| 1、安全與風險管理Security and Risk Management |
安全與風險管理的概念
機密性、完整性與可用性
安全治理
→策略、目的、任務(wù)和目的等方面的安全準則
→組織流程
→安全角色及其任務(wù)
→控制框架
→行為準則
→應(yīng)注意事項
完整與有效的安全體系
合規(guī)性（原法律法規(guī)章節(jié)）
全球性法律與法規(guī)問題（原法律法規(guī)章節(jié)）
→計算機犯罪
→版權(quán)和知識產(chǎn)權(quán)
→進出口控制 | →跨境數(shù)據(jù)流
→隱私
→數(shù)據(jù)破壞
理解專業(yè)道德（原法律法規(guī)章節(jié)）
開發(fā)與實施安全策略
→開發(fā)和制定項目的范圍和計劃
→實施業(yè)務(wù)影響分析（BIA）
業(yè)務(wù)連續(xù)性與災(zāi)難恢復需求（原
BCP與
DRP章節(jié)）
管理人員安全
風險管理的概念
威脅建模
采購策略與實踐
安全教育、培訓與意識 |
| 2、資產(chǎn)安全Asset Security |
資產(chǎn)安全概念
數(shù)據(jù)管理：決定與維護所有權(quán)
數(shù)據(jù)標準
數(shù)據(jù)壽命與使用
信息分級與支持資產(chǎn)
資產(chǎn)管理 | 保護隱私
確保合適的保存
數(shù)據(jù)安全控制
→基準
→范圍和屬性
→密碼學
標準選擇 |
| 3、安全工程（融合了安全架構(gòu)、物理安全、密碼學等） |
在工程生命周期中應(yīng)用安全設(shè)計原則
安全模型的基本概念
信息系統(tǒng)安全評價模型
安全架構(gòu)的漏洞
數(shù)據(jù)庫安全
軟件和系統(tǒng)的漏洞與威脅
嵌入式設(shè)備和網(wǎng)絡(luò)物理系統(tǒng)的漏洞 | 密碼學應(yīng)用
→密碼學的生命周期
→密碼學的類型
→公鑰基礎(chǔ)設(shè)施等
站點和設(shè)施的設(shè)計考慮
站點規(guī)劃
設(shè)施安全的設(shè)計與實施
設(shè)施安全的實施與運營 |
| 4、通信與網(wǎng)絡(luò)安全 Communication and Network Security |
通信與網(wǎng)絡(luò)安全概念
安全網(wǎng)絡(luò)架構(gòu)與設(shè)計
多層協(xié)議的含義
各類協(xié)議
網(wǎng)絡(luò)組件安全
→硬件操作
→傳輸媒體 | →終端安全等
通信通道安全
→聲音和多媒體合作
→遠程遙控
→數(shù)據(jù)流通
→虛擬網(wǎng)絡(luò)
網(wǎng)絡(luò)攻擊 |
| 5、身份與訪問管理 Identity and Access Management |
身份與訪問管理概念
資產(chǎn)的物理與邏輯訪問
→信息、系統(tǒng)、設(shè)備、設(shè)施
人員和設(shè)備的身份識別與認證
→識別使用的管理系統(tǒng)
→單/多因素認證 | →賬戶和集中管理、聯(lián)合賬戶管理等
身份管理實施
身份即服務(wù)（IDaaS）
集成第三方身份服務(wù)
授權(quán)機制的實施與管理
防護或緩解對訪問控制攻擊
識別與訪問規(guī)定的生命周期 |
| 6、安全評估與測試 Security Assessment and Testing |
安全評估與測試概念
評估與測試策略
收集安全流程數(shù)據(jù)
賬戶管理（如：升級，撤銷）
管理審查
重要性能和風險預(yù)測
備份驗證數(shù)據(jù)
培訓和意識
災(zāi)難恢復和業(yè)務(wù)連續(xù)性 | 內(nèi)部與第三方審計
安全控制測試
→漏洞評估
→滲透測試
→綜合交易
→代碼審查和測試
→濫用情況測試
接口測試（如：API,UI,物理）等 |
| 7、安全運營 Security Operations |
安全運營概念
調(diào)查
→證據(jù)收集和處理（如：保管鏈，面
試）
→報告和記錄
→調(diào)查技術(shù)（如：根源分析，事故處理）
→數(shù)字取證（如：媒體，網(wǎng)絡(luò)，軟件和嵌入
裝置）
為資源提供配置管理
安全運營的基本概念
資源保護 | 事件響應(yīng)
針對攻擊的防御性措施
補丁和漏洞管理
變更與配置管理
災(zāi)難恢復流程
演練計劃回顧
業(yè)務(wù)連續(xù)性與其他風險領(lǐng)域
訪問控制
人員安全 |
| 8、軟件開發(fā)生命周期安全 Software Development Security |
軟件開發(fā)生命周期安全概念
→開發(fā)新的方法（如，敏捷）
→操作和維護
→改變管理方法
軟件開發(fā)安全概要
環(huán)境與安全控制 | 軟件環(huán)境安全
軟件保護機制
評估軟件安全的有效性
→審計并記錄變更
→分析、降低風險
評估軟件采購安全 |
從IT開發(fā)到IT經(jīng)理:五個“職場真相“和十三條“過來人”的建議，早知道早受益!
CISSP考試通知
CISSP常見問答 
