信息安全保障CSIA，防御、攻擊、利用，強(qiáng)調(diào)威懾7、傳統(tǒng)信息安全的重點(diǎn)是保護(hù)和防御；信息安全保障是保護(hù)、檢測和響應(yīng)，攻擊

4、后的修復(fù)8、信息安全保障模型PDR防護(hù)防護(hù)檢測檢測響應(yīng)響應(yīng)，安防措施是基于時(shí)間的，給出攻防時(shí)間表，假設(shè)了隱患和措施，不適應(yīng)變化，時(shí)間PPDR策略策略防護(hù)防護(hù)檢測檢測響應(yīng)響應(yīng)，突出控制和對抗，強(qiáng)調(diào)系統(tǒng)安全的動(dòng)態(tài)性3信息安全管理體系信息安全管理體系ISMS1、ISMS信息安全管理體系，按照ISO27001定義，基于業(yè)務(wù)風(fēng)險(xiǎn)基于業(yè)務(wù)風(fēng)險(xiǎn)的方法2、信息安全管理體系建設(shè)規(guī)劃與建立、實(shí)施和運(yùn)行、監(jiān)視和評審、保持和改進(jìn)3、ISMS的層次化文檔結(jié)構(gòu)一級

5、文件一級文件，頂層文件，方針、手冊二級文件，二級文件，信息安全管控程序、管理規(guī)定性文件，管理制度、程序、策略文件三級文件三級文件，操作指南、作業(yè)指導(dǎo)書、操作規(guī)范、實(shí)施標(biāo)準(zhǔn)等四級文件，四級文件，各種記錄表單，計(jì)劃、表格、報(bào)告、日志文件等4、ISMS方法：風(fēng)險(xiǎn)管理方法、過程方法5、風(fēng)險(xiǎn)管理方法風(fēng)險(xiǎn)評估風(fēng)險(xiǎn)評估是信息安全管理的基礎(chǔ)，風(fēng)險(xiǎn)處理基礎(chǔ)，風(fēng)險(xiǎn)處理時(shí)信息安全管理的核心核心，風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)管理是信息安全管理的根本方法根本方法，控制措施是風(fēng)險(xiǎn)

6、管控的具體手段6、控制措施的類別從手段手段來看，分為技術(shù)性、管理性、物理性、法律性等控制措施從功能功能來看，分為預(yù)防性、檢測性、糾正性、威懾性等控制措施從影響范圍影響范圍來看，常被分為安全方針、信息安全組織、資產(chǎn)管理、人力資源安全、物理和環(huán)境安全、通信和操作管理、訪問控制、信息系統(tǒng)獲取開發(fā)和維護(hù)、信息安全事件管理、業(yè)務(wù)連續(xù)性管理和符合性11個(gè)類別域7、PDCA循環(huán)，戴明環(huán)特點(diǎn)：按順序進(jìn)行，組織每部分及個(gè)體也可使用，適用任何活動(dòng)8、ISO

7、IEC27000標(biāo)準(zhǔn)族共7個(gè)27001信息安全管理體系要求，14個(gè)領(lǐng)域，新版的變動(dòng)27002信息安全控制措施實(shí)用規(guī)則，11個(gè)控制類，內(nèi)容安全和風(fēng)險(xiǎn)評估不屬于27004信息安全管理測量，度量指標(biāo)9、常見的管理體系標(biāo)準(zhǔn)常見的管理體系標(biāo)準(zhǔn)ISO27001定義的信息安全管理系統(tǒng)ISMS國際標(biāo)準(zhǔn)信息安全等級保護(hù)，公安部提出公安部提出NISTSP800，適用美國聯(lián)邦政府和組織10、管理者是實(shí)施ISMS的最關(guān)鍵因素11、ISMS建設(shè)P階段階段8步：確