下载文档原格式
cia第三部分信息技术知识点整理从操纵角度来看信息系统构成：1.一样操纵：治理操纵/系统实施操纵/运行操纵/软件操纵/硬件操纵/物理访咨询操纵/逻辑访咨询操纵2.应用操纵：输入操纵/处理操纵/输出操纵3.保证操纵：灾难复原与应急打算/环境操纵/设备来源操纵1.信息系统的战略、政策和过程1.1 信息系统的战略性应用目标：战略、政策、过程：通过应用信息系统，达到改进组织的目标、经营和服务或组织与环境的关系，从而关心组织改善与客户的关系，取得竞争优势。
战略性的应用系统渗透于业务层、企业层及行业层面。
1.2 信息系统的应用推动组织结构变革：自动化/流程合理话/业务流程再造/异化。
1.3 信息系统应用模式的演变：主机/终端模式——客户机/服务器模式——扫瞄器/服务器模式与信息应用模式相关的咨询题：降型化/开放系统/遗产系统。
1.4 信息系统的功能分类：✓作业层（事物处理系统TPS）：差不多交易活动，常规咨询题✓知识层（知识工作系统KWS/办公自动户化系统OAS）：知识职员、数据职员✓治理层（治理信息系统MIS/决策支持DSS）：中层经理，行政事务✓战略层（高级经理支持系统ESS）：高层经理，战略咨询题1.5 信息系统部门的职责系统开发小组（系统分析员是联络的桥梁、设计、编程、测试）——系统运行小组（确保正常运行/关心平台、咨询）。
1.6 信息系统安全主管的责任信息系统高层治理人员的职责：评估风险/操纵成本/制定风险操纵目标与措施信息安全主管的职责：制定安全政策/评判安全操纵/检测调查不成功的访咨询妄图/监督特权用户的访咨询，保证用途。
1.7 新兴技术——人工智能：✓专家系统（商品赊销的审批、医疗专家系统）：通过猎取人类专家在某一领域的体会和知识，利用推理模型来给出建议。
专家系统能够使客户服务工作更容易进行。
✓模糊逻辑（人像识不系统）：处理模糊数据。
✓遗传算法（煤气管道操纵、机器人操纵）：不断完善对特定咨询题的解决方案。
注册内部审计师资格考试（信息技术）第一章信息系统战略、政策和过程一、信息系统的战略性应用1、信息系统战略应用（远景规划）目的通过应用，改进组织的目标、经营、服务或组织与环境的关系，从而帮助组织改善与客户的关系，取得竞争优势。
2、信息系统应用与组织结构变革信息系统应用推动组织结构变革。
组织结构变革包括自动化、流程合理化、业务流程再造、异化。
3、信息系统应用模式及其技术特征主机/终端模式：程序和数据均放在主机、数据集中处理、串连线路、哑终端、批处理、价格昂贵。
客户机/服务器模式：集成电路+PC机+局域网、软硬件兼容、开放系统、应用程序同步性差。
浏览器/服务器模式：互联网使产业供应链成为可能，安全性越发重要。
遗产系统应与新技术进行整合。
异化：组织业务重新定义，组织本身重新规划。
降型化技术：将系统的部分处理分散到微机上，降低对主机处理性能的要求，目的是开放和廉价。
二、信息系统的功能分类1、按服务的组织层次分：作业层系统：也称事务处理系统、核算系统，实质是电子数据处理系统EDP。
知识层系统：也称处理系统，即为组织管理文件档案。
包括知识工作系统KWS和办公自动化系统OA。
管理层系统：包括管理信息系统MIS和决策支持系统DSS，帮助中层经理从事监督、管理和决策，处理行政事务。
战略层系统：也称高级经理支持系统ESS。
帮助高层经理解决战略问题，研究组织内部和外部环境。
2、按职能部门分：销售和市场系统、采购和供应系统、制造系统、财务系统、会计系统、人力资源系统等。
三、与信息系统有关的部门和职责1、信息系统指导委员会协调信息系统计划与组织计划的关系；建立信息系统获得、开发、维护的规则；审批信息系统投资、监督信息系统计划的执行；全方位管理监督信息系统实施。
人员由高级管理层、信息系统部门和用户部门的管理代表组成。
2、信息系统部门负责信息系统开发、实施和维护。
（1）系统开发小组开展系统分析、设计、编程和测试工作。
包括系统分析员、系统设计员、程序员和项目经理。
三-E 信息技术知识点归纳从控制角度来看信息系统构成：1.一般控制：管理控制/系统实施控制/运行控制/软件控制/硬件控制/物理访问控制/逻辑访问控制2.应用控制：输入控制/处理控制/输出控制3.保障控制：灾难恢复与应急计划/环境控制/设备来源控制1.信息系统的战略、政策和过程1.1 信息系统的战略性应用目标：战略、政策、过程：通过应用信息系统，达到改进组织的目标、经营和服务或组织与环境的关系，从而帮助组织改善与客户的关系，取得竞争优势。
战略性的应用系统渗透于业务层、企业层及行业层面。
1.2 信息系统的应用推动组织结构变革：自动化/流程合理话/业务流程再造/异化。
1.3 信息系统应用模式的演变：主机/终端模式——客户机/服务器模式——浏览器/服务器模式与信息应用模式相关的问题：降型化/开放系统/遗产系统。
1.4 信息系统的功能分类：✓作业层（事物处理系统TPS）：基本交易活动，常规问题✓知识层（知识工作系统KWS/办公自动户化系统OAS）：知识员工、数据员工✓管理层（管理信息系统MIS/决策支持DSS）：中层经理，行政事务✓战略层（高级经理支持系统ESS）：高层经理，战略问题1.5 信息系统部门的职责系统开发小组（系统分析员是联络的桥梁、设计、编程、测试）——系统运行小组（确保正常运行/帮助平台、咨询）。
1.6 信息系统安全主管的责任信息系统高层管理人员的职责：评估风险/控制成本/制定风险控制目标与措施信息安全主管的职责：制定安全政策/评价安全控制/检测调查不成功的访问企图/监督特权用户的访问，保证用途。
1.7 新兴技术——人工智能：✓专家系统（商品赊销的审批、医疗专家系统）：通过获取人类专家在某一领域的经验和知识，利用推理模型来给出建议。
专家系统能够使客户服务工作更容易进行。
✓神经网络（超音速飞机的控制系统、电力系统负荷预测）：在被人类告知其决策错误及答案后，能修改期知识库。
✓模糊逻辑（人像识别系统）：处理模糊数据。
2009年CIA内审师_经营分析和信息技术_预习讲义03预测本部分主要包括以下一些内容：时间序列分析、回归分析、敏感性分析、模拟模型。
这一部分的内容都比较重要，大家都要给予足够的重视。
预测的最简单形式是用过去趋势预测未来——叫做推测法。
建立模型是分析技术的一种。
要注意的是，所有涉及概率的预测模型都有一个关键概念，就是期望值。
期望值等于事情的各种可能的值与其相应概率乘积的和（例：股票；现价15，80%涨到20，20%跌到10，该不该买？80%*20+20%*10=18）。
1.时间序列分析时间序列分析是分析一段时间内所测得的数据集的一种技术。
尽管未来是不确定的，但过去的数据经常能够提供对未来很好的预测（例：GDP股票）。
时间序列数据通常分为四个部分：长期趋势、季节性组成部分、周期性组成部分以及随机或不规则组成部分。
这四个组成部分可以帮助解释数据的变化。
时间序列分析的目的在于使用这些组成部分来解释过去的数据中总的变化。
问题是怎样能最好地将每一个组成部分与其它部分分离开来，从而将每一部分都能够分析清楚。
（1）长期趋势趋势因素指的是一段时间内观测到的一个变量长期的增加（增长）或减少（衰退）趋势。
例如，耐克公司过去10到15年内的年度销量。
拟合长期趋势曲线最简单的方法是画出数据点并徒手画出趋势曲线。
另一种途径是用回归的方法。
（2）季节性因素季节性因素代表了时间序列中每年的同一时期都会发生的那些变化。
例如，销售高峰在每年春季和秋季都会发生一次。
季节指数是一种移动平均比率，可以用来衡量时间序列中的季节性波动。
一年4个季度的季度指数之和为400%，4个季度季节指数平均数为100%。
季节变动表现为各季的季节指数围绕着100%上下波动，表明各季销售量与全年平均数的相对关系。
如某种商品第一季度的季节指数为125%，这表明该商品第一季度的销售量通常高于年平均数25%，属旺季，若第三季度的季节指数为73%，则表明该商品第三季度的销售量通常低于年平均数27%，属淡季。
信息安全工程师综合知识大纲考点：网络信息安全基本属性【考点重要程度】：该考点需要重点掌握网络信息系统CIA三性。
出题思路一般是让考生判断试题给出的例子符合哪种属性。
【考点内容】：【网络信息系统CIA（重点掌握）】：网络信息安全基本属性包括：机密性、完整性、可用性、抗抵赖性和可控性等，此外还有真实性、时效性、合规性，隐私性等。
信息安全的（目标/三要素）CIA：机密性（Confidentiality）、完整性（Intergrity）、可用性（Availability））机密性（Confidentiality）：网络信息不泄露给非授权用户、实体或程序，能够防止未授权者获取网络信息。
通常是通过访问控制阻止非授权用户获得机密信息，通过加密变换阻止非授权用户获知信息内容。
完整性（Integrity）：指网络信息或系统未经授权不能进行更改的特性。
信息的完整性又分为两个方面：①数据完整性，数据没有被（未授权）篡改或者损坏;②系统完整性：系统未被非法操纵，按既定的目标运行可用性（Availability）：指合法许可的用户能够及时获取网络信息或服务的特性。
抵抗赖性（Non-Repudiation）：防止网络系统相关用户否认其活动行为的特性。
常用于电子合同、数字签名、电子取证等应用。
可控性：指网络信息系责任主体对网络信息系统具有管理、支配的能力的属性，能够更具授权规则对系统进行有效掌握和控制，使得管理者有效地控制系统的行为和信息的使用，符合系统运行的目标。
【其他特性（了解即可）】：真实性：是指网络空间信息与实际物理空间、社会空间的客观事实保持一致性。
时效性：是指网络空间信息、服务及系统能够满足时间约束要求。
合规性：是指网络信息、服务及系统符合法律法规政策、标准规范等要求。
公平性：是指网络信息系统相关主体处于同等地位处理相关任务，任何一方不占据优势的特性要求。
可靠性：是指网络信息系统在规定条件及时间下，能够有效完成预定的系统功能的特性。
信息安全概论复习纲要信息安全的特性：机密性、完整性、可用性、可控性、不可否认性名词解释1、CIA三元组：信息安全通常强调所谓CIA三元组，实际上是信息安全的三个最基本的目标，即机密性、完整性和可用性。
2、物理安全：物理安全主要是指通过物理隔离实现网络安全。
物理安全又叫实体安全，是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。
3、物理隔离：所谓“物理隔离”是指内部网不直接或间接地连接公共网。
物理安全的目的是保护路由器、工作站、网络服务器等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击。
只有使内部网和公共网物理隔离，才能真正保证党政机关的内部信息网络不受来自互联网的黑客攻击。
此外，物理隔离也为政府内部网划定了明确的安全边界，使得网络的可控性增强，便于内部管理。
4、网络嗅探：网络嗅探是指利用计算机的网络接口截获其它计算机的数据报文的一种手段。
5、拒绝服务攻击：拒绝服务攻击是一种最悠久也是最常见的攻击形式，也称业务否决攻击。
严格来说，拒绝服务攻击并不是一种具体的攻击方式，而是攻击所表现出来的结果最终使得目标系统因遭受某种程度的破坏而不能继续提供正常的服务，甚至导致物理上的瘫痪或崩溃。
具体的操作方法是多种多样的，可以是单一的手段，也可以是多种方式的组合利用，其结果都是一样的，即使合法用户无法访问到所需的信息。
6、防火墙：防火墙指的是由一个软件和硬件设备组合而成，在内部网络和外部网络之间构造的安全保护屏障，从而保护内部网络免受外部非法用户的侵入。
简单地说，防火墙是位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称。
7、云安全：云安全[1]（Cloud security ），《著云台》的分析师团队结合云发展的理论总结认为，是指基于云计算[2]商业模式应用的安全软件，硬件，用户，机构，安全云平台的总称。
“云安全”是“云计算”技术的重要分支，已经在反病毒领域当中获得了广泛应用。
CIA考试经验谈作者：来源：《财会通讯》2009年第12期CIA的知识体系包括审计、财务会计、管理会计、财务管理、公司治理、风险管理、经营管理、人力资源、经济、法律、IT、战略管理等十几个学科，其知识面非常广，但却是注册内部审计师应该掌握的内容。
考试题目很灵活，与实务紧密结合。
CIA的内部审计是管理审计，其视野涉及企业的方方面面，为企业增值。
鉴于此，针对今年的CIA考试，笔者收集整理了几位参考者对CIA考试特点、技巧和经验的总结，也希望为准备参加CIA考试的人员提供参考。
CIA考试综合分析第一，CIA通过率。
2008年CIA考试全国共计20061人报名，其中第一部分参考率为76.56％，通过率为35.51％。
第二部分参考率为74.11％，通过率为37.65％。
第三部分参考率为73.19％，通过率为35.12％。
第四部分参考率为76.68％，通过率为41.31％。
2008年CIA 各科平均参考率较上年增长了3个百分点，平均通过率较上年增长了1.1个百分点。
第二，CIA考试难度。
主观因素：一是努力不够，公私事情多，分心，复习不充分，二是信息不灵，复习方向和方法不对路，三是不适应西方人的思维习惯，对题目的考点不了解。
客观上也有不少因素。
首先应该知道，CIA是侧重于管理，而不是单纯的会计审计。
而且，CIA 中反映的管理理念、思维方式等，与国内传统理论或实际工作有不小的差异。
另外的因素包括，一是复习资料少而分散，最坏的是不少书上同一题答案还不相同。
考试结束后，不少人聚在一起报怨，二本书答案不同，或试题集上不同年份的答案不同，偏偏这次考到了，出现不同的答案，这种情况又有二个原因，一是勘误，二是观念差异、看法分歧，客观因素：翻译过来的题目难以理解，难以分析，有时简直是象要故意绕糊涂考生。
第三，CIA试题类型、时间和合格线。
第一部分：内部审计在治理、风险和控制中的作用。
具体包括：遵守IIA的属性标准；以风险为基础制定审计计划，确定内部审计重点；理解内部审计在公司治理中的作用；执行其他内部审计任务和职责；治理、风险和控制的知识要点；策划审计业务。
信息技术与控制大纲内容一、信息技术（一）信息系统的战略、政策及程序1、战略所谓战略，指长期性的问题，它由高级管理人员提出。
信息系统战略问题涉及信息系统远景规划以及为达到远景规划的方法和政策。
信息系统的战略规划是企业战略规划的一个重要组成部分。
一个有效的战略规划可以使信息系统和用户有较好的关系，可以做到信息资源的合理分配和使用，从而节省信息系统的投资。
一个有效的规划还可以促进信息系统应用的深化。
一个管理信息系统的战略规划应包括组织的战略目标、政策和约束、计划和指标的分析；应包括管理信息系统的目标、约束以及计划指标的分析；应包括应用系统或系统的功能结构、信息系统的组织、人员、管理和运行；还包括信息系统的效益分析和实施计划等。
2、政策信息系统政策是指导信息系统决策的一般说明。
IS政策确保IS决策限于一定的范围之内。
3、确定IS战略规划的程序进行管理信息系统的战略规划一般应包括以下一些步骤：第一，确定战略规划的性质，明确IS战略的年限及具体方法；第二，收集相关信息。
包括从企业内部各种文件以及书籍和杂志中收集信息；第三，进行战略分析。
对IS的目标、开发方法、功能结构、计划活动、信息部门的情况、财务情况、风险度和政策等进行分析；第四，定义约束条件。
根据单位的财务资源、人力及物力等方面的限制，定义IS的约束条件和政策；第五，明确战略目标。
根据第三、第四的结果，确定IS的开发目标，明确IS应具备的功能、服务范围和质量等；第六，提出未来的略图。
给出IS的初步框架，包括各子系统的划分等；第七，选择开发方案。
选定优先开发的项目，确定总体开发顺序、开发策略和开发方法；第八，提出实施进度。
估计项目成本和人员需求，并列出开发进度表；第九，通过战略规划。
将战略规划形成文档，经单位领导批准后生效。
（二）保证信息系统安全的控制目标与措施1、控制目标：制定安全方针和程序，建立数据与系统所有权，建立数据分类计划，开发全方位的安全程序，开发安全管理目标。
第一章信息安全保障概述1.1信息安全保障背景信息技术两个方面：生产：信息技术产业；应用：信息技术扩散信息技术核心：微电子技术，通信技术，计算机技术，网络技术第一阶段，电讯技术的发明；第二阶段，计算机技术的发展；第三阶段，互联网的使用积极：社会发展，科技进步，人类生活消极：信息泛滥，信息污染，信息犯罪1.2信息安全保障基础通信保密阶段（20世纪四十年代）：机密性，密码学计算机安全阶段（20世纪六十和七十年代）：机密性、访问控制与认证，公钥密码学（Diffie Hellman，DES），计算机安全标准化（安全评估标准）信息安全保障阶段：信息安全保障体系（IA），PDRR模型：保护（protection）、检测（detection）、响应(response)、恢复（restore），我国PWDRRC模型：保护、预警（warning）、监测、应急、恢复、反击（counter-attack），BS/ISO 7799标准（有代表性的信息安全管理体系标准）：信息安全管理实施细则、信息安全管理体系规范一是运行系统的安全，二是系统信息的安全：口令鉴别、用户存取权限控制、数据存取权限方式控制、审计跟踪、数据加密等信息安全的基本属性：完整性、机密性、可用性、可控制性、不可否认性核心基础安全技术：密码技术安全基础设施技术：标识与认证技术，授权与访问控制技术基础设施安全技术：主机系统安全技术，网络系统安全技术应用安全技术：网络与系统安全攻击技术，网络与系统安全防护与响应技术，安全审计与责任认定技术，恶意代码监测与防护技术支撑安全技术：信息安全评测技术，信息安全管理技术1.3信息安全保障体系生命周期：规划组织，开发采购，实施交付，运行维护，废弃保障要素：技术，管理，工程，人员安全特征：机密性，完整性，可用性P2DR安全模型：策略（policy），防护，检测，响应；防护时间大于检测时间加上响应时间，安全目标暴露时间=检测时间+响应时间，越小越好；提高系统防护时间，降低检测时间和响应时间信息保障技术框架（IATF）：纵深防御策略（）：人员，技术，操作；技术框架焦点域：保护本地计算机，保护区域边界，保护网络及基础设施，保护支撑性基础设施1.4信息安全保障基本实践确定安全需求，设计和实施安全方案，进行信息安全评测，实施信息安全监控第二章信息安全基础技术与原理2.1密码技术对称密钥密码体制：发送方和接收方使用相同的密钥非对称密钥密码体制：发送方和接收方使用不同的密钥对称密钥体制：加密处理速度快、保密度高，密钥管理分发复杂代价高、数字签名困难分组密码：一次加密一个明文分组：DES，IDEA，AES；序列密码：一次加密一位或者一个字符：RC4，SEAL加密方法：代换法：单表代换密码，多表代换；置换法安全性：攻击密码体制：穷举攻击法（对于密钥长度128位以上的密钥空间不再有效），密码分析学；典型的密码攻击：唯密文攻击，已知明文攻击，选择明文攻击（加密算法一般要能够抵抗选择明文攻击才认为是最安全的，分析方法：差分分析和线性分析），选择密文攻击基本运算：异或，加，减，乘，查表设计思想：扩散，混淆；乘积迭代：乘积密码，常见的乘积密码是迭代密码，DES，AES数据加密标准DES：基于Feistel网络，3DES，有效密钥位数：56 国际数据加密算法IDEA：利用128位密钥对64位的明文分组，经连续加密产生64位的密文分组高级加密标准AES：SP网络分组密码：电子密码本模式ECB，密码分组链模式CBC，密码反馈模式CFB，输出反馈模式OFB，计数模式CTF非对称密码：基于难解问题设计密码是非对称密码设计的主要思想，NP问题NPC 问题克服密钥分配上的困难、易于实现数字签名、安全性高，降低了加解密效率RSA：基于大合数因式分解难得问题设计；既可用于加密，又可用于数字签名；目前应用最广泛ElGamal：基于离散对数求解困难的问题设计椭圆曲线密码ECC：基于椭圆曲线离散对数求解困难的问题设计通常采用对称密码体制实现数字加密，公钥密码体制实现密钥管理的混合加密机制单向密码体制，从一个明文到密文的不可逆的映射，只有只有加密过程，没有解密过程可将任意长度的输入经过变换后得到固定长度的输出（原消息的散列或消息摘要）应用：消息认证（基于哈希函数的消息认证码），数字签名（对消息摘要进行数字签名口令的安全性，数据完整性）消息摘要算法MD5：128位安全散列算法SHA：160位SHA比MD5更安全，SHA比MD5速度慢了25%，SHA操作步骤较MD5更简单通过密码技术实现，其安全性取决于密码体制的安全程度普通数字签名：RSA，ElGamal，椭圆曲线数字签名算法等特殊数字签名：盲签名，代理签名，群签名，不可否认签名，具有消息恢复功能得签名等常对信息的摘要进行签名美国数字签名标准DSS：签名算法DSA应用：鉴权：重放攻击；完整性：同形攻击；不可抵赖包括密钥的生成，存储，分配，启用与停用，控制，更新，撤销与销毁等诸多方面密钥的分配与存储最为关键借助加密，认证，签名，协议和公证等技术密钥的秘密性，完整性，真实性密钥产生：噪声源技术（基于力学，基于电子学，基于混沌理论的密钥产生技术）；主密钥，加密密钥，会话密钥的产生密钥分配：分配手段：人工分发（物理分发），密钥交换协议动态分发密钥属性：秘密密钥分配，公开密钥分配密钥分配技术：基于对称密码体制的密钥分配，基于公钥密码体制的密钥分配密钥信息交换方式：人工密钥分发，给予中心密钥分发，基于认证密钥分发人工密钥分发：主密钥基于中心的密钥分发：利用公开密钥密码体制分配传统密码的密钥；可信第三方：密钥分发中心KDC，密钥转换中心KTC；拉模型，推模型；密钥交换协议：Diffie-Hellman算法公开密钥分配：公共发布；公用目录；公约授权：公钥管理机构；公钥证书：证书管理机构CA，目前最流行密钥存储：公钥存储私钥存储：用口令加密后存放在本地软盘或硬盘；存放在网络目录服务器中：私钥存储服务PKSS；智能卡存储；USB Key存储2.2认证技术产生认证码的函数：消息加密：整个消息的密文作为认证码消息认证码（MAC）：利用密钥对消息产生定长的值，并以该值作为认证码；基于DES的MAC算法哈希函数：将任意长的消息映射为定长的哈希值，并以该哈希值作为认证码身份认证系统：认证服务器、认证系统客户端、认证设备系统主要通过身份认证协议（单向认证协议和双向认证协议）和认证系统软硬件进行实现认证手段：静态密码方式动态口令认证：动态短信密码，动态口令牌（卡）USB Key认证：挑战/应答模式，基于PKI体系的认证模式生物识别技术认证协议：基于口令的认证协议，基于对称密码的认证，基于公钥密码的认证2.3访问控制技术访问控制模型：自主访问控制（DAC）：访问矩阵模型：访问能力表（CL），访问控制表（ACL）；商业环境中，大多数系统，如主流操作系统、防火墙等强制访问控制（DAC）：安全标签：具有偏序关系的等级分类标签，非等级分类标签，比较主体和客体的安全标签等级,，访问控制安全标签列表（ACSLL）；访问级别：最高秘密级，秘密级，机密级，无级别及；Bell-Lapadula模型：只允许向下读、向上写，保证数据的保密性，Biba不允许向下读、向上写，保护数据完整性；Chinese Wall 模型：多边安全系统中的模型，包括了MAC和DAC的属性基于角色的访问控制（RBAC）：要素：用户，角色，许可；面向企业，大型数据库的权限管理；用户不能自主的将访问权限授权给别的用户；MAC基于多级安全需求，RBAC不是集中访问控制：认证、授权、审计管理（AAA管理）拨号用户远程认证服务RADIUS：提供集中式AAA管理；客户端/服务器协议，运行在应用层，使用UDP协议；组合认证与授权服务终端访问控制器访问控制系统TACACS：TACACS+使用TCP；更复杂的认证步骤；分隔认证、授权、审计Diameter：协议的实现和RADIUS类似，采用TCP协议，支持分布式审计非集中式访问控制：单点登录SSOKerberos：使用最广泛的身份验证协议；引入可信的第三方。
cia第三部分信息技术知识点整理从操纵角度来看信息系统构成：1.一样操纵：治理操纵/系统实施操纵/运行操纵/软件操纵/硬件操纵/物理访问操纵/逻辑访问操纵2.应用操纵：输入操纵/处理操纵/输出操纵3.保证操纵：灾难复原与应急打算/环境操纵/设备来源操纵1.信息系统的战略、政策和过程1.1 信息系统的战略性应用目标：战略、政策、过程：通过应用信息系统，达到改进组织的目标、经营和服务或组织与环境的关系，从而关心组织改善与客户的关系，取得竞争优势。
战略性的应用系统渗透于业务层、企业层及行业层面。
1.2 信息系统的应用推动组织结构变革：自动化/流程合理话/业务流程再造/异化。
1.3 信息系统应用模式的演变：主机/终端模式——客户机/服务器模式——扫瞄器/服务器模式与信息应用模式相关的问题：降型化/开放系统/遗产系统。
1.4 信息系统的功能分类：✓作业层（事物处理系统TPS）：差不多交易活动，常规问题✓知识层（知识工作系统KWS/办公自动户化系统OAS）：知识职员、数据职员✓治理层（治理信息系统MIS/决策支持DSS）：中层经理，行政事务✓战略层（高级经理支持系统ESS）：高层经理，战略问题1.5 信息系统部门的职责系统开发小组（系统分析员是联络的桥梁、设计、编程、测试）——系统运行小组（确保正常运行/关心平台、咨询）。
1.6 信息系统安全主管的责任信息系统高层治理人员的职责：评估风险/操纵成本/制定风险操纵目标与措施信息安全主管的职责：制定安全政策/评判安全操纵/检测调查不成功的访问妄图/监督特权用户的访问，保证用途。
1.7 新兴技术——人工智能：✓专家系统（商品赊销的审批、医疗专家系统）：通过猎取人类专家在某一领域的体会和知识，利用推理模型来给出建议。
专家系统能够使客户服务工作更容易进行。
✓神经网络（超音速飞机的操纵系统、电力系统负荷推测）：在被人类告知其决策错误及答案后，能修改期知识库。
✓模糊逻辑（人像识别系统）：处理模糊数据。
✓遗传算法（煤气管道操纵、机器人操纵）：不断完善对特定问题的解决方案。
✓智能代理（互联网搜索引擎、电子邮件过滤器）：解决特定的、重复的、可预见的问题，内设知识库。
1.8 第三方服务机构的角色✓设备治理机构（服务）——按用户要求运行、爱护数据处理✓运算机租赁公司（设备）——只提供设备✓服务局（服务加设备）——治理运行自己的数据处理设备，用户只需求提供数据，依照服务结果付费✓共享服务商（服务加设备）——治理运营自己的数据处理设备、使各类组织能够使用他们的系统2.硬件、平台、网络与远程通讯2.1 各种运算机媒体：✓磁带（容量大、价格低顺序储备✓磁带库（容纳多盘磁带、机械臂抓取）✓软盘（直截了当存取、便于携带）✓硬盘（直截了当存取、速度快、容量大）✓廉价冗余磁盘阵列/廉价光盘重复排列（重构数据、容错能力强）✓CD-ROM（储存数字文件容量大、廉价、不能写入）✓光盘库（容纳多个光盘）✓一次写多次读光盘（WORM 适用不须更新、记录内容）。
2.2 运算机类型：个人运算机/工作站/网络运算机。
2.3 各类运算机外部设备：不间断电源/光学字符识别/打印机/扫描仪/绘图仪/条码阅读器。
2.4 外部接口：串口/并口/USB口。
2.5 操作系统：分配、调度、监视系统资源，保证雇员只对被授权的数据进行读写访问DOA/UNIX/VMS。
2.6 监视器：辨别硬件的瓶颈和软件设计问题/调整运行负荷/发觉网络反应时刻恶化情形。
2.7 图形化用户接口：用鼠标点击图形来输入命令如WINDOWS。
2.8 大型运算机的使用：阻碍大型运算机运行速度的因素有：✓应用软件的是设计效率✓数据库治理软件的效率✓数据的结构网络容量及传输速度✓系统负荷✓储备器容量✓安全检查及备份的频率✓软件初始化选择的正确性。
2.9 个人运算机与大型运算机的接口：通过局域网连接、口令登陆✓终端仿确实风险：✓雇员利用微机谋取私利✓备份不充分✓拷贝供个人使用✓储存登录序列的文献✓任何能访问PC机的人员都能够访问主机。
2.10 运算机网络的分类：广域网（覆盖广、速度慢）/局域网（范畴小、速度快）/城域网（都市内部高速网）✓广域网：专用网络/虚拟专用网/公用交换网络/增值网✓局域网：总线网/星型网/环型网或者分为：基于服务器的网络/对等网。
2.11 网络连接设备：网卡/调制解调器/中绩器/集线器/网桥/网关/路由器。
2.12 因特网：资源无限缺点：难以定位最好的资源功能：网络扫瞄器WEB/电子邮件EMAIL/远程登录TELNET/专题论坛USENET/电子公告牌BBS/其他。
2.13 数据传输模式：✓异步传输（利用额外的启动位与停止位同步数据传输/慢，有间隔）✓同步传输（同步时钟同步数据传输，快、可连续传输）各种基础通信网络：公用交换网（拨号上网）/DDN数字数据网络/桢中继（降局域网和其他局域网连接，使不专门敏锐的数据传递）/综合服务数字网ISDN/非对称数字环线ADSL。
3.数据处理3.1 个人运算机软件：字处理软件/电子表格/图象处理软件/财务治理/治理软件/光学字符识别软件。
3.2 程序执行方式：直截了当执行：语言程序（编译）——目标代码（连接）——可执行代码（执行）——程序运行说明执行：语言程序（由说明程序转换二进制玛）——程序运行。
3.3 语言类型：机器语言/汇编语言/过程化语言/非过程化语言。
3.4 文件类型：直截了当存取文件/顺序文件/索引文件主文件与事务文件/平面文件。
3.5 数据处理方式：批处理/在线处理集中处理/分散处理/分布处理。
3.6 常用运算机审计技术：✓测试数据（检查信息系统是否正常）✓平行模拟（模拟系统与真实系统比较结果）✓继承集成测试（虚构测试数据与真实数据一起处理，缺点：测试数据可能进入托付人的真实数据环境）✓嵌入审计模块（连续监督）✓其他技术（电脑化帐务处理系统自动平帐）。
3.7 数据库的类型：层次性数据库；网状型数据库；关系型数据库关系型数据库的操作：✓选择（条件选择出记录子集）✓连接（按某个共同数据元素结合多个关系型数据库✓映射（将数据库中的部分字段构成新的子表）修改✓锁定/死锁）。
3.8 数据库治理系统的组成✓数据定义语言：描述数据库内容与结构的语言（建立数据库表结构）✓数据操纵语言：修改、操作、插入、查询（提取数据的命令）✓数据字典：对数据结构的定义。
3.9 分布式数据库在各接点的分布方法：快照/复制/分割数据组织与查询：✓结构化查询语言（可不能对数据库产生风险）✓治理查询设施（用于趋势图、制作图表，无法检查数据有效性，可提供在线信息）✓逻辑视图（从一个或多个数据库表中生成新的数据结构，直观）✓数据挖掘（分析，发觉隐藏在数据后的规律）。
3.10 电子资金转帐系统（EFT）风险：✓未经许可的进入和操作✓对交易的重复处理✓缺乏备份和复原能力未经授权的访问和交易活动风险最大优势：✓交易处理成本比手工低✓改善与贸易伙伴的业务关系✓减少数据错误✓提高工作效率EDI（电子数据交换）✓实施第一步：画出未实现组织目标所开展的经营活动的流程图✓目标：改善业务关系，提高竞争力✓EDI的风险：✧数据完整性的丧失和随意存取数据是EDI的固有风险✧数据传输可能在传输的起点、中途和重点被拦截或修改——数字签名技术✧数据交换过程中的遗漏、错序或重复——给EDI文件顺序编号✧向交易伙伴传输交易信息有时不成功——通过对方的反馈来确认4.系统开发获得和爱护4.1 系统开发方法：✓系统开发生命周期法（系统、规范、严密）✓（快速）原型法（不断修改直至中意，缺点，不系统，不正规）✓面向对象的开发方法（依照需求）4.2 系统开发的要紧活动：系统分析——系统设计——系统编程——测试——转换——系统爱护✓系统分析：✧要解决问题的分析✧用户分析和系统可行性分析✧系统分析员是信息系统和其他业务部门联系桥梁✓系统设计：✧逻辑设计✧物理设计✓系统编程：✧将设计规格书转化成运算机软件代码的过程✓测试：✧模块测试✧系统测试✧验收测试✓转换：✧平行转换✧直截了当转换✧试点转换✧分时期的转换在软件需求与设计时期审计师关注点：✓需求时期安全需求是否完备，能否保证信息系统隐秘、完整、可用，是否有足够的审计踪迹✓审计设计时期检查安全需求是否有足够的操纵已集成到系统定义和测试打算中，连续性在线审计功能是否集成到系统中✓在系统设计时期的基线上是否建立变动操纵✓检查相关文档是否齐全4.3 内部审计师对信息系统开发的参与参与方式：连续参与开发/在系统开发终止时参与/在系统实施后参与连续参与的好处：最大限度地降低系统重新设计的成本4.4 系统爱护与变动的操纵：✓程序变动操纵：✧经治理层批准✧经全面测试并储存文档✧必须留下何人、何时、何事的线索✓修改软件的风险：✧使用未经审查、测试的修改软件，使被处理信息的可靠性减弱4.5 最终用户开发的风险✓系统分析功能被忽略✓难集成✓系统内产生专用信息系统✓缺乏标准和文档，使用和爱护都依靠开发者✓缺乏监督，失去数据一致性4.6 降低最终用户开发的风险：✓成立信息中心✓集中系统开发专家对用户进行培训✓提个开发工具与指导，协助建立质量标准✓信息中心直截了当参与系统分析与设计✓对终端用户开发的审计（确定终端用户开发的程序——对应用程序进行风险排序——对操尽情形进行文件处理与测试）4.7 软件许可问题：✓使用盗版软件的危害（违法/易感染病毒）✓防止使用非法软件的方法（建立制度/版权法教育/定期鉴别/储存购买软件的原始记录/专人保管安装盘）✓非法软件的发觉（比较采购记录与可执行文件/比较序列号）5.信息系统安全5.1 常见攻击手段：黑客/堵塞/窃听/重演/诈骗/中断/病毒5.2 不同层次的信息系统安全操纵：一样操纵/应用操纵一样操纵：✓治理操纵：制定政策与程序/目标：职责分离✓系统实施操纵：开发实施过程中建立操纵点编制文档（各个环节）✓运行操纵：数据储备、运行规范化要求，例如在对不需要的文件要在授权条件下及时删除，治理系统操作、性能监测、系统备份、审计日志✓软件操纵：未经许可不得修改、在独立的运算机上测试所有的要进入生产环境的软件✓硬件操纵：保证正常运行：回拨检测、奇偶校验✓访问操纵（重点）：标识/口令/授权/访问日志/自动注销登录/回拨/对工具软件的限制✓物理设备操纵：防止对物理设备的非授权接触的操纵一样操纵更为基础，阻碍应用操纵CIA在审查一个应用系统的应用操纵时应第一确认该系统差不多建立完善的一样操纵。
5.3 访问操纵的类型：✓标识（唯独确定用户身份）✓口令（弱操纵）✓授权（建立访问操纵表预防未经授权访问修改敏锐信息，知必所需）✓访问日志（检测性操纵措施）✓回拨（爱护信息按指定路径传送）✓自动注销登录（防止通过无人照管的终端来访问主机敏锐信息）✓对工具软件的限制5.4 加密和解密——算法和密钥——加密密钥和解密密钥——公钥和私钥——数字证书——数字签名——认证中心✓对称密码体制，DES✓非对称密码体制，RSA5.5 电子邮件的安全操纵：✓禁止用EMAIL发送高度敏锐或隐秘信息✓加密✓限使用数量✓工作终端的商用电子邮件储存备查✓保密性电邮不能储存在邮件服务器中✓离职雇员的电邮应该保留备查✓在安全程度不同的地点有几个人同对负责治理的电邮安全性✓归档和分级治理。
