CISP0301信息安全管理基础与管理体系_v3.0

。
加密技术应用场景
包括网络通信、数据存储、身 份认证等领域。
2024/1/30
20
数据备份恢复策略制定
数据备份策略
根据数据类型、重要性等因素 制定备份周期、备份方式等。
2024/1/30
数据恢复策略
确保在数据丢失或损坏时能够 及时恢复，包括定期演练恢复 流程。
备份恢复技术选择
根据实际需求选择适合的备份 恢复技术，如磁带、磁盘、云 备份等。
2024/1/30
28
操作系统安全配置优化建议
最小化安装
在安装操作系统时，仅安 装必需的服务和组件，降 低系统被攻击的风险。
2024/1/30
安全补丁管理
定期更新操作系统安全补 丁，修复已知漏洞，提高 系统安全性。
账户和权限管理
严格控制操作系统账户权 限，避免使用root或管理 员权限运行应用程序，采 用最小权限原则。
信息安全管理
包括信息安全管理体系建设、信息安全风险管理、信息安全策略制 定和实施、信息安全审计和监控等方面的内容。
32
复习方法分享和备考技巧指导
系统学习
建议考生参加专业的CISP认证培训 课程，系统学习信息安全工程及管理 相关知识和技能。
阅读教材
认真阅读CISP认证考试指定教材， 深入理解各个知识点和概念。
，如SQL注入、跨站脚本等。
输入验证和输出编码
对用户输入进行严格的验证和过滤，防止 注入攻击；对所有输出进行编码，防止跨
站脚本攻击。
2024/1/30
会话管理安全
实施安全的会话管理机制，包括使用强随 机数生成器生成会话ID、定期更换会话密 钥、限制会话生存时间等。
最小权限原则
遵循最小权限原则，为每个应用或服务分 配所需的最小权限，减少潜在的安全风险 。

20
第二十页，共99页。
信息系统安全工程实施过程
信息系统安全工程师、系统工程师、用户/用户代表
发掘信息 保护需求
确定系统 安全要求
设计系统 安全体系
结构
开发详细 安全设计
实现系统 安全
评估信息保护有效性
支持认证和认可
21
第二十一页，共99页。
信息系统安全工程ISSE
发掘信息保 护需求
确定系统安全 设计系统安 开展详细安 实施系统安
高 风
低 风
完全不同的
险
险
31 第三十一页，共99页。
确定系统安全要求
A省
B省
同样部署在省级单位的**系统数据库，在A省采用汇聚交换机，集中
管理方式；在B省采用直连核心交换机，分散管理方式。两种不同的
部署方式，也使得其面临的风险迥异
32
第三十二页，共99页。
确定系统安全要求
❖ 综上，从信息安全工程/保障的角度定义或描述信 息系统时，应以保障业务安全的思想为基础，清 楚认识业务安全风险以及为业务提供服务/支撑的 信息系统的安全风险，从而科学、全面地认识信 息系统及其安全属性。
规划 计划
系统开发 制造
安装
运行
明系 系 系 最 决 实
确统 统 问指 综 题标 合
统 分 析
优 化
策
施 计 划
设
计
更新
10
第十页，共99页。
项目管理
❖ 所谓项目管理，就是项目的管理者，在有限的资 源约束下，运用系统的观点、方法和理论，对项 目涉及的全部工作进行有效地管理。
❖ 项目管理是系统工程思想针对具体项目的实践应 用。
❖ ISO9000族标准在以下四个方面规范质量管理

中国最庞大的下载资料库
目录
一． 信息安全培训业务介绍

信息安全培训业务现状 美国政府部委信息安全培训体系介绍 信息安全培训体系介绍
二． CISP知识体系介绍

注册信息安全专业人员（CISP）介绍 CISP知识体系大纲介绍
中国最庞大的下载资料库
二． CISP知识体系介绍

注册信息安全专业人员（CISP）介绍 CISP知识体系大纲介绍
组织机构信息安全人才体系战略
信息安全保障专家
信息安全专业人员 （信息安全相关的岗位和职责） 计划 开发 运行 废 实施 组织 采购 维护 弃 交付 信息安全从业人员 （信息系统相关的岗位和职责） 安全基础和安全文化

构建全面的信息安全人才体系的需求
是国家政策的要求 是组织机构信息安全保障建设自身的要求 是组织机构人员自身职业发展的要求

我国信息安全从业人员素质现状分析
从数量上看，信息安全从业人员数量同实际需求存在巨大缺口。 信息安全人才需求不断增加 培养来源：由高校学历教育以及以各种专业注册培训为核心、辅以各种职 业技能培训的社会培训组成。 信息安全从业人员的数量同社会实际需求仍存在巨大缺口。 从质量上来看，高端信息安全人才，特别是信息安全管理人才以及信息安全 高层次和综合性人才严重缺乏 从行业领域上，信息安全从业人员主要集中在政府、金融、电信等信息化发 达的行业领域以及信息安全专业公司中 根据对上千名注册信息安全专业人员（CISP）的分析，其中38%的专业 人员来自安全厂商，20%来自金融领域，26%来自税务、海关和部委等政 府机构，8%来自电力和电信领域，4%来自于测评机构，其他占4%。 从信息安全从业人员更多集中在技术领域，而且主要偏向于具体产品的研 发、技术支持和维护。 信息安全从业人员在组织机构中的地位开始得到显著提高，正逐渐从单纯的 技术支持进入到组织机构技术决策和风险管理的角色。

❖ 风险评估主要对ISMS范围内的信息资产进行鉴定和估 价，然后对信息资产面对的各种威胁和脆弱性进行评 估，同时对已存在的或规划的安全控制措施进行界定
❖ 信息安全管理体系的建立需要确定信息安全需求 ❖ 信息安全需求获取的主要手段就是安全风险评估 ❖ 信息安全风险评估是信息安全管理体系建立的基础，
没有风险评估，信息安全管理体系的建立就没有依据
14
信息安全管理的作用
信息系统是人机交互系统 应对风险需要人为的管理过程
设备的有效利用是人为的管理过程
15
信息安全管理的作用
❖ 如今，信息安全问题已经成为组织业务正常运营和持续发 展的最大威胁
❖ 信息安全问题本质上是人的问题，单凭技术是无法实现从 “最大威胁”到“最可靠防线”转变的
❖ 实现信息安全是一个多层面、多因素的过程，也取决于制 定信息安全方针策略标准规范、建立有效的监督审计机制 等多方面非技术性努力
❖解决信息安全问题，成败通常取决于两个因素，一个是技
术，另一个是管理
❖安全技术是信息安全控制的重要手段，但光有安全技术还
不行，要让安全技术发挥应有的作用，必然要有适当的管 理程序，否则，安全技术只能趋于僵化和失败
❖说安全技术是信息安全的构筑材料，信息安全管理就是粘
合剂和催化剂
❖技术和产品是基础，管理才是关键 ❖产品和技术，要通过管理的组织职能才能发挥最佳作用
24
信息安全管理的作用
❖统计结果显示，在所有信息安全事故中，只有20%~30%是由
于黑客入侵或其他外部原因造成的，70%~80%是由于内部员 工的疏忽或有意泄密造成的
❖统计结果表明，现实世界里大多数安全事件的发生和安全
隐患的存在，与其说是技术原因，不如说是管理不善造成 的