CISP0302信息安讲义全风险管理
信息安全工程及管理CISP认证培训教程
加密技术应用场景
包括网络通信、数据存储、身 份认证等领域。
2024/1/30
20
数据备份恢复策略制定
数据备份策略
根据数据类型、重要性等因素 制定备份周期、备份方式等。
2024/1/30
数据恢复策略
确保在数据丢失或损坏时能够 及时恢复，包括定期演练恢复 流程。
备份恢复技术选择
根据实际需求选择适合的备份 恢复技术，如磁带、磁盘、云 备份等。
2024/1/30
28
操作系统安全配置优化建议
最小化安装
在安装操作系统时，仅安 装必需的服务和组件，降 低系统被攻击的风险。
2024/1/30
安全补丁管理
定期更新操作系统安全补 丁，修复已知漏洞，提高 系统安全性。
账户和权限管理
严格控制操作系统账户权 限，避免使用root或管理 员权限运行应用程序，采 用最小权限原则。
信息安全管理
包括信息安全管理体系建设、信息安全风险管理、信息安全策略制 定和实施、信息安全审计和监控等方面的内容。
32
复习方法分享和备考技巧指导
系统学习
建议考生参加专业的CISP认证培训 课程，系统学习信息安全工程及管理 相关知识和技能。
阅读教材
认真阅读CISP认证考试指定教材， 深入理解各个知识点和概念。
，如SQL注入、跨站脚本等。
输入验证和输出编码
对用户输入进行严格的验证和过滤，防止 注入攻击；对所有输出进行编码，防止跨
站脚本攻击。
2024/1/30
会话管理安全
实施安全的会话管理机制，包括使用强随 机数生成器生成会话ID、定期更换会话密 钥、限制会话生存时间等。
最小权限原则
遵循最小权限原则，为每个应用或服务分 配所需的最小权限，减少潜在的安全风险 。
CISP知识点范文
CISP知识点范文CISP（Certified Information Security Professional）是国际上最具权威性和广泛性的信息安全管理认证机构之一、通过CISP认证，标志着持有者具备了信息安全领域的专业知识和技能，能够有效地管理和防范信息安全风险。
下面将从CISP认证的背景、知识点以及认证的价值等方面进行详细介绍。
一、CISP认证的背景随着信息技术的高速发展，信息安全越来越受到人们的关注。
各类安全威胁和攻击也变得日益复杂和隐蔽。
为了提高企业和组织的信息安全能力，减少信息泄露和数据丢失的风险，促进信息安全管理的标准化和规范化，CISP认证应运而生。
二、CISP认证的知识点CISP认证主要包括以下知识点：1.信息系统安全管理概念和原则：介绍信息安全管理的基本概念，包括安全架构、策略和风险管理等。
理解信息风险的评估和管理，掌握保密性、完整性和可用性等信息安全的核心原则。
3.信息安全风险管理：掌握风险管理的概念和方法，包括定性和定量的风险评估，制定风险处理策略和计划，了解风险管理工具和技术。
4.信息安全控制措施：学习各类信息安全控制措施的原理和应用，包括物理安全、逻辑安全、访问控制和身份认证等。
熟悉常见的安全技术和安全产品，了解加密和解密的原理以及应用。
5.业务连续性和灾难恢复：理解业务连续性和灾难恢复的概念，学习制定业务连续性和灾难恢复计划的方法和步骤，了解常见的灾难恢复技术和措施。
6.法律、合规和财务方面的安全要求：了解信息安全与法律、合规和财务方面的关联，掌握相关法律法规和合规要求，了解信息安全对财务管理的影响。
7.信息安全教育和培训：学习信息安全教育和培训的原则和方法，了解如何设计和实施企业内部的安全培训和意识提升活动。
三、CISP认证的价值1.证明专业知识和技能：持有CISP认证可以证明个人在信息安全领域具备专业的知识和技能，对企业和组织的信息安全管理具有实际价值。
2.提升职业竞争力：CISP认证是信息安全领域的国际认可标准，可以为个人的职业发展提供有力的支持和保障，提升在职场上的竞争力。
信息安全风险管理理论
信息安全风险管理理论一、引言信息安全风险管理是现代社会不可或缺的一环。
随着信息技术的飞速发展，人们对信息安全问题的关注度也越来越高。
本文将以信息安全风险管理理论为主题，探讨其背后的原理、方法和实施步骤，以期提供一种有效应对信息安全风险的指导。
二、信息安全风险的定义与分类1. 信息安全风险的定义信息安全风险是指在信息系统中，由于各种因素的存在，可能导致信息泄露、数据丢失、系统瘫痪等不良后果的潜在危险。
2. 信息安全风险的分类根据引起风险的原因和性质，信息安全风险可以分为内部风险和外部风险。
内部风险主要来自组织内部的员工、流程、系统等因素，外部风险则是指来自外部环境、恶意攻击等因素引起的风险。
三、信息安全风险管理的原则与目标1. 信息安全风险管理的原则信息安全风险管理应遵循以下原则：(1) 全面性：对组织内部和外部的所有信息安全风险进行全面管理；(2) 预防性：采取主动预防的措施，减少信息安全风险的发生；(3) 实时性：及时监测信息安全风险的动态变化，及时进行风险识别和评估；(4) 经济性：在保证安全的前提下，合理控制资源投入，提高信息安全风险的管理效益。
2. 信息安全风险管理的目标信息安全风险管理的主要目标是保护组织的信息系统和数据不受到威胁和损害，确保信息的机密性、完整性和可用性。
四、信息安全风险管理的方法与步骤1. 信息风险评估与分析信息风险评估是确定信息系统中各种可能引发风险的成因、影响和概率的过程。
在评估过程中，可以采用定性评估和定量评估相结合的方法，对各项风险进行权重排序和分级管理。
2. 信息风险处理策略选择根据风险评估的结果，对各项风险进行优先级排序，确定处理策略。
处理策略包括风险规避、风险转移、风险减轻和风险接受等措施。
3. 信息风险控制与监测采取有效措施对信息风险进行控制和监测，确保信息系统和数据的安全。
控制措施可以包括加密技术、访问控制、备份与恢复等多种手段。
4. 信息风险应急处理针对突发事件和紧急情况，制定应急处理方案，保障组织的信息安全。
CISP信息安全管理体系讲课文档
29
第29页，共111页。
2、信息安全管理的发展-2
❖BS 7799
▪ 英国标准化协会（BSI）1995年颁布了《信息安全 管理指南》（BS 7799），BS 7799分为两个部分：
25
第25页，共111页。
1、信息安全管理的作用
保险柜就一定安全吗？
❖ 如果你把钥匙落在锁眼上会怎样？ ❖ 技术措施需要配合正确的使用才能发挥作
用
26
第26页，共111页。
1、信息安全管理的作用
服务器
防火墙能解决这样的问题吗？
Web服务器
内网主机
防火墙
防火墙
精心设计的网络防
Internet
御体系，因违规外
44
第44页，共111页。
1、信息安全管理体系的定义
❖ 信息安全管理体系（ISMS：Information Security Management System）是组织在整体或 特定范围内建立的信息安全方针和目标，以及完 成这些目标所用的方法和体系。它是直接 管理活 动的结果，表示为方针、原则、目标、方法、计 划、活动、程序、过程和资源的集合。
17
第17页，共111页。
（1）安全风险的基本概念
❖威胁
❖ 资威胁是可能导致信息安全事故和组织信息资产损失 的环境或事件
❖ 威胁是利用脆弱性来造成后果
❖ 威胁举例
❖ 黑客入侵和攻击 ❖ 软硬件故障
病毒和其他恶意程序 人为误操作
❖ 盗窃
网络监听
❖ 供电故障
后门
❖ 未授权访问…… 自然灾害如：地震、火灾
CISE讲义CISP02信息安全培训和CISP知识体系介绍YYZ
2000
1800
Hale Waihona Puke 16001400 1200 1000
800 600 400 200
0
CISO CISE CISA
2002 2003 2004 2005 2006 2007 2008
数据(shùjù)截止至2007年4月
第十二页，共87页。
正式(zhèngshì)出版发布资料
第十三页，共87页。
2、美国政府部委(bù wěi)信息平安培训体系 引见
MGT-501 信息安全 管理体系 MGT-502 风险管理 MGT-503 漏洞管理 MGT-504 业务连续 性和灾难恢复管理
…
安全从业
安全实践
SEC-201 保护信息安全实
安全意识 践（普及）
…
操作系统最佳实践 网络设备最佳实践 应用系统最佳实践 …
TEC-201 网络和安全知 识问答 …
第二十七页，共87页。
信息安全 从业系列
信息安全 专业系列
五． IT和平安相关(xiāngguān)人员：基于岗位的信息平安 技艺，资质和培训
六． 特定实践：Windows操作系统平安、Oracle数据库平 安等
七． 特定专题：风险管理、破绽管理等
八． 继续学习和更新
信息安全 实践系列
信息安全 专题系列
第二十八页，共87页。
第九页，共87页。
信息平安培训(péixùn)业务的目的和目的
▪ 目的 ▪ 为国度信息平安保证人才体系树立做出应有的
贡献
▪ 增强政府部委、党政机关、重要信息系统和基 础网络的管理和运转人员扫除隐患和破绽的看 法、知识和才干
▪ 经过(jīngguò)市场化，提高国度信息平安人才素 质和才干
cisp教材
CISP教材简介CISP（计算机信息安全规范）作为信息安全管理方面的国际标准，对于信息安全领域的专业人员来说至关重要。
CISP教材旨在向学习CISP的人员提供一个全面、系统的学习指南，帮助他们掌握CISP的核心概念、原理和实践操作。
本文档是一份完整的CISP教材，包含以下主要内容： 1. CISP概述 2. CISP认证体系 3. CISP培训路径 4. CISP考试准备 5. CISP教材介绍 6. CISP教学资源 7. CISP 实践案例1. CISP概述CISP是一个国际上被广泛接受的信息安全管理标准，它包含一系列标准和规范，旨在帮助组织建立和维护有效的信息安全管理体系。
CISP的核心目标是保护组织的信息资产，预防信息泄露、恶意攻击和服务中断。
CISP强调风险管理和持续改进，以确保信息安全能够与组织的业务需求保持一致。
CISP的标准覆盖了许多关键领域，包括信息安全政策、组织安全、资产管理、访问控制、密码管理、物理和环境安全、通信和操作管理、系统开发和维护、供应商管理等。
通过遵循CISP标准，组织能够有效地识别、评估和处理信息安全风险，降低信息泄露和攻击的风险，并提高组织的整体安全水平。
2. CISP认证体系CISP认证体系由国际信息系统安全认证联盟（ISC2）负责管理。
ISC2是一个全球性的信息安全组织，致力于推动信息安全专业人员的职业发展和认证。
CISP认证体系包括以下几个重要的认证： - CISP认证（CISP）：适用于各级信息安全专业人员，要求候选人具备一定的工作经验和知识，通过考试来验证其对CISP标准的理解和应用能力。
- CISP关联认证（CCSP）：适用于云安全专业人员，要求候选人具备云安全方面的专业知识和经验，通过考试来验证其对云安全和CISP在云环境中的应用能力。
- CISP架构师认证（CISSP-ISSAP）：适用于信息安全架构师，要求候选人具备丰富的信息安全架构设计经验和CISP知识，通过考试来验证其在信息安全架构设计方面的能力。
信息安全风险评估管理程序
文件制修订记录1、目的本程序规定了本公司信息安全风险管理的内容和过程。
通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。
2、范围本指南适用于信息系统风险的初始评估与风险处置、变更评估与变更后的风险处置、定期的风险再评估与风险处置。
3、参考文件3.1ISO/IEC27001:2022《信息安全管理体系要求》3.2ISO/IEC27002:2022《信息技术网络安全与隐私保护信息安全控制》4、定义4.1资产通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。
4.2资产价值资产是有价值的，资产价值可通过资产的敏感程度、重要程度和关键程度来表示。
4.3威胁一个单位的信息资产的安全可能受到的侵害。
威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。
4.4脆弱性信息资产及其安全措施在安全方面的不足和弱点。
脆弱性也常常被称为漏洞。
4.5事件如果威胁主体能够产生威胁，利用资产及其安全措施的脆弱性，那么实际产生危害的情况称之为事件。
4.6风险由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。
风险由安全事件发生的可能性及其造成的影响这两种指标来衡量。
4.7残余风险采取安全措施对风险进行处理，提高了信息安全保障能力后，仍然可能存在的风险。
4.8安全需求为保证单位的使命能够正常行使，在信息安全保障措施方面提出的要求。
4.9措施对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。
4.10风险评估通过一定的步骤和技术手段来评估信息系统安全风险的过程，并判断风险的优先级，建议处理风险的措施。
风险评估也称为风险分析，是风险管理的一部分。
CISAW培训教材《信息安全风险管理》内容概述
《信息安全风险管理》力求从实践出发，介绍当前信息安全保障工作中的风险管理技术，适合申请认证考试人员或从事信息安全风险管理工作的人员使用。
全书共分为5章：
第1章概述。
本章从信息安全风险管理模型出发，阐述风险的起源、特性、要素及其关系和风险管理的基本概念；
第2章信息安全风险管理相关标准。
本章从信息安全风险管理标准出发，介绍ISO/IEC31000、ISO/IEC13335、ISO/IEC27005、卡内基梅隆、GB/T20984等相关标准的内容；
第3章信息安全风险评估实现。
本章关注风险管理中的风险评估这一核心要素，详细介绍了信息安全风险评估内容，按照风险识别、风险分析、风险评价这条主线展开论述，同时辅以部分实例进行说明；
第4章信息安全风险处置。
本章从风险处置的角度出发，详细阐述了风险处置的过程框架，并讨论了几种典型的风险处置措施及其应用；
第5章信息安全风险管理案例。
本章从整体出发，依照本书中第1章提出的风险管理模型，以一个实际项目作为案例，对整个风险管理的实施过程进行了论述。
《信息安全技术》是《信息安全风险管理》的配套教程，详细介绍了信息安全的基本概念和技术原理。
全书分上下册，共23章，包括信息安全基本概念、密码技术、身份认证、访问控制、信息隐藏、容错容灾、反垃圾邮件技术、存储
介质安全技术、恶意代码及防护、传输安全、机房环境、漏洞管理、主机安全、安全审计、取证技术、安全测试、安全编码、物理边界控制、防火墙技术、入侵检测、云计算安全和物联网安全。
信息安全风险培训讲学
4.蓄意信息敲诈行为 5.蓄意破坏行为
以泄露信息为要挟进行勒 索
破坏系统或信息
6.蓄意窃取行为
非法使用硬件设备或信息
7.蓄意软件攻击 8.自然灾害
病毒、蠕虫、宏、拒绝服 务
火灾、水灾、地震、闪电
9.服务提供商的服务质 量差
10.技术硬件故障或错误
电源及WAN服务问题 设备故障
11.技术软件故障或错误 漏洞、代码问题、未知问
3.5.3 缓解 （试图通过(tōngguò)规划和预先的准备
工作，减少漏洞造成的影响） 缓解策略（如下表）
第二十五页，共33页。
计划
描述
实例
何时使用 时间范围
事件响应计划 （IRP）
在事件（攻击） 进行过程中机构 采取的行动
•灾难发生期间 采取的措施
•情报收集 •信息分析
当事件或者 立即并实时 灾难发生时 作出响应
第八页，共33页。
规划并组织(zǔzhī)过程
对系统组件(zǔ jiàn)进行分类
风
险
列出资产(zīchǎn)清单并分类
识
别
识别出威胁
指出易受攻击的资产
第九页，共33页。
为资产(zīchǎn)受到的攻击赋值
评估(pínɡ ɡū)漏洞攻击的可能性
风
险
计算(jìsuàn)资产的相对风险因素
评
估
检查可能的控制措施
信息安全保护(bǎohù)的对象是什么？
资产 资产是各种威胁以及威胁代理的目标。
风险管理的目标就是(jiùshì)保护资产不受 威胁。
第七页，共33页。
3.3风险(fēngxiǎn)识别
• 风险识别：规划并组织过程、对系统组 件进行分类、列出资产清单并分类、识 别出威胁、指出易受攻击的资产。
信息安全与风险管理培训教材
恰当的风险管理需要高 级管理层的鉴定承诺以 及一个文本化流程，这 个过程为机构的使命、 IRM策略和委任的IRM
团队提供支持。
风险管理团队
信息风险管理
完成目标的必要的条件 ➢获得高级管理层的支持， 从而对资源进行合理的 调配。 ➢这个团队也需要一个领 导，在大型组织内，这 名成员应用50%～70% 的时间来处理风险管理 工作。 ➢管理层必须投入资金对 此人进行必要的培训。 ➢为其提供风险工具，以 确保风险管理工作的顺 利进行。
以及采访。
风险分析团队撰写了一页概况，说明黑客攻击公司内部5太文件服务器访问呢保密信息的情况，并将它发 给了预先选定的一个五人小组（IT经理、数据库管理员、应用程序员、系统操作员和运行部经理）。这个 预先选定的团队对威胁的严重程度、潜在损失和每种安全措施的有效性，用1～5的等级进行排序，1代表 最不严重、最不有效或最不可能。
通过进行内 部调查、访 问或举办研 讨会。可以 收集到许多 类似的信息。
信息风险管理
资产价值
资产可以被赋予定量和定性的度量，不过这些度量方法应该有根有据。
信息风险管理
威胁和脆弱性的关系
威胁因素 病毒 黑客
用户 火灾 雇员
承包人 攻击者
入侵者
可能利用的脆弱性
导致的威胁
缺少反病毒软件
病毒感染
服务器上运行功能强大的服务
安全管理和支持控制
安全定义
引起
威胁因素
直
威胁
接
作
用
到
利用
脆弱性
导致
风险
可以破坏
资产
信息安全管理体系培训课件全文
企业内部信息安全管理制度建设
制度建设的重要性
强调企业内部信息安全管理制度建设的重要性，包括保障 企业信息安全、提高企业竞争力等。
制度建设的内容
介绍企业内部信息安全管理制度建设的主要内容，如信息 安全管理策略、安全管理制度、安全操作规程等。
制度建设的实施与监督
阐述如何实施企业内部信息安全管理制度，包括制定实施 计划、进行培训、监督执行等，以及如何对制度的有效性 进行评估和改进。
防火墙技术应用及案例分析
防火墙技术概述
防火墙分类
案例分析
防火墙是网络安全领域的重要设备， 通过设置访问控制规则，对进出网络 的数据包进行过滤和拦截，从而保护 网络免受攻击和入侵。
根据工作原理和实现方式，防火墙可 分为包过滤防火墙和应用层网关防火 墙。包过滤防火墙根据数据包头信息 进行过滤，而应用层网关防火墙则基 于应用程序进行过滤。
信息安全管理体系培训课件全文
汇报人：可编辑 2023-12-21
• 信息安全管理体系概述 • 信息安全管理体系标准与规范 • 信息安全风险评估与应对策略 • 信息安全技术应用与实践案例分析 • 信息安全意识培养与行为规范引导 • 总结回顾与未来展望
01
信息安全管理体系概述
定义与目标
定义
信息安全管理体系（ISMS）是一个综合性的框架，用于组织 管理、控制和指导其信息安全的各个方面。它包括策略制定 、组织管理、技术实施和持续改进等环节，旨在保护组织的 资产和信息免受威胁和攻击。
战，确保组织的信息资产得到充分保护。
培训意义
培训对于组织和个人都具有重要意义。对于组织而言，通过培训可以提高员工的信息安 全意识和技能水平，降低信息安全风险，确保组织的业务连续性和竞争优势。对于个人 而言，培训可以提高个人的职业素养和综合能力，为未来的职业发展打下坚实的基础。
信息安全风险管理的理论
〔二〕、20世纪80年代末至90年代中期是信息平安风险管理实践和理 论走向初步(chūbù)成熟的阶段
1995年12月美国国防部提出了信息平安的动态模型，即“
防护—监测—反应〞多环节保障体系，后通称“PDR模型〞
。
1990年，欧洲英、法、德、荷四国着手制定了共同的信息
技术平安评估标准〔ITSEC〕，强调要把信息系统实用环境中
22
第二十二页，共三十四页。
二、我国信息平安实践对风险管理理论(lǐlùn)提出了新问题、新要求
2003年8月至今年在国信办直接指导下，组成了
风险评估(pínɡ ɡū)课题组，开展了系统的风险
评估(pínɡ ɡū)和管理理论研究。这期间，我国
一些国家研究机构、大专院校、民营企业、外资
企业、向国内介绍了美、英等兴旺国家关于信息
16
第十六页，共三十四页。
一、信息平安风险管理理论(lǐlùn)来源于信息平安实践
〔三〕、20世纪90年代末，国际范围的风险管理实践与理论(lǐlùn) 进入第三个阶段，即全球化阶段
在共同需求的驱动下，1996年国际标准(biāozhǔn)
组织发布了ISO/IEC TR 13335标准(biāozhǔn)即《信
1992年美国国防部建立了漏洞分析与评估方案。 1994年美国国家平安局等组织构成的联合委员会明确提 出，美国国家信息平安必须建立在风险管理的根底上。
11
第十一页，共三十四页。
一、信息平安风险管理理论(lǐlùn)来源于信息平安实践
〔二〕、20世纪80年代末至90年代中期是信息平安风险管理实践和 理论(lǐlùn)走向初步成熟的阶段
3
第三页，共三十四页。
一、信息平安风险管理理论(lǐlùn)来源于信息平安实践
CISP培训-信息安全管理基础与管理体系培训
23
CISP培训-信息安全管理基础与管理体系培训
CISP培训-
信息安全管理的作用
（二）信息安全管理是信息安全技术 的融合剂，保障各项技术措施能够发 挥作用
24
CISP培训-信息安全管理基础与管理体系培训
CISP培训-
信息安全管理的作用
20
CISP培训-信息安全管理基础与管理体系培训
CISP培训-
信息安全管理的作用
信息系统是人机交互系统
设备的有效利用是人为的管理过程
CISP培训-信息安全管理基础与管理体系培训
应对风险需要人为的管理过程
21
CISP培训-
信息安全管理的作用
• 如今，信息安全问题已经成为组织业务正常运营和持续发 展的最大威胁
Internet
防御体系，因违
规外连形同虚设
26
CISP培训-
信息安全管理的作用
❖解决信息安全问题，成败通常取决于两个因素，一个是技
术，另一个是管理
❖安全技术是信息安全控制的重要手段，但光有安全技术还
不行，要让安全技术发挥应有的作用，必然要有适当的管 理程序，否则，安全技术只能趋于僵化和失败
❖说安全技术是信息安全的构筑材料，信息安全管理就是粘
知识域：信息安全管理概述
知识子域： 信息安全管理作用
• 理解信息安全管理的重要作用 • 理解信息安全管理体系的作用 • 理解实施信息安全管理的关键成功因素
33
CISP培训-信息安全管理基础与管理体系培训
CISP培训-
信息安全管理体系的作用
对内：
• 能够保护关键信息资产和知识产权，维持竞争优势 • 在系统受侵袭时，确保业务持续开展并将损失降到最低程度 • 建立起信息安全审计框架，实施监督检查 • 建立起文档化的信息安全管理规范，实现有“法”可依，有章可循，有据
cisp复习资料
cisp复习资料CISP复习资料在当今信息时代，网络安全问题日益凸显，网络攻击和数据泄露事件频频发生。
为了应对这一挑战，越来越多的人开始关注和学习网络安全知识。
而CISP （Certified Information Security Professional）认证则成为了国际上公认的网络安全专业人士的认证标准。
本文将介绍CISP的复习资料，帮助读者更好地备考和掌握网络安全知识。
一、CISP认证概述CISP是由国际信息系统安全认证联盟（ISC2）颁发的一项国际性网络安全认证。
它旨在评估和认证专业人士在信息安全管理和实践方面的能力。
通过CISP认证，个人能够证明自己在网络安全领域具备高水平的技能和知识，提高自身的职业竞争力。
二、CISP复习资料的重要性备考CISP考试需要大量的学习和准备工作。
而合适的复习资料可以帮助考生系统地学习和掌握考试所需的知识和技能。
CISP复习资料的重要性主要体现在以下几个方面：1. 知识体系全面：CISP考试涵盖了广泛的网络安全知识领域，包括网络安全管理、风险管理、安全架构和设计等。
复习资料能够帮助考生全面了解和掌握这些知识，确保备考的全面性和深度。
2. 学习方法指导：复习资料通常会提供一些学习方法和技巧，帮助考生高效地学习和记忆知识点。
通过合理的学习方法，考生可以更好地利用有限的时间和精力进行备考，提高学习效果。
3. 实践案例分析：网络安全领域的实践案例对于理论知识的理解和应用至关重要。
复习资料通常会提供一些实际案例，帮助考生理解和分析不同情境下的网络安全问题，并提供相应的解决方案。
三、选择合适的CISP复习资料在选择CISP复习资料时，考生需要注意以下几个方面：1. 适合个人学习风格：不同的人有不同的学习风格和偏好。
有些人喜欢通过阅读书籍进行学习，而有些人则更喜欢通过观看视频或参加培训班来学习。
考生应根据自己的学习风格选择适合自己的复习资料。
2. 可信度和权威性：CISP复习资料应来自可信度和权威性较高的来源。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全风险术语-影响
❖ 指威胁源利用脆弱性造成不良后果的程度大小 ❖ 举例
▪ 网站被黑客控制，国家级网站比省市网站的名誉损 失大很多。
▪ 银行门户网站和内部核心系统受到攻击，其核心系 统的损失更大。
▪ 同样型号路由器被攻破，用于互联网骨干路由要比 企业内部系统的路由器损失更大。
17
信息安全风险术语-风险
4
通用风险管理定义
❖ 定义
▪ 是指如何在一个肯定有风险的环境里把风险减至最 低的管理过程。
▪ 风险管理包括对风险的量度、评估和应变策略。 ▪ 理想的风险管理，是一连串排好优先次序的过程，
使引致最大损失及最可能发生的事情优先处理、而 相对风险较低的事情则押后处理。
5
信息安全工作中的风险管理
常见问题
向哪个领域
金划拨无参考依据。
当了CIO，时刻担心系统出事，无法预 没有残余风险清单，在什么条件可被触
见可能会出什么事
发，如何做好控制
风险管理是信息安全保障工作有效工作方式
❖ 好的风险管理过程可以让机构以最具有成本效益 的方式运行，并且使已知的风险维持在可接受的 水平。
❖ 好的风险管理过程使组织可以用一种一致的、条 理清晰的方式来组织有限的资源并确定优先级， 更好地管理风险。而不是将保贵的资源用于解决 所有可能的风险
问题根源浅析
安全投资逐年增加，但看不到收益
没有根据风险优先级做安全投资规划， 没有抓住主要矛盾，导致有限资金的有 效利用率低
按照国家要求或行业要求开展信息安全 没有根据企业自身安全需求部署安全控
工作，但安全事件仍出现
制措施，没有突出控制高风险。
IT安全需求很多，有限的资金应优先拨 决策者没有看到安全投资收益报告，资
9
信息安全风险管理的目标
❖ 信息安全属性
保密性
完整性
可用性
真实性
抗抵赖性
10
信息安全风险术语
▪ 资产（Asset） ▪ 威胁源（Threat Agent） ▪ 威胁（ Threat ） ▪ 脆弱性（Vunerability） ▪ 控制措施（Countermeasure,safeguard,control） ▪ 可能性（Likelihood,Probability） ▪ 影响（ Impact,loss ） ▪ 风险（ Risk） ▪ 残余风险（Residental Risk）
11
信息安全风险术语-资产
❖ 资产是任何对组织有价值的东西，是要保护的对 象
❖ 资产以多种形式存在（多种分类方法）
▪ 物理的（如计算设备、网络设备和存储介质等）和逻辑的（如体 系结构、通信协议、计算程序和数据文件等）；
▪ 硬件的（如计算机主板、机箱、显示器、键盘和鼠标等）和软件 的（如操作系统软件、数据库管理软件、工具软件和应用软件等 ）；
▪ 有形的（如机房、设备和人员等）和无形的（如品牌、信心和名 誉等）；
▪ 静态的（如设施和规程等）和动态的（如人员和过程等）； ▪ 技术的（如计算机硬件、软件和固件等）和管理的（如业务目标
、战略、策略、规程、过程、计划和人员等）等。
12
信息安全风险术语-威胁
❖ 可能导致信息安全事故和组织信息资产损失的活 动。
❖ 风险管理是一个持续的PDCA管理过程。
7
什么是信息安全风险管理
了解风险+控制风险=管理风险
❖定义一：GB/Z 24364《信息安全风险管理指南》
▪ 信息安全风险管理是识别、控制、消除或最小化可 能影响系统资源的不确定因素的过程。
❖ 定义二：在组织机构内部识别、优化、管理风险， 使风险降低到可接受水平的过程。
15
信息安全风险术语-可能性
❖ 指威胁源利用脆弱性造成不良后果的可能性。 ❖ 举例
▪ 脆弱性只有国家级测试人员采用专业工具才能利用 ，发生不良后果的可能性很小
▪ 系统存在漏洞，但只在与互联网物理隔离的局域网 运行，发生的可能性较小。
▪ 互联网公开漏洞且有相应的测试工具，发生不良后 果的可能性很大。
8
正确的风险管理方法
前瞻性风险管理
反应性风险管理
风险管理最佳实践
•评估风险 •实施风险决策
+ •风险控制
•评定风险管理的有 效性
•保护人身安全 •遏制损害 •评估损害 •确定损害部位 •修复损害部位
•审查响应过程并更 新安全策略
= •前瞻性风险管理 •反应性风险管理
流行性感冒是一种致命的呼吸道疾病，美国每年都会有数以百万计 的感染者。这些感染者中，至少有 100,000 人必须入院治疗，并且约 有 36,000 人死亡。 您可能会选择通过等待以确定您是否受到感染，如 果确实受到感染，则采用服药治疗这种方式来治疗疾病。 此外，您也 可以选择在流行性感冒病发季节开始之前接种疫苗。二者相结合才是最 佳风险管理方法。
CISP0302信息安全风险管理
课程内容
2
知识域：风险管理工作内容
❖ 知识子域：风险管理工作主要内容
▪ 掌握建立背景的主要工作内容 ▪ 掌握风险评估的主要工作内容 ▪ 掌握风险处置的主要工作内容 ▪ 掌握批准监督的主要工作内容 ▪ 掌握监控审查的主要工作内容 ▪ 掌握沟通咨询的主要工作内容
3
风险管理是各行业采取的普遍工作方法
❖ 威胁源采取恰当的威胁方式才可能引发风险
❖ 威胁举例：
▪ 操作失误 ▪ 滥用授权 ▪ 行为抵赖 ▪ 身份假冒 ▪ 口令攻击 ▪ 密钥分析
▪ 漏洞利用 ▪ 拒绝服务 ▪ 窃取数据 ▪ 物理破坏 ▪ 社会工程
13
信息安全风险术语-脆弱性
❖ 与信息资产有关的弱点或安全隐患。 ❖ 造成风险的内因。 ❖ 脆弱性本身并不对资产构成危害，但是在一定条
件得到满足时，脆弱性会被威胁源利用恰当的威 胁方式对信息资产造成危害。 ❖ 脆弱性举例
▪ 系统程序代码缺陷 ▪ 系统设备安全配置错误 ▪ 系统操作流程有缺陷 ▪ 维护人员安全意识不足
14
信息安全风险术语-控制措施
❖ 根据安全需求部署，用来防范威胁，降低风险的 措施。
❖ 举例
▪ 部署防火墙、入侵检测、审计系统 ▪ 测试环节 ▪ 操作审批环节 ▪ 应急体系 ▪ 终端U盘管理制度
❖ 指威胁源采用恰当的威胁方式利用脆弱性造成不良 后果。
采取
威胁源
威胁方 式
利用 脆弱性
造成 风险
网站存在SQL注入漏洞，普通攻击者利用自动化 攻击工具很容易控制网站，修改网站内容，从而损 害国家政府部门声誉
18
信息安全风险术语-风险