CISSP改版大綱

1、(isc)2 cissp official guide 第四版第一章 安全與風(fēng)險(xiǎn)管理安全與風(fēng)險(xiǎn)管理的概念機(jī)密性、完整性與可用性機(jī)密性完整性可用性安全治理組織的目標(biāo)goals使命mission與任務(wù)objectives組織流程安全角色與職責(zé)信息安全策略完整與有效的安全體系監(jiān)管委員會(huì)控制框架應(yīng)有的關(guān)注due care應(yīng)盡的職責(zé)due diligence合規(guī)性（原法律法規(guī)章節(jié)）治理、風(fēng)險(xiǎn)與合規(guī)（grc）法律與法規(guī)合規(guī)隱私需求合規(guī)全球性法律與法規(guī)問(wèn)題（原法律法規(guī)章節(jié)）計(jì)算機(jī)犯罪版權(quán)與知識(shí)產(chǎn)權(quán)進(jìn)出口跨國(guó)界數(shù)據(jù)傳輸隱私數(shù)據(jù)泄露相關(guān)法律法規(guī)理解專業(yè)道德（原法律法規(guī)章節(jié)）道德體系的法規(guī)需求計(jì)算機(jī)道德的主題一般

2、計(jì)算機(jī)道德的謬論黑客行為與黑客主義道德規(guī)范的指引與資源isc2的專業(yè)道德規(guī)范支持組織的道德規(guī)范開(kāi)發(fā)與實(shí)施安全策略業(yè)務(wù)連續(xù)性與災(zāi)難恢好需求（原bcp與drp章節(jié)）項(xiàng)目啟動(dòng)與管理設(shè)計(jì)并定義項(xiàng)目范圍與計(jì)劃實(shí)施業(yè)務(wù)影響分析（bia）識(shí)別與分級(jí)評(píng)估災(zāi)害的影響恢更點(diǎn)目標(biāo)（rpo）管理人員安全背景調(diào)查雇傭協(xié)議與策略雇員離職程序供應(yīng)商、顧問(wèn)與合同工控制隱私風(fēng)險(xiǎn)管理的概念組織風(fēng)險(xiǎn)管理概念風(fēng)險(xiǎn)評(píng)估方法論識(shí)別威脅與脆弱性風(fēng)險(xiǎn)評(píng)估與分析控制措施選擇實(shí)施風(fēng)險(xiǎn)控制措施控制的類型訪問(wèn)控制的類型控制評(píng)估、監(jiān)控與測(cè)量實(shí)物與非實(shí)物資產(chǎn)評(píng)價(jià)持續(xù)改進(jìn)風(fēng)險(xiǎn)管理框架威脅建模決定可能的攻擊與降低分析減小威脅的技術(shù)與流程采購(gòu)策略與實(shí)踐硬件、

3、軟件與服務(wù)管理第三方供應(yīng)商最小的安全與服務(wù)級(jí)別需求安全教育、培訓(xùn)與意識(shí)正式的安全意識(shí)培訓(xùn)意識(shí)活動(dòng)與防范-創(chuàng)建組織的安全文化第二章資產(chǎn)安全（新增章節(jié)）資產(chǎn)安全概念數(shù)據(jù)管理：決定與維護(hù)所有者數(shù)據(jù)策略角色與責(zé)任數(shù)據(jù)所有者數(shù)據(jù)保管者數(shù)據(jù)質(zhì)量數(shù)據(jù)文件化與組織化數(shù)據(jù)標(biāo)準(zhǔn)數(shù)據(jù)生命周期控制數(shù)據(jù)定義與建模數(shù)據(jù)庫(kù)維護(hù)數(shù)據(jù)審計(jì)數(shù)據(jù)存儲(chǔ)與歸檔數(shù)據(jù)壽命與使用數(shù)據(jù)安全數(shù)據(jù)訪問(wèn)、共享與傳播數(shù)據(jù)發(fā)布信息分級(jí)與支持資產(chǎn)資產(chǎn)管理軟件版權(quán)設(shè)備生命周期保護(hù)隱私確保合適的保存介質(zhì)、硬件和人員公司“x”數(shù)據(jù)保留策略數(shù)據(jù)安全控制靜態(tài)的數(shù)據(jù)傳輸?shù)臄?shù)據(jù)基線范圍與裁剪標(biāo)準(zhǔn)選擇美國(guó)的資源全球的資源國(guó)家網(wǎng)絡(luò)安全框架手冊(cè)提升關(guān)鍵基礎(chǔ)實(shí)施網(wǎng)絡(luò)安全的框架

4、第三章安全工程（新增章節(jié)、融合了安全架構(gòu)、物理安全、密碼學(xué)等）在工程生命周期中應(yīng)用安全設(shè)計(jì)原則安全模型的基本概念通用系統(tǒng)組件他們?nèi)绾我黄鸸ぷ髌髽I(yè)安全架構(gòu)通用架構(gòu)框架zachman 框架獲取和分析需求創(chuàng)建和設(shè)計(jì)安全架構(gòu)信息系統(tǒng)安全評(píng)價(jià)模型通用正式安全模型產(chǎn)品評(píng)價(jià)模型業(yè)界和國(guó)際安全實(shí)施指南安全架構(gòu)的漏洞系統(tǒng)技術(shù)與流程集成單點(diǎn)故障客戶端的漏洞服務(wù)端的漏洞數(shù)據(jù)庫(kù)安全大型可擴(kuò)展并行數(shù)據(jù)系統(tǒng)分布式系統(tǒng)加密系統(tǒng)軟件和系統(tǒng)的漏洞與威脅web安全移動(dòng)系統(tǒng)的漏洞遠(yuǎn)程計(jì)算的風(fēng)險(xiǎn)移動(dòng)辦公的風(fēng)險(xiǎn)嵌入式設(shè)備和網(wǎng)絡(luò)物理系統(tǒng)的漏洞密碼學(xué)應(yīng)用密碼學(xué)歷史新出現(xiàn)的而技術(shù)核心信息安全原則密碼系統(tǒng)的附加特性密碼生命周期公鑰基礎(chǔ)設(shè)施（p

5、ki）密鑰管理流程密鑰的創(chuàng)建與分發(fā)數(shù)字簽名數(shù)字版權(quán)管理抗抵賴哈希單向哈希函數(shù)加密攻擊的方法站點(diǎn)和設(shè)施的設(shè)計(jì)考慮安全調(diào)查站點(diǎn)規(guī)劃路徑設(shè)計(jì)通過(guò)環(huán)境設(shè)計(jì)來(lái)防止犯罪（cpted）窗戶設(shè)施安全的設(shè)計(jì)與實(shí)施設(shè)施安全的實(shí)施與運(yùn)營(yíng)通信與服務(wù)器機(jī)房區(qū)域劃分與區(qū)域安全限制 數(shù)據(jù)中心安全第四章通信與網(wǎng)絡(luò)安全通信與網(wǎng)絡(luò)安全概念安全網(wǎng)絡(luò)架構(gòu)與設(shè)計(jì)osi 與 tcp/ipip組網(wǎng)目錄服務(wù)多層協(xié)議的含義各類協(xié)議實(shí)施voip網(wǎng)絡(luò)無(wú)線網(wǎng)絡(luò)無(wú)線安全問(wèn)題加密來(lái)保證通信安全網(wǎng)絡(luò)組件安全硬件傳輸介質(zhì)網(wǎng)絡(luò)訪問(wèn)控制設(shè)備終端安全內(nèi)容分發(fā)網(wǎng)絡(luò)（cdn）通信通道安全語(yǔ)音多媒體開(kāi)放協(xié)議、應(yīng)用與服務(wù)遠(yuǎn)程訪問(wèn)數(shù)據(jù)通信虛擬化網(wǎng)絡(luò)網(wǎng)絡(luò)攻擊網(wǎng)絡(luò)作為攻擊通道

6、網(wǎng)絡(luò)作為防護(hù)堡壘網(wǎng)絡(luò)安全目標(biāo)與攻擊模式掃描技術(shù)安全事件管理（sem）ip碎片攻擊與偽造包拒絕服務(wù)與分布式拒絕服務(wù)攻擊欺騙會(huì)話劫持第五章身份與訪問(wèn)管理（原訪問(wèn)控制章節(jié)）身份與訪問(wèn)管理概念資產(chǎn)的物理與邏輯訪問(wèn)人員和設(shè)備的身份識(shí)別與認(rèn)證身份識(shí)別、認(rèn)證與授權(quán) 身份管理實(shí)施密碼管理賬戶管理用戶配置管理目錄管理目錄技術(shù)單/多因素認(rèn)證可審計(jì)性會(huì)話管理身份的注冊(cè)與驗(yàn)證證書(shū)管理系統(tǒng)身份即服務(wù)(idaas) 集成第三方身份服務(wù) 授權(quán)機(jī)制的實(shí)施與管理基于角色的訪問(wèn)控制基于規(guī)則的訪問(wèn)控制強(qiáng)制訪問(wèn)控制自主訪問(wèn)控制防護(hù)或緩解對(duì)訪問(wèn)控制攻擊windows powershell 相關(guān)命令 識(shí)別與訪問(wèn)規(guī)定的生命周期規(guī)定回顧撤銷

7、第六章安全評(píng)估與測(cè)試(新增章節(jié))安全評(píng)估與測(cè)試概念評(píng)估與測(cè)試策略軟件開(kāi)發(fā)作為系統(tǒng)設(shè)計(jì)的一部分口志審核虛假交易代碼審核與測(cè)試負(fù)向測(cè)試/濫用用力測(cè)試接口測(cè)試收集安全流程數(shù)據(jù)內(nèi)部與第三方審計(jì)soc匯報(bào)選項(xiàng)第七章安全運(yùn)營(yíng)（融合了原drp、物理安全、調(diào)查取證等相關(guān)內(nèi)容）安全運(yùn)營(yíng)概念調(diào)查（原法律法規(guī)符合性“調(diào)杳取證章節(jié)）犯罪場(chǎng)景策略、角色與責(zé)任事件處理與響應(yīng)恢好階段證據(jù)收集與處理匯報(bào)與記錄證據(jù)收集與處理持續(xù)監(jiān)控?cái)?shù)據(jù)防泄漏（dlp）為資源提供配置管理安全運(yùn)營(yíng)的基本概念關(guān)鍵主題控制特權(quán)賬戶使用組和角色管理賬戶職責(zé)分離監(jiān)控特殊權(quán)限工作輪換管理信息生命周期服務(wù)級(jí)別管理資源保護(hù)（原物理安全章節(jié)）實(shí)物資產(chǎn)與非實(shí)物資產(chǎn)硬件介質(zhì)管理事件響應(yīng)事件管理安全度量與匯報(bào)管理安全技術(shù)檢測(cè)響應(yīng)匯報(bào)恢復(fù)修補(bǔ)與回顧（經(jīng)驗(yàn)學(xué)習(xí)）針對(duì)攻擊的防御性措施非授權(quán)泄密網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)架構(gòu)白名單、黑名單、灰名單第三方安全服務(wù)、沙箱、惡意代碼防范、蜜罐和蜜網(wǎng)補(bǔ)丁和漏洞管理安全與補(bǔ)丁信息資源變更與配置管理配置管理恢復(fù)站點(diǎn)策略多處理中心系統(tǒng)彈性與容錯(cuò)需求災(zāi)難恢更流程（原drp章節(jié)）創(chuàng)建計(jì)劃響應(yīng)人員通信評(píng)估還原提供培訓(xùn)計(jì)劃的演練、評(píng)估與維護(hù)演練計(jì)劃回顧桌面演練仿真演練并行演練中斷演練計(jì)劃的更新與演練業(yè)務(wù)連續(xù)性與其他風(fēng)險(xiǎn)領(lǐng)域邊界安全的實(shí)施與運(yùn)維訪問(wèn)