下载文档原格式
第二章IT治理★必须的知识点1.IT战略、政策、标准和程序对于组织的意义，及其基本要素2.IT治理框架(体系)3.制定、实施和维护IT战略、政策、标准和程序的流程。
如:信息资产的保护、业务持续和灾难恢复、系统和基础建设生命周期、IT服务交付与支持4.质量管理战略和政策5.与IT使用私}管理相关的组织结构、角色私!职责。
6.公认的国际IT标准和准则(指导)。
7.制订一长期战略方向的企业所需的IT体系及其内容8.风险管理方法和工具9.控制框架(模型)的使用，如:CobiT, COSO, ISO 17799等控制模型。
10.成熟度和流程改进模型(如:C1V1M, CobiT)的使用。
11.签约战略、程序和合同管理实务。
12.IT绩效的监督和报告实务13.有关的法律、规章等问题(如:保密法/隐私法、知识产权、公司治理的要求)14.IT人力资源管理15.资源投资和配置实务(如:投资的资产管理回报)★可能的考试重点公司治理与IT治理（概念）IT治理中董事会和执行经理层的作用（责任、关键成功因素）IT治理最佳实务（结构与关系）IT治理中审计的的作用（确保IT的运用符合组织目标）IT战略：IT战略委员会（职责、作用、组成）、IT平衡记分卡信息安全治理企业架构（结构化方式反映组织的IT资产）业务流程驱动的企业架构FEA参考模型风险管理（原第七章内容，重点）采购实务IS模块交付（内包、外包、混合采购）采购战略外包实务和战略（优缺点、风险）服务水平协议（SLA）全球化战略和实务第三方审计报告能力与发展服务改进和用户满意度行业标准/基准信息系统组织结构供货商和外包商管理体系运营和维护（原运维）应用开发和维护/系统开发和维护职责分离（重点）组织结构中不同人员的职责★需要了解和熟悉IT治理审计查询理解★★★★★★★信息系统安全管理的成果信息系统安全管理的不同层次★知识点摘要公司治理倡导的公司道德文化。
世界经合组织将公司治理定义:“公司内不同群体之间责权利的分配关系，如董事会、管理层、股东和其他利害相关者，这些分配关系清楚地勾勒出公司决策的规则和程序。
引言概述：CISA（CertifiedInformationSystemsAuditor）是一项国际认可的信息系统审计师资格认证，对从事信息系统审计和控制的专业人士具有重要意义。
本文将针对CISA知识点进行总结，帮助读者全面了解CISA考试的内容和要求。
正文内容：一、信息系统审计的基本概念和原则1.信息系统审计的定义和目的2.信息系统审计的基本原则3.信息系统审计的类型和阶段4.信息系统审计的参与者和角色5.信息系统审计的国际标准和准则二、信息系统与技术基础1.信息系统的组成和分类2.信息系统的开发生命周期3.信息系统的运行和维护4.信息系统的风险与控制5.信息系统的安全性和保护措施三、信息系统审计过程与方法1.信息系统审计的策划和准备2.信息系统审计的实施和测试3.信息系统审计的发现和报告4.信息系统审计的跟踪和追踪5.信息系统审计的总结和建议四、信息系统审计的专业实践1.信息系统审计的法律法规和道德规范2.信息系统审计的流程和工具3.信息系统审计的案例和经验分享4.信息系统审计的问题识别和解决5.信息系统审计的持续学习和发展五、信息系统审计的未来发展趋势1.信息系统审计的技术创新和趋势预测2.信息系统审计的人才需求和发展机遇3.信息系统审计的国际合作和标准发展4.信息系统审计的重要性和挑战5.信息系统审计的职业形象和影响力总结：CISA知识点总结着重强调了信息系统审计的基本概念和原则、信息系统与技术基础、信息系统审计过程与方法、信息系统审计的专业实践以及信息系统审计的未来发展趋势五个大点。
每个大点下面设定了59个小点来详细阐述相关知识。
通过本文的学习，读者可以全面了解CISA考试所需的知识和技能，为提高信息系统审计能力和通过CISA考试提供有力的支持。
同时，本文还强调了信息系统审计在未来的发展趋势和重要性，鼓励读者不断学习和发展，为信息系统审计职业做出更大的贡献。
讲明：黄色背景需要特不关注，红色字体特不重要，红黄在一起的话，呵呵，大伙儿就自己考虑吧，呵呵那个笔记是我在得知考试分数后进行整理的，应该依旧具有点参考价值的，整理时刻2013年2月6日个人考试心得（10月1号开始学习，12月8号参加考试，2013年2月1号成绩出来，得分582分）：1、有可能的话最好参加相关的培训，5天的培训可不能给你多少实质的提高，但最关键的是能给你一个学习的思路；而且在培训的时候，有不明白的问题能够问老师；2、假如你不是做IT出身的，最好恶补一下IT知识，CISA对IT方面的知识依旧有些要求的；3、关于IT出身的人，学CISA特不要注意：要以审计师的视角来学习以及看待题目，组织内部的项目审计师的角色4、审计师是不具体解决问题的，然而要发觉问题；5、最好能听两次培训，现在的培训只要缴费后，能够不限次数重听；6、培训前先把书看一遍，要每个字都要看，不论能不能看明白，至少能有个映像；7、不要急于做题目，我的做法是：先把书看一遍（我花了3周左右的时刻）——参加培训（做好笔记）——再把书看一遍（我花了将近2周左右的时刻）——开始做题目——参加培训（补充上次培训的笔记）——把书再看一遍（最好在一周左右的时刻，那个我没做到）——开始做题目，大量的做(我大概做了4000道左右)——参加考试（我拿到582分，自己觉得比较中意）8、差不多上每天花3到4个小时的时刻就能够了，考试前两天，有条件的话最好在家里整理和复习一下自己所学的；9、重视QQ群的动态，群里面专门多朋友和前辈，能够学到专门多的；10、最关键的是，一定要参加考前辅导，那个是免费的，然而内容却是特不关键的！！！第一章信息系统审计过程* IS审计是基于风险的审计；* 保持审计独立性和胜任能力,确保审计小组所实施完成的审计任务能满足审计职能的目标要求* 风险分析是审计打算的一部分，关心IS审计师识不风险和脆弱性并确定降低风险所需的操纵* 要以审计师的视角来学习以及看待题目，组织内部的项目审计师的角色；* 第一方审计：自查——报告给自己高层* 第二方审计：甲方审乙方* 第三方审计：外审——报告给公众或相关机构* 按照IT审计标准制定并实施基于风险的IT审计战略* 内审首先需要建立审计章程；外审首先需要合同以及托付书；* 审计章程或托付书应在组织内部适当的层次得到同意和通过，一旦创立，就只有在特不必要、并通过充分的论证后才同意变更审计章程；* 审计章程涵盖整个范围的审计活动；合同侧重于特定的审计任务；* 信息系统审计的最重要的资源是：审计师* IS审计师应有合格的职业能力，具备进行审计工作的相应知识；IS审计师应持续保持职业教育和培训，保持良好的职业能力；* 在制定审计打算时，要通过风险评估，确认高风险区域，找到审计的重点范围，合理分配审计资源；* 信息系统审计师常常关注高风险的问题，如敏感和重要信息的机密性、可用性、完整性以及生成、存储和处理这些信息的系统及流程等。
1、区分何时执行符合性测试和实质性测试?符合性测试（执行情况）验证控制的执行是否符合管理政策和规程验证真实的控制同审计师评价中所理解的方式相一致，判断控制是否在起作用测试一个既定流程的存在及其效果实质性测试（准确性）正式实际处理的完整性，验证财务报表数据及相关交易的有效性和完整性测试组织中直接影响财务报表平衡或其他相关数据的金额错误确定磁带库存货记录是否准确抽样执行：用户访问权限、程序变更控制基于对账户和交易的抽样来正式复杂计算的结流程、文件流程、编程文档、例外跟踪、果XX检查、软件XX2、给定场景下，确定哪一种证据收集技术是最好的。
收集证据的技术1）评价组织结构及其所提供的控制水平：采用分布式协作处理或最终用户计算方式，其IS职能的组织形式与传统的、具有独立的系统和运营部门的IS组织有所不同。
2）检查IS政策和程序：检查是否已建立适当的政策和规程，确定员工是否了解施行中的政策和规程、以及对这些政策和规程的遵循性。
验证管理层是否负责规划、制定、行文、发布和控制涵盖了总体目标与仿真的政策。
应当对政策和规程的适当性进行定期审查。
3）检查标准：了解组织中正式施行的标准4）检查IS文档：了解组织中存在的文件（硬拷贝形式、电子存档格式等）,如为电子存档的要评价对文件完整性的保护一一查明文件的最低水平。
5）访谈适当的人员：事先安排并确定明确的目标，按照预定的提纲进行并做好访谈记录。
收集审计证据的程序包括（调查' 观察、检查' 确认、演示和监控）6）观察工作流程和员工表现。
可考虑文件化的证据是否可作为有用证据，如照片等。
3、各种类型的抽样技术及其适用情况抽样方法统计抽样：采用客观的方法来确定样本量和样本抽取标准。
利用统计抽样，审计师可以量化描述样本与总体的接近程度以及用百分数表示的样本能够代表总体的概念。
非统计抽样（判断抽样）：采用审计师判断来确定抽样方法、样本量及抽样标准。
抽样结果基于审计师对抽样事项或交易的重要性及风险的主管判断属性抽样属性抽样: 利用估计总体中某种特性的发生比率的抽样方法，属性抽样回答“有多少”的问题变量抽样分层单位平均估计抽样：先对总体进行分层，然后从不同层分别抽取样本的统计抽样。
备战CISA信息系统审计知识点的深度解析与实践技巧信息系统审计（CISA）是全球范围内广受认可的一项专业资格认证，它对于从事信息系统审计工作的人员来说至关重要。
备战CISA考试需要详细的知识点了解和实践技巧掌握。
本文将深入解析CISA考试的关键知识点，并提供一些实践技巧，帮助考生更好地备战CISA考试。
一、信息系统审计概述信息系统审计是指对计算机信息系统的整个或部分过程进行审查，以评估其安全性、合规性和有效性。
审计人员需要对信息系统相关的法律法规、标准规范、常见漏洞等有深入的了解，并采用合适的审计方法和工具进行审计操作。
二、CISA考试的知识点解析1. 信息系统审计过程信息系统审计过程包括审计准备、实施审计计划、信息搜集、风险评估、报告编制和审计后续等步骤。
考生需要熟悉每个步骤的具体内容和操作流程，了解如何根据不同的审计目标和需求进行有效的信息搜集和风险评估。
2. 信息技术和业务风险管理信息技术和业务风险管理是信息系统审计的重要部分。
考生需要了解风险管理的基本概念、方法和流程，掌握风险评估和风险应对的技巧。
同时，还需要了解常见的信息技术风险和业务风险，并能够识别和评估不同风险对信息系统安全性和业务运营的影响。
3. 信息系统安全管理信息系统安全管理是有效实施信息系统审计的基础。
考生需要了解信息系统安全管理的原则、标准和最佳实践，熟悉常见的安全控制措施和技术，能够评估信息系统的安全策略、机制和控制措施的有效性。
4. 内部控制和合规性内部控制和合规性是保障信息系统安全与合规的重要手段。
考生需要掌握内部控制的基本概念和要素，了解内部控制的评估方法和技巧。
同时，还需要了解常见的合规性要求和合规性审计的基本流程。
5. 信息系统开发、运维和服务管理信息系统的开发、运维和服务管理对于信息系统安全和合规性具有重要影响。
考生需要了解信息系统开发和运维的基本原则和最佳实践，熟悉信息系统服务管理的过程和技术，能够评估信息系统开发、运维和服务管理的合规性和效果。
目录角色职责 (3)第一章 (3)基本职责归纳 (3)项目流程RACI (3)抽样方法及作用 (4)职业独立性与组织独立性区别： (4)对独立性/客观性是否造成危害的情况： (4)证据属性 (4)审计技术比较 (4)其他考点： (5)信息审计顺序 (5)第二章 (5)基本职责归纳 (5)安全治理成果与管理职责关系P45 (6)信息系统职责分离P209 (7)风险应对措施及举例 (7)控制措施及作用 (8)常用工具/分析方法的区别 (8)其他考点： (8)业务影响分析BIA (8)第三章 (8)基本职责归纳 (8)项目组织结构P29 (9)系统开发团队P37 (9)项目后审查与实施后审查区别P80 (10)各类项目管理工具、技术、测试的作用和目的 (10)SDLC各阶段 (11)质量评估指标 (11)攻击方法及说明 (11)网络组件及其作用 (12)开发方法描述及优缺点P312 (12)联机/在线事务处理数据完整性ACID原则 (13)其他考点： (13)第四章 (13)基本职责归纳 (13)恢复指标及作用 (14)不同计划及作用 (14)检查校验方式及目的 (14)廉价磁盘冗余阵列（RAID） (15)OSI七层结构 (15)备份方法优缺点 (16)其他考点： (16)协议等安全性 (16)容量/能力管理 (16)第五章 (16)基本职责归纳 (16)渗透测试方法比较 (17)机密性与访问控制 (17)权限安全管理相关 (18)电力安全相关 (18)防火墙相关 (18)其他考点： (18)公共密钥基础结构PKI (18)访问控制 (19)角色职责第一章基本职责归纳项目流程RACIBEM ：业务执行经理 CIO ：首席信息官BPO ：业务流程所有者 DO ：运营总监 CA ：首席架构师 DD ：开发总监ITA ：IT 行政主管 PMO ：项目管理官抽样方法及作用职业独立性与组织独立性区别：职业独立性：审计师推荐了一个特定的供应商就会破坏职业独立性 组织独立性：组织独立性在接受约定时考虑对独立性/客观性是否造成危害的情况：证据属性审计技术比较其他考点：信息审计顺序确定业务流程→控制目标及活动→关键信息资产→部署审计资源→约谈相关人员第二章基本职责归纳安全治理成果与管理职责关系P45信息系统职责分离P209风险应对措施及举例控制措施及作用常用工具/分析方法的区别其他考点：业务影响分析BIABIA的主要产出是了解运营中断成本，而不是BCP 第三章基本职责归纳项目组织结构 P29系统开发团队 P37QAT ）测试打没打到要求（UAT ）项目后审查与实施后审查区别P80项目后审查：参与人员为项目人员；目的是知识共享，流程改进；时间为项目结束后。
信息系统项目管理师考试笔记重点难点1. 计算机基本构成：运算器、操纵器、存储器、输入设备、输出设备。
2.并行性是指计算机系统具有能够同时进行运算或者操作的特性，包含同时性与并发性。
3.基本思想：时间重叠、资源重叠、资源共享。
4.传统串行方式：优：操纵简单，节约设备缺：执行指令速度慢，功能部件利用率低。
5.流水线处理机：优：程序执行时间短，功能部件利用率高缺：增加硬件，操纵过程较复杂。
6.并行处理机SIMD 一个操纵器CU，N个处理单元PE，一个互连网络IN 。
7.并行处理机要紧特点：⑴单指令流多数据流方式工作。
⑵使用资源重复方法引入空间因素。
⑶以某一类算法为背景的专用计算机。
⑷并行处理机的研究务必与并行算法研究密切结合。
⑸异构型多处理系统。
8.多处理机系统构成MIMD：N个处理机+1个处理机存储器互联网络（PMIN）。
9.多处理机系统特点：⑴结构灵活并行处理机处理单元很多；多处理机有较强通用性，适用多样算法，处理单元数量较少。
⑵程序并行性并行处理。
11.RISC与CISC比较要紧特点如下：⑴指令数目较少，通常选用使用频度最高的一些简单指令。
⑵指令长度固定，指令格式种类少，寻址方式种类少。
⑶大多数指令可在一个机器周期内完成。
⑷通用寄存器数量多，只有存数/取数指令访问存储器，其余指令无关寄存器之间进行操作。
两者要紧区别在于设计思想上。
12.存储系统分类：高速缓冲存储器（Cache,双极半导体）主存储器（MOS半导休，又称内存储器，包含高速缓存与主存）辅助存储器。
13.存储器的层次：高速缓存-主存，主存-辅存。
14.主存的基本构成：双极型 MOS型（由存储体、地址译码器、驱动器、I/O操纵、片选操纵、读/写操纵）。
15.存储器的要紧技术指标：存储容量、存取速度（访问时间、存储周期TM）TM>TA、读出时间 TM>TW、写入时间、可靠性、MTBF平均故障间隔时间。
16.计算机应用领域：科学计算、信息管理、计算机图形学与多媒体技术、语言与文字处理、人工智能。
CISA笔记第三章cisa笔记-第三章第三章信息系统和基础设施生命周期管理1.业务实现1.1. 项目组合和项目组管理项目是在特定条件下，具有特定目标的一次性任务，是在一定时间内，满足一系列特定目标的多项相关工作的总称。
一、有一项与环境有关的具体任务需要完成二、在一定的组织机构内，利用有限资源人力、物力、财力等，在规定时间内完成三、任务要满足一定性能、质量、数量、技术指标等要求项目群可以看成是由一系列项目和有时间边界的任务组成，这些项目和任务通过共有的目标、预算、日程、策略等紧密地联系在一起。
典型项目群就是实施epr系统，例如sap，大型erp的实施涉及到技术、基础设施、运行维护、组织革新、业务过程重组bpr和优化、业务培训、应用开发等内容。
非it 项目群例子为企业并购m&as。
成功地实施项目群，需要对以下内容进行有效管理：?项目群的范围、财务、日程安排、目标及交付物?项目群所处的环境?项目群的沟通与文化?项目群组织投资组合是一个组织在给定时间点上所有正在进行的项目的集合。
项目组由密切相关的项目组成，这在项目组合中不是必需的。
项目组合由多个项目组和特定时间点的松散项目组成。
项目组的项目也属于公司的项目组合。
投资组合管理的目的：？优化项目组合的结果对项目进行优先级排列，并进行日程安排?协调对资源的使用?项目中知识的传递项目项目群项目组合定义创造指定范围内的一个独特产品或服务，项目是项目群或项目组成的构成基础特点短期、战术性的一个项目群由多个项目所构成，项目间有紧密的联系，实施周期较长一个项目组合有多个项目或项目群构成，他们具有共同特性，为了管理需要而把他们组织在一起进行管理管理周期，每年或每季度长期、战略性的1.2.业务模式制定与审批在规划IT项目时，无论是开发新系统还是投资基础设施，我们都需要首先考虑商业模式。
商业模式/业务案例，组织可以获得的业务收益才是实施it的源动力。
在项目的初始规划中，项目可行性分析是一种商业模式分析，对相关问题进行早期研究，以评估解决方案是否可行。
CISA个人考试学习笔记CISA个人考试学习笔记一、CISA考试概述CISA（Certified Information Systems Auditor，认证信息系统审计员）是由美国信息系统审计与控制协会（ISACA）主办的国际性认证考试。
CISA认证证明了持有人在信息系统及其控制、管理和审计方面的能力和知识。
考试内容包括五个领域：信息系统审计过程、信息系统控制与维护、信息系统开发和实施、信息系统运营、保护信息资源。
二、备考策略1.了解考试内容：详细阅读CISA考试大纲，了解考试的主要内容和重点领域，制定有针对性的备考计划。
2.准备教材：购买可靠的备考教材，且最好是与考试内容和大纲相符的。
3.制定学习计划：合理安排备考时间，每天留出固定的备考时间，并制定每天的学习任务和目标。
4.刷题与总结：针对各个领域的考试内容，进行相关题目的刷题和解析，并及时总结和归纳知识点。
5.考点整理：将备考过程中遇到的重难点和考点整理成思维导图或总结表格，方便复习时查阅。
三、备考内容1.信息系统审计过程信息系统审计的目的、范围和方法，审计准则与规范，信息系统安全和风险管理等内容。
2.信息系统控制与维护信息系统的逻辑性、完整性和保密性控制，物理安全，计算机作业控制，应用系统控制等内容。
3.信息系统开发和实施信息系统规划、设计与管理，信息系统开发的生命周期，信息系统开发中的关键控制，项目管理等内容。
4.信息系统运营信息系统运维的组织和结构，运维的策略和方法，运维过程中的风险和控制，运维项目管理等内容。
5.保护信息资源信息系统中的信息安全政策和目标，信息安全风险管理，网络安全，物理安全，密码学等内容。
四、备考建议1.制定学习计划：根据自己的备考时间和能力，制定合理的学习计划，合理分配时间和任务。
2.做好笔记：在学习过程中，及时记录和整理重要知识点，方便复习时查阅。
3.刷题训练：刷题是检验自己备考成果的有效方法，可以通过刷题来检验自己对知识点的掌握程度，并及时总结不足之处。
