CISA笔记 第五章资料.pdfVIP

CISA 笔记 第五章 一、 第五章信息资产保护（31% ） 资产的三个属性 CIA （confidentiality、Integrity and availability ）机密性、完整性、可用性。 1 目 评价信息资产安全控制措施的设计、实施和监测以及物理访问控制从而保证信息资产的 CIA 。 1、逻辑访问的设计、实施和监测。 2、评价网络基础设施的安全性，以保证网络所传输信息的机密性、完整性和可用性及授权 使用。 3、评价环境控制的设计、实施和监督，以保证信息资产得到了充分的保护。 4 、评价物理访问控制。 5、评价存储、检索、传送和处置机密信息资产的过程与程序。 2 知识要点 1. 设计、实施和监督信息安全的技术 1) 评估威胁与风险 2) 敏感性分析 3) 隐私影响分析 2. 对用户访问授权的系统功能和数据的行为进行识别、鉴定及限制的逻辑访问控制技术。 1) 动态口令 2) 挑战相应机制 3) 菜单限制 4) 定义安全轮廓 3. 逻辑访问安全结构 1) 单点登录 2) 用户识别策略 3) 身份管理 4. 攻击方法和技术 1) 黑客 2) 身份伪装 3) 特洛伊木马 4) 拒绝服务 5) 垃圾邮件 5. 对安全事件的监督与响应 1) 事件升级程序 2) 紧急事件响应团队 6. 网络和 internet 安全设备、协议和技术 1) SSL 2) SET 3) VPN 4) NAT 7. 入侵检测系统和防火墙的配置、实施、运行和维护 8. 加密技术 1) AES 2) RSA 第 1 页 CISA 笔记 第五章 9. 公钥基础设施 PKI 的各组成部分 1) CA 2) RA 3) 数字签名 10. 病毒检测工具和控制技术 11. 安全测试和评估工具 1) 渗透测试 2) 脆弱性扫描 12. 环境保护实务和设备 1) 灭火设备 2) 冷却系统 3) 漏水传感器 13. 物理安全系统和实务 1) 生物测定技术 2) 访问识别智能卡 3) 加密锁 4) 身份标识 14. 数据敏感性分类方案 1) 公开 2) 机密 3) 隐私 4) 敏感数据 15. 语音通讯安全 1) Voice over ip 16. 存储、检索、传送和处置机密信息资产的过程与程序 17. 与使用移动和无线设备相关的控制与风险 1) PDA 2) USB 设备 3) 蓝牙设备 3 知识点描述 3.1 符合组织业务要求的目标： 1、保证存储在计算机系统上的信息完整 2、保护敏感信息的机密性 3、遵守保护个人数据隐私的责任与义务 4 、保证信息系统的持续可用性 5、保证符合法律、法规的要求 3.2 信息安全管理的角色与职责： 1、信息安全委员会（IS）security committee ：由不同级别的代表定期开会，讨论制定公司 的信息安全方针、策略及程序。正式会议应当确定授权调查范围、会议记录、会后的行 动方案。 2、执行经理层：负责对所有信息资产保护，政策框架的发布与维护。 3、安全专家咨询顾问：负责检查组织的安全计划。其组织中的成员不仅来自于信息部门也 来自于业务部门。安全顾问应向首席安全官提供一些安全问题的见解以及业务部门进行 沟通从而确定安全计划是否符合业务部门的目标。 第 2 页 CISA 笔记 第五章 4 、首席隐私官：有公司一位高级官员承担，负责对信息安全策略的说明与强制实施，从而 保护员工及客户的隐私信息。 5、首席信息安全官：有一位高级公司官员担任，负责对信息安全策略饿说明与强制实施，