《CISP知识体系大纲20正式版》由会员分享，可在线阅读，更多相关《CISP知识体系大纲20正式版（48页珍藏版）》请在金锄头文库上搜索。
1、注册信息安全专业人员（CISP）知识体系大纲版本：2.0 正式版中国信息安全测评中心目录前言 3第1章注册信息安全专业人员（CISP）知识体系概述41.1 CISP 资质认定类别 41.2 大纲范围 41.3 CISP 知识体系框架结构51.4 CISP（CISE/CISO）考试试题结构7第 2 章知识类：信息安全保障概述 92.1 知识体：信息安全保障基本知识92.1.1 知识域：信息安全保障背景92.1.2知识域：信息安全保障原理102.1.3知识域：典型信息系统安全模型与框架102.2知识体：信息安全保障基本实践112.2.1 知识域：信息安全保障工作概况112.2.2知识域：信息系统安
2、全保障工作基本内容 11第 3 章知识类：信息安全技术 133.1 知识体：密码技术 133.1.1 知识域：密码学基础143.1.2知识域：密码学应用143.2知识体：访问控制与审计监控 153.2.1 知识域：访问控制模型163.2.2知识域：访问控制技术163.2.3知识域：审计和监控技术 173.3知识体：网络安全 173.3.1 知识域：网络协议安全173.3.2知识域：网络安全设备183.3.3知识域：网络架构安全183.4知识体：系统安全 193.4.1 知识域：操作系统安全193.4.2知识域：数据库安全203.5知识体：应用安全 213.5.1 知识域：网络服务安全213.5
3、.2知识域：个人用户安全223.5.3知识域：恶意代码 223.6知识体：安全攻防 233.6.1 知识域：信息安全漏洞 233.6.2 知识域：安全攻防基础 243.6.3 知识域：安全攻防实践 243.7 知识体：软件安全开发 253.7.1 知识域：软件安全开发概况 253.7.2 知识域：软件安全开发的关键阶段 25第 4 章知识类：信息安全管理 274.1 知识体：信息安全管理体系 274.1.1 知识域：信息安全管理基本概念 274.1.2 知识域：信息安全管理体系建设 284.2 知识体：信息安全风险管理 294.2.1 知识域：风险管理工作内容 294.2.2 知识域：信息安全
4、风险评估实践304.3 知识体：安全管理措施 314.3.1 知识域：基本安全管理措施 314.3.2 知识域：重要安全管理过程 33第 5 章知识类：信息安全工程 355.1 知识体：信息安全工程原理 355.1.1 知识域：安全工程理论背景 355.1.2 知识域：安全工程能力成熟度模型 365.2 知识体：信息安全工程实践 375.2.1 知识域：安全工程实施实践 375.2.2 知识域：信息安全工程监理 38第 6 章知识类：信息安全标准法规 396.1 知识体：信息安全法规与政策 396.1.1 知识域：信息安全相关法律 396.1.2 知识域：信息安全国家政策 406.2 知识体：
5、信息安全标准 416.2.1 知识域：安全标准化概述 416.2.2 知识域：信息安全评估标准 416.2.3 知识域：信息安全管理标准 426.2.4 知识域：等级保护标准 426.3 知识体：道德规范 436.3.1 知识域：信息安全从业人员道德规范436.3.2 知识域：通行道德规范 44前言信息安全作为我国信息化建设健康发展的重要因素，关系到贯彻落实科学发 展观、全面建设小康社会、构建社会主义和谐社会和建设创新型社会等国家战略 举措的实施，是国家安全的重要组成部分。在信息系统安全保障工作中，人是最 核心、也是最活跃的因素，人员的信息安全意识、知识与技能已经成为保障信息 系统安全稳定运行
6、的重要基本要素之一。注册信息安全专业人员（CISP）是对我国网络基础设施和重要信息系统的 信息安全专业人员进行资质评定的重要形式。多年来为落实我国有关政策“加快 信息安全人才培养，增强全民信息安全意识”的指导精神，构建信息安全人才体 系发挥了巨大作用。本大纲从我国国情出发，结合我国网络基础设施和重要信息系统安全保障的 实际需求，以知识体系的全面性和实用性为原则，明确规定了注册信息安全专业 人员应当掌握的知识要点，是 CISP 教材编制，讲师授课，学员学习，以及考试 命题的重要依据。本大纲包含以下章节：第1章注册信息安全专业人员（CISP）知识体系概述第2章知识类：信息安全保障概述 第 3 章知
7、识类：信息安全技术 第 4 章知识类：信息安全管理 第 5 章知识类：信息安全工程 第 6 章知识类：信息安全标准法规第1章注册信息安全专业人员（CISP）知识体系概述1.1 CISP 资质认定类别“注册信息安全专业人员”，英文 为 Certified Information Security Professional，简称CISP，系经中国信息安全测评中心认定的国家信息安全专 业人员，具备保障信息系统安全的专业资质。根据岗位工作需要，CISP分为两 个基础类别： “注册信息安全工程师，英文为Certified Information Security Engineer，简称CISE。证书持有
8、人员主要从事信息安全技术领域的 工作，具有从事信息系统安全集成、安全技术测试、安全加固和安全 运维的基本知识和能力； “注册信息安全管理人员” ，英文为 Certified Information Security Officer，简称CISO。证书持有人员主要从事信息安全管理领域的工 作，具有组织信息安全风险评估、信息安全总体规划编制、信息安全 策略制度制定和监督落实的基本知识和能力。“注册信息安全专业人员”在两个基础类别之上还有两个扩展类别： “注册信息安全专业人员-审计师”，简称CISP-AUDIT （原CISA）。 证书持有人主要从事信息安全审计工作，在全面掌握信息安全基本知 识技能的
9、基础上，具有较强的信息安全风险评估、安全检查实践能力。 “注册信息安全专业人员-灾难恢复工程师”，简称CISP-DRP。证书 持有人主要从事信息系统灾难恢复工作，在全面掌握信息安全基本知 识技能的基础上，具有较强的信息系统灾难恢复建设和管理的实践能 力。1.2 大纲范本大纲涵盖了 CISE和CISO两种CISP基础类别注册人员需要掌握的知识 要点。CISP-AUDIT 注册人员需要在本文规定的知识要点基础上，更加深入地掌握 有关信息系统审计和风险评估的知识，有关内容将在 CISP-AUDIT 专门的知识 大纲中进行介绍，而不在本大纲范围内。CISP-DRP 注册人员需要在本文规定的知识要点基础
10、上，更加深入地掌握有 关信息系统灾难恢复工作的知识，有关内容将在 CISP-DRP 专门的知识大纲中 进行介绍，而不在本大纲范围内。1.3 CISP 知识体系框架结构CISP 知识体系使用组件模块化的结构，包括知识类、知识体、知识域和知 识子域四个层次。知识类：是对信息安全保障知识领域的总体划分，包含信息安全专业 人员需要掌握的五大知识类别； 知识体：是知识类中由属于同一技术领域的知识内容构成的相对独立、 成体系的知识集合； 知识域：是对知识体进一步分解细化形成的完整的知识组件； 知识子域：是构成知识域的基本模块，由一至多个具体知识要点构成。本大纲规定了知识子域中每一个知识要点的内容和深度要求
11、，分为“了解”、 “理解”、和“掌握”三类。 了解：是最低深度要求，学员只需要正确认识该知识要点的基本概念 和原理； 理解：是中等深度要求，学员需要在正确认识该知识要点的基本概念 和原理的基础上，深入理解其内容，并可以进行进一步的判断和推理； 掌握：是最高深度要求，学员需要正确认识该知识要点的概念、原理， 并在深入理解的基础上灵活运用。图 1-1 描述了 CISP 知识体系的结构：图1-1： CISP知识体系的组件模块结构在整个注册信息安全专业人员（CISP）的知识体系结构中，共包括信息安 全保障概述、信息安全技术、信息安全管理、信息安全工程和信息安全标准法规 这五个知识类，每个知识类根据其逻
12、辑划分为多个知识体，每个知识体包含多个 知识域，每个知识域由一个或多个知识子域组成。CISP 知识体系结构共包含五个知识类，分别为：信息安全保障概述：介绍了信息安全保障的框架、基本原理和实践， 它是注册信息安全专业人员首先需要掌握的基础知识。 信息安全技术：主要包括密码技术、访问控制、审计监控等安全技术 机制，网络、系统软件和应用等层次的基本安全原理和实践，以及信 息安全攻防和软件安全开发相关的技术知识和实践。 信息安全管理：主要包括信息安全管理体系建设、信息安全风险管理、 具体信息安全管理措施等同信息安全相关的管理知识和实践。 信息安全工程：主要包括同信息安全相关的工程知识和实践。 信息安全
13、标准法规：主要包括信息安全相关的标准、法律法规和道德 规范，是注册信息安全专业人员需要掌握的通用基础知识。图 1-2 描述了 CISP 知识体系结构注册信息安全专业人员（CISP）知识体系结构信息安全 保障概述信息安全技术信息安全 标准法规信息喪全保隆基本知识密码技术访问控制审计 监控网峯安全系统安全应用安全安全攻防软件宾全开发信息安全 探障基本 实践安全管:凤险偵安全工程理体秦管理皐原理安全管理措施1J聿安全工程 吉.实践道徳规范4图1-2： CISP知识体系结构框架1.4 CISP （CISE/CISO）考试试题结构CISP 考试题型均为单项选择题，共100 题，每题 1 分，得到 70
14、分以上（含 70 分）为通过。CISP两种基础类别“注册信息安全工程师”（CISE）和“注册信息安全管 理人员”（CISO）的注册人员都需要学习和掌握CISP知识体系结构框架中的 所有内容。由于两种注册证书持有人的工作岗位和工作领域的不同，考试的侧重 点有所区别，因此，所对应的试题比例不同。表 1-1 中描述了 CISE/CISO 考试的各知识类的比例。一-CISP资质类型知识类别CISECISO信息安全保障概述10%10%信息安全技术50%30%信息安全管理20%40%信息安全工程10%10%信息安全标准和法律法规10%10%表 1-1： CISP(CISE/CISO)试题结构第 2章 知识类：信息安全保障概述信息安全保障体系概述介绍了信息安全保障的框架、基本原理和实践，它是注册信息安全专业人员首先需要掌握的基础知识。通过本部分的学习，学员应当： 理解信息安全保障的意义和内涵；掌握信息安全保障工作的总体思路和基本实践方法。2.1 知识体：信息安全保障基本知识典型信息系统 安全模型与框型知识休知识域和识F域信息保障技术眶架(IATF)1 T P2DR模型IJIr信息安金的内涵与外延信息安全,保障原理信息安全 U 保障基本知识iS信息安全保障休系信息安全问题产主根源信息技术发展阶段倍息安金发展阶段佶息安全 保障捋杲图2-1 :知识体：
