下载文档原格式
信息安全等级保护标准
1. 安全目标：明确了信息系统安全保护的目标，包括机密性、完整性和可用性。
2. 安全等级划分：根据信息系统的安全需求和重要性，将其划分为不同的安全等级。
3. 安全技术要求：包括物理安全、网络安全、系统安全等方面的技术要求，如访问控制、身份认证、加密传输等。
4. 安全管理措施：包括组织结构、人员管理、安全培训等方面的管理措施，以保证信息安全的有效管理。
5. 安全测试评估：对信息系统进行定期的安全测试和评估，发现系统中存在的安全漏洞和风险，并及时采取措施进行修复。
6. 安全事件响应：建立健全的安全事件响应机制，对安全事件进行及时处理和跟踪，同时进行安全事故的调查与处理。
等保标准适用于政府机关、企事业单位等组织，旨在加强信息系统的安全保护，防止信息泄露、数据破坏、系统瘫痪等安全事件的发生。
对于不同行业和领域的组织，根据其安全需求和实际情况，可以进行相应的等级划分和安全措施的实施。
CISP课堂笔记信息安全测评体系介绍●测试／检验：按照规定的程序，为确定给定的产品、材料、设备、生物组织、物理现象、工艺或服务的一种或多种特性的技术操作●评估：对测试／检验产生的数据进行分析、形成结论的技术活动●认证：是指第三方依据程序对产品、过程或服务符合规定的要求给予书面保证（证书），用于评价产品质量和企业质量管理水平●信息系统评估通用准则（CC for Information）国际标准ISO/IEC 15408GB idt 18336●TCSEC升级FC，1992年12月公布引入了“保护轮廓PP”这一重要概●FC引入了PP（用户需求），CEM通用测评方法、TOE评估对象、ST安全目标●1993年开始，1996年出现V1.0，1998年出现V2.0，1999年5月，成为ISO 15408●CC主要思想和框架取自FC和ITSEC●1998年10月，国家质量技术监督局授权成立“中国国家信息安全测评中心”●2001年5月，中编办根据党中央、国务院有关领导的指示精神，正式行文（中编办[2001]51号），批准成立“中国信息安全产品测评认证中心”，英文简称为CNITSEC。
●信息安全测评认证两种方法：“质量过程核查”“评估活动评价”●信息安全测评认证三种阶段：准备阶段、评估阶段、认证阶段。
●国际：ISO(国际标准化组织) SC27 WG1:信息安全有关的需求、服务和指南WG2:信息安全技术和机制；WG3:信息安全评估标准；●各国信息安全测评认证体系负责机构美国国家信息保证联盟（NIAP）负责管理和运行美国的信息安全测评认证体系 英国通信电子安全局（CESG）负责管理和运行英国的信息安全测评认证体系澳大利亚国防情报总局（DSD）负责管理和运行澳大利亚的信息安全测评认证体系 加拿大通信安全机构（CSE）负责管理和运行加拿大的信息安全测评认证体系德国信息安全局（GISA）负责管理和运行德国的信息安全测评认证体系法国信息系统安全局（SCSSI）负责管理和运行法国的信息安全测评认证体系●信息安全测评认证的范围：信息技术产品安全性测评认证网络信息系统安全性测评认证信息安全服务单位资质测评认证信息安全服务人员资质测评认证信息安全工程测评认证●信息安全认证业务的范围：信息安全技术的产品（TOE）信息系统的认证信息安全服务提供商资质的认证信息安全专业人员资质认证●CC的结构：第一部分简介和一般介绍第二部分安全功能需求第三部分安全保障需求●评估项目按3人/日:EAL3级（含）以上分级评估将进行现场核查。
注册信息安全专业人员（CISP认证培训）认证介绍国家注册信息安全专业人员(简称：CISP）是有关信息安全企业，信息安全咨询服务机构、信息安全测评机构、社会各组织、团体、企事业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的专业岗位人员，其基本职能是对信息系统的安全提供技术保障，其所具备的专业资质和能力，系经中国信息安全测评中心实施注册。
2015年6月，全国获得CISP认证资格人员已超过15000名。
认证目的信息安全人员培训与姊姊认定的目的是构建全面的信息安全人才体系。
构建全面的信息安全人才体系是国家政策的要求，是组织机构信息安全保障建设自身的要求和组织机构人员自身职业发展的要求。
是国家政策的要求：中办发【2003】27号文件《国家信息化领导小组关于加强信息安全保障工作的I 安逸》中提出了“加快悉尼型安全人才培养，增强全民信息安全意识”的知道精神，重点强调了信息安全人才培养的重要性。
是组织机构信息安全保障建设自身的要求：企事业单位、政府机关等组织机构在信息安全保障建设、信息哈U建设中，需要有一个完整层次化的信息安全人才队伍以保障其信息安全、保障其信息化建设，从而保障其业务和使命。
是组织机构人员自身职业为发展的要求：作为人员本身，在其工作和职业发展中，需要充实其信息安全保障相关的只是和经验，以更好的开展其工作并为自己的只因为发展提供帮助。
认证价值对组织的价值：高素质的信息安全专业人才队伍，是信息安全的保障；信息安全人员持证上岗，满足政策部门的合规性要求；为组织实施信息安全岗位绩效考核提供了标准和依据；是信息安全企业申请安全服务资质必备的条件对个人的价值：适应市场中越来越热的对信息安全人才的需求；通过专业培训和考试提高个人信息安全从业水平；证明具备从事信息安全技术和管理工作的能力；权威认证提升职场竞争中的自身优势；可以获取信息安全专业人士的认可，方便交流。
认证分类根据工作领域和时间广州的需求，可以分为两类：注册信息安全工程师（CISE ）主要从事信息安全技术开发服务工程建设等工作。
CISP考试认证(习题卷32)第1部分：单项选择题，共92题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]下列哪一个子网掩码可允许 IP 网络 10.0.0.0 上的每一个子网容纳 2040 台主机A)255.255.0.0B)255.255.254.0C)255.255.248.0D)255.255.240.0答案:C解析:2.[单选题]安全模型明确了安全策略所需的数据结构和技术，下列哪项最好描述了安全模型中的“简单安全规则”？A)Biba模型中的不允许向上写B)Biba模型中的不允许向下读C)Bell-Lapadula模型中的不允许向下写D)Bell-Lapadula模型中的不允许向上读答案:D解析:3.[单选题]多层的楼房中,最适合做数据中心的位置是:A)一楼B)地下室C)顶楼D)除以上外的任何楼层答案:D解析:4.[单选题]风险,在GB /T 22081中定义为事态的概率及其结果的组合。
风险的目标可能有很多不同的方面,如财务目标、健康和人身安全目标、信息安全目标和环境目标等:目标也可能有不同的级别,如战略目标、组织目标、项目目标、产品目标和过程目标等, ISO / IEC 13335-1中揭示了风险各要素关系模型,如图所示。
请结合此图,怎么才能降低风险对组织产生的影响?( )A)组织应该根据风险建立响应的保护要求,通过构架防护措施降低风险对组织产生的影响B)加强防护措施,降低风险C)减少威胁和脆弱点降低风险D)减少资产降低风险答案:A解析:5.[单选题]45.数据链路层负责监督相邻网络节点的信息流动，用检错或纠错技术来确保正确的传输，确保解决该层的流量控制问题。
数据链路层的数据单元是()A)报文B)比特流C)帧D)包6.[单选题]在HTTP 状态码中表示重定向的是（）A)200B)302C)403D)500答案:B解析:7.[单选题]在以下标准中，属于推荐性国家标准的是？A)GB/T XXXX.X-200XB)GB XXXX-200XC)DBXX/T XXX-200XD)GB/Z XXX-XXX-200X答案:A解析:8.[单选题]25. 小王是某通信运营商公司的网络按武安架构师，为该公司推出的一项新型通信系统项目做安全架构规划，项目客户要求对他们的大型电子商务网络进行安全域的划分，化解为小区域的 安全保护，每个逻辑区域有各自的安全访问控制和边界控制策略，以实现大规模电子商务系 统的信息保护。
1.信息安全特征：信息安全是系统的安全，是动态的安全，是无边界的安全，是非传统的安全。
2.信息系统包含三个要素：信息，计算机网络系统和运行环境。
3.1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），将操作系统安全分级（D、C1、C2、B1、B2、B3、A1）.4.信息技术安全性评估准则，即通用准则CC（ISO/IEC 15408，GB/T 18336），其中保障定义为，实体满足其安全目的的信心基础。
5.风险是指威胁利用资产或一组资产的脆弱性对组织机构造成伤害的潜在可能。
6.信息安全管理体系－ISMS,国际上主流的信息系统管理体系的标准有ISO/IEC 17799,英国标准协会（BSI）的77997.信息安全保障模型：保障要素：管理、工程、技术、人员。
安全特征：保密、完整、可用。
生命周期：规划组织、开发采购、实施交付、运行维护、废弃。
策略和风险是安全保障的核心问题。
信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。
8.风险管理贯穿整个信息系统生命周期，包括对象确立，风险评估，风险控制，审核批准，监控与审查和沟通与咨询6个方面。
9.基于时间的PDR模型（保护－检测－响应）是信息安全保障工作中常用的模型。
该模型的出发点是基于这样的前提：任何安全防护措施都是基于时间的，超过该时间段，这种防护措施是可能被攻破。
10.P2DR（策略－保护检测响应）：所有的行为都是依据安全策略实施的。
该模型强调安全管理的持续性、安全策略的动态性。
防护时间Pt，检测时间Dt,反应时间Rt：如果pt>dt+rt,则系统安全；如果pt<dt+rt,则暴露时间Et=(dt+rt)-pt11.PDCA(计划、实施、检查、改进)是信息安全管理体系ISMS的核心。
信息系统安全等级保护3级
信息系统安全等级保护3级是指在信息系统安全领域中的一种安全等级保护标准。
该标准主要针对具有一定规模和复杂性的信息系统，旨在提供对这些系统的综合安全防护。
信息系统安全等级保护3级要求在保证系统功能的基础上，对系统的安全性进行全面加固，以防止各类安全威胁和攻击。
具体来说，该级别要求在系统设计和部署过程中，采取一系列措施来确保系统的机密性、完整性、可用性和可靠性。
在系统的设计阶段，应该充分考虑安全需求，确定系统的安全目标和安全策略。
这包括对系统进行全面的风险评估和安全评估，识别系统的安全漏洞和潜在威胁。
同时，还要对系统进行分层设计，实现权限管理和访问控制，确保用户只能访问其所需的资源，从而减少系统受到的安全威胁。
在系统的部署和运维过程中，要加强对系统的监控和管理。
这包括实施强大的安全策略和安全机制，对系统进行实时监控和日志记录，及时发现和应对安全事件和威胁。
同时，还要建立健全的安全管理制度和操作规范，确保系统的各项安全措施得到有效执行。
信息系统安全等级保护3级还要求对系统进行安全审计和安全评估，以验证系统的安全性和合规性。
对系统进行定期的安全检查和漏洞扫描，及时修补系统的安全漏洞。
信息系统安全等级保护3级是一种综合性的安全保护标准，要求在信息系统的设计、部署和运维过程中，全面加固系统的安全性，提供对系统的全面保护。
只有通过合理的安全策略和措施，加强对系统的监控和管理，以及定期的安全审计和评估，才能确保系统的安全性和稳定性。
在面对日益复杂和多样化的安全威胁时，信息系统安全等级保护3级的标准将为系统提供强大的安全防护，保障信息系统的正常运行和数据的安全。
注册信息安全专业人员（CISP）知识体系大纲版本：3.0 发布日期：2014 年12 月1 日生效日期：2015 年1 月1 日中国信息安全测评中心©版权2014—中国信息安全测评中心注册信息安全专业人员（CISP）知识体系大纲V2.3中国信息安全测评中心1目录目录.............................................................................................................. 1 前言.................................................................................................................. 4 第 1 章注册信息安全专业人员（CISP）知识体系概述.................................. 5 1.1 CISP 资质认定类别............................................................................. 5 1.2 大纲范围............................................................................................. 5 1.3 CISP 知识体系框架结构...................................................................... 5 1.4 CISP（CISE/CISO）考试试题结构..................................................... 7 第 2 章知识类：信息安全保障....................................................................... 9 2.1 知识体：信息安全保障基础................................................................ 9 2.1.1 知识域：信息安全保障背景...................................................... 9 2.1.2 知识域：信息安全保障概念与模型......................................... 10 2.1.3 知识域：信息系统安全保障概念与模型.................................. 10 2.2 知识体：信息安全保障实践.............................................................. 11 2.2.1 知识域：信息安全保障现状.................................................... 11 2.2.2 知识域：我国信息安全保障工作主要内容.............................. 11 2.2.3 知识域：信息安全保障工作方法.............................................12 第3 章知识类：信息安全技术..................................................................... 13 3.1 知识体：密码技术............................................................................ 13 3.1.1 知识域：密码学基础............................................................... 13 3.1.2 知识域：密码学应用............................................................... 14 3.2 知识体：鉴别与访问控制.................................................................. 15 3.2.1 知识域：鉴别......................................................................... 15 3.2.2 知识域：访问控制模型........................................................... 16 3.2.3 知识域：访问控制技术........................................................... 16 3.3 知识体：网络安全............................................................................ 17 3.3.1 知识域：网络协议安全........................................................... 17 3.3.2 知识域：网络安全设备........................................................... 17 3.3.3 知识域：网络架构安全........................................................... 18 3.4 知识体：操作系统与数据库安全....................................................... 19 3.4.1 知识域：操作系统安全........................................................... 19 3.4.2 知识域：数据库安全............................................................... 20 3.5 知识体：应用安全............................................................................ 20 3.5.1 知识域：应用安全 (20)注册信息安全专业人员（CISP）知识体系大纲V2.3中国信息安全测评中心23.6 知识体：安全漏洞、恶意代码与攻防................................................ 21 3.6.1 知识域：安全漏洞与恶意代码................................................ 21 3.6.2 知识域：安全攻击与防护....................................................... 22 3.7 知识体：软件安全开发..................................................................... 23 3.7.1 知识域：软件安全开发概况.................................................... 23 3.7.2 知识域：软件安全开发的关键工作......................................... 24 第 4 章知识类：信息安全管理..................................................................... 25 4.1 知识体：信息安全管理基础.............................................................. 25 4.1.1 知识域：信息安全管理概述.................................................... 25 4.1.2 知识域：信息安全管理方法与实施......................................... 25 4.2 知识体：信息安全风险管理.............................................................. 26 4.2.1 知识域：信息安全风险管理基础............................................. 26 4.2.2 知识域：信息安全风险管理主要内容...................................... 27 4.2.3 知识域：信息安全风险评估.................................................... 27 4.3 知识体：信息安全管理体系.............................................................. 28 4.3.1 知识域：信息安全管理体系基础............................................. 29 4.3.2 知识域：信息安全管理体系建设............................................. 29 4.3.3 知识域：信息安全控制措施.................................................... 30 4.4 知识体：应急响应与灾难恢复.......................................................... 31 4.4.1 知识域：应急响应概况........................................................... 31 4.4.2 知识域：信息系统灾难恢复.................................................... 32 4.4.3 知识域：灾难恢复相关技术.................................................... 32 第 5 章知识类：信息安全工程..................................................................... 34 5.1 知识体：信息安全工程基础.............................................................. 34 5.1.1 知识域：信息安全工程概述.................................................... 34 5.1.2 知识域：信息安全工程实施.................................................... 35 5.1.3 知识域：信息安全工程监理.................................................... 35 5.2 知识体：信息安全工程能力评估....................................................... 36 5.2.1 知识域：SSE-CMM 概述........................................................ 36 5.2.2 知识域：信息安全工程过程.................................................... 37 5.2.3 知识域：信息安全工程能力.................................................... 37 第 6 章知识类：信息安全法规标准............................................................. 38 6.1 知识体：信息安全法规与政策.......................................................... 38 6.1.1 知识域：信息安全法规........................................................... 38 6.1.2 知识域：信息安全政策.. (39)注册信息安全专业人员（CISP）知识体系大纲V2.3中国信息安全测评中心36.2 知识体：信息安全标准..................................................................... 40 6.2.1 知识域：信息安全标准基础.................................................... 40 6.2.2 知识域：信息安全标准化组织................................................ 41 6.2.3 知识域：信息安全标准体系.................................................... 41 6.2.4 知识域：我国信息安全典型标准介绍...................................... 41 6.3 知识体：信息安全道德规范.............................................................. 42 6.3.1 知识域：信息技术通行道德规范............................................. 42 6.3.2 知识域：信息安全从业人员道德规范.. (42)注册信息安全专业人员（CISP）知识体系大纲V2.3中国信息安全测评中心4前言信息安全作为我国信息化建设健康发展的重要因素，关系到贯彻落实科学发展观、全面建设小康社会、构建社会主义和谐社会及建设创新型社会等国家战略举措的实施，是国家安全的重要组成部分。
