CISA 考试信息及课程结构

CISA 学习笔记

第一章 信息系统的审计流程  【开篇讲明 怎么审计 审计师应该如何开展工作】

第二章 IT 治理和管理  【后四章讲审什么  如何以审计师的视角 来看IT  信息系统 】

第三章 信息系统的购置开发和实施

第四章 信息系统的操作维护与支持 

第五章 信息资产的保护

第一章 信息系统的审计流程

1、信息系统审计的职能管理：

1.2 信息系统审计的职能管理

应当对审计职能进行管理和引导，在保持审计独立性和胜任能力的同时，确保审计组所实施完成的审计任务 能满足审计职能的目标要求。

职能管理本身是获取审计授权，我们开展审计工作的职责权限，要进行一个有效的定义和管理。开展审计工作是检查性的工作，要获得足够高的授权，工作会很难开展。

审计的两个基本特征：独立性和胜任能力，其中独立性强调职能的独立性，和技能的独立性。胜任能力就是要懂行。

• IS审计服务 可以由内部或外部提供。
• IS内部审计职能的角色应当由审计章程来确定。

审计章程应该清楚地阐明管理层对于IS审计职责的责任、目标和授权。最高管理层和审计委员会应该批准章程。[章程是获得授权有力工具。]

审计项目委托书，是针对具体项目一事一议的授权，章程是整体的授权。

1.2 信息系统审计资源管理

最重要的资源是审计师 人，审计师具有稀缺性；审计工具 进行证据获取、评价证据和分析证据。

1.2.3 审计计划

审计计划:包含审计目标以满足以及满足这些目标所需的审计流程。

制定短期计划、长期计划，每年对短期计划和长期计划进行Review。

长期计划主要考虑组织调整IT战略方针对IT环境造成的影响所带来的相关风险。短期计划主要考虑年度内所需实施的审计事项。

Review要点关注：新的体制问题、风险环境的变化、技术和业务流程、以及提高评估技术等。

单项审计计划的步骤：

• 了解业务使命，目标、目的和流程，包括信息和处理要求。如，可用性、完整性、安全和业务技术以及信息机密性。
• 找出相关规定，如：政策、标准和所需指南，规程以及组织要求。
• 实施风险分析，以帮助制定审计计划。
• 确定审计目标和审计范围
• 制定审计方法或审计战略
• 为审计事项分配人力资源。
• 落实项目后勤保障。

法律法规对信息系统审计计划的影响

如个人隐私保护 或跨国数据问题。

2、ISACA IS审计和鉴证标准及准则

IS审计和鉴证标准，ISACA标准委员会制定了3大类17个信息系统审计标准：

• 标准 主要定义对 IS 审计和鉴证以及报告的强制性要求
• 推荐性准则 更像是一本参考书，主要在 IS 审计和签证标准的应用方面提供指导。
• ISACA 开发的工具和技术，更像是一个checklist， 主要提供 IS 审计师可在审计项目中遵循的的流程实例

3、风险分析

风险是特定威胁利用资产的脆弱性，而对组织造成损害的可能性。
风险分析是审计计划的一部分，帮助IS审计师识别风险和脆弱性，评估现有的控制措施， 然后把这些风险给排个序，要重点要解决的，危险度高的，优先解决它，进行风险处理。
风险评估的过程：①识别业务目标、②识别信息资产、③进行风险评估、④进行风险减缓、⑤进行风险处置

风险处理的几种手段：降低风险、接受风险、规避风险、转移/分摊风险

风险评估是要定期review的，进行持续改进。实际审计过程中，一般使用专家分析法 或者管理层指导。

4、内部控制

内部控制通常由政策、流程、实践和组织结构组成; 组织为了降低风险、保护其资产的安全性，会计资料的准确性和可靠性，提高经营效率以及贯彻执行其规定的管理方针，而在组织内部采取的i系列制度、策略、方法及程序。
控制措施包括：预防性（事先）、检测性（事中）、纠正性（事后）3种。
哈希汇总，在信息传输中 加入一个哈希值，其实并不能防止数据被篡改，但是通过哈希监测，可以知道数据被篡改了 重新传说，这就是检测性的措施。

审计师关注的重点，就是关注内部控制是否存在，控制是不是设计的有效和合理的，是不是执行的良好。如果三块都做的很好，那么我们认为风险是比较小的；如果有一个部分做的不好，那么要考虑做独立的审计，来不断的完善体系，保障顺利运行。

 Cobit 5 关于IT治理 内部的控制框架。 是用于治理、控制和鉴证信息及其相关技术的领先框架

5、实施IS审计

5.1 审计是指有胜任能力的独立机构或人员接受委托或授权，对特性经济实体的可计量的信息证据，进行客观地收集和评价，以确定这些信息与既定标准的符合程度，并向利益相关者进行报告的一个过程。

满足利益相关者需要:企业的存在就是通过在实现收益、优化风险和运用资源之间维持 一种平衡,从而为其利益相关者创造价值。

审计工作的核心工作就是：收集证据、评价证据。 收集证据之后 进行分析，（现状）与相关法律法规之间的符合程度，发现缺陷，然后报告。

（审计过程要求 IS 审计师收集证据、基于收集的证据通过审计测试来评估控制的优点和弱点, 然后准备向管理层提供一份审计报告,客观的叙述这些问题 ）

一般IT的审计包括两类：ITGC （General）一般控制的设计 和 ITAC(application)应用控制的审计。可以单独审计或二者结合。

• ITGC IT内部的运营流程，比如 SDLC的研发流程，按ITAL建立的运维流程，物理、逻辑访问控制，机房啊。
• ITAC 应用控制中 关注业务流程中的要求，比如参数控制，审批控制。

5.2 审计程序 是审计策略和计划，说明了审计范围、目标和步骤，使用这些步骤可以获得充分、相关和可靠的证据 以得出并支持审计结论和意见。

实施审计工作的一般程序，通常包括以下基本步骤。

• 获取并记录对审计领域或审计对象的了解。 [首先 我们要对被审计领域（审计对象） 进行充分的了解。我们到底审什么（审计范围），在它的审计范围内考虑:它的固有风险有哪些、关键控制有哪些、它的组织流程、交易环节、业务流程是什么、]
• 风险评估和总体审计计划及进度
• 详细审计计划
• 初步检查审计领域或审计对象
• 评估和验证控制设计符合控制目标的适当程度。
• 符合性测试（ 测试控制的实施情况及其运行可靠性）
• 实质性测试（确认信息的准确性）
• 报告（沟通结果）
• 内部审计职能的追踪活动。

审计目标：明确审计目标 通过风险分析 用有限的人力，去做重点的事项。
符合性测试：是为了测试组织对控制程序的符合性而收集证据。是对信息系统中内部控制的存在性、有效性及控规程序编写方法的合规性进行核实，并得出相应审计结论的一种测试方法。（控制是否存在，控制是否有效）

实质性测试：是为了评价交易、数据或其他信息的完整性而收集证据。实际处理的完整性，验证财务报表数据交易相关交易的有效性和完整性。（验证控制是否执行，以及实际执行的偏离情况 来判风险大小及报告层级）

审计人员应根据符合性测试的结果来确定实质性测试的范围。一般来说，符合性测试表明内控可靠性高，实质性测试范围小；反之，实质性测试范围就大。

5.3【测试和评估的手段】

IT审计师必须了解测试和评估信息系统控制的程序，包括：

• 使用通用审计软件调查数据文件的内容（包括系统日志）
• 使用专用软件评估系统数据库和应用参数文件的内容（或检查系统参数设置的不足）
• 使用流程图记录自动化应用系统和业务流程
• 使用操作系统或引用程序内置的审计日志或审计报告
• 文档检查
• 询问和观察
• 走查
• 对控制执行穿行测试

1.5.7审计的风险可定义为：审计过程中未发现信息可能存在的重大错误的风险。

审计报告中 风险的种类

• 固有风险： 根据审计的流程/实体的风险等级，业务系统和OA系统一个风险等级高，一个风险影响低，我们可能会暂时放弃OA系统的审计，接受为固有风险；或假设在不存在相关的内部控制的情况下，发生重大错误或暴露的风险。[审计时 我们尽量往风险等级高的地方去]
• 控制风险： 存在内部控制制度，但无法通过内部控制系统及时防止或检测到的实质性错误。一般是失效的控制，需要加强控制
• 检测风险： 已经发生但因 IS 审计师由于采用了不当的程序，未能检测到的重大错误或误报。[审计师需要关注，努力降低此类风险]
• 整体审计风险： 对个别控制目标所评估出的各类审计风险的综合。

确定重大性（或重要性 Materiality ），是审计师一项职业判断，包括从整体上考虑由被审计领域的控制缺陷所导致的错误、疏忽、违规和非法行为对组织的影响。 "重大"一词，当与任何审计风险结合时，是指在问题程度上可被组织视为严重的错误。

IT审计师在采用基于风险的审计方法来评估内部控制时，应关注对问题事项重大性的评估。

比如，在财务审计中，有明确的线，比如超过10万元的账目错误是“重大问题”，需要向管理层汇报；小于10万元的问题，作为小归问题，在报告中列举。 IT审计的重大性，依赖审计师的判断。

5.5 审计证据

审计证据就是IT审计师 用于确定所审计实体或数据是否遵循既定标准或目标所使用的任何信息，审计证据用来支持审计结论，

评价审计证据可靠性的决定因素包括：

• 审计证据人员的独立性
• 提供审计信息或证据的人员的资格
• 审计证据的客观性（被审计者提供 和审计师自行提取的 客观性程度不同）
• 审计证据的时效性

国际会计师协会（IFAC）称之为：适当性(质量)、充分性(数量)

证据收集技术:检查组织结构、IS 政策和规程、IS 标准、IS 文档、访谈、观察、重新执行(提 所提供的证据通常优先于其他技术提供的证据)、穿行测试(用来确定对控制的理解的审计 技术)、走查

1.5.13 抽样：

用于时间及成本都不允许对既定总体中的所有事件进行全面审计时。总体是根据需要检查的全部事项，用于测试的总体的子集称为样本，抽样就是根据样本的特征来推断总体特征。

统计抽样和非统计抽样

统计抽样是审计师在计算正式抽样结果时采用统计推断技术的一种抽样方法，非统计抽样是审计师凭借主管标准和个人经验来评价样本结果并对总体作出评价。根本来说，统计抽样可以量化风险。

属性抽样:估计总体中某种特性的发生比率，一般用于符合性测试中估计属性的有无。

• 停走抽样:如果结果可接受则停止抽样,用于相信总体中只存在少量错误的情况。
• 发现抽样:错误发生率低的时候,用于发生舞弊、违法法规或其他非法行为的情况 。
• 固定样本抽样：比如10% 

变量抽样:分层单位平均估计抽样、不分层单位平均估计抽样、差额估计 ；一般用于实质性测试中估计总体的变化特征。

• 分层单位平均估计抽样
• 不分层单位平均估计抽样
• 差额估计抽样

 统计抽样中的一些术语： 置信系数、风险水平、精度、预期差错率、样本均值、样本标准差、可容忍差率、总体标准差。

置信系数:置信系数越大,样本量越大,如果内部控制很强大,则可降低置信系数。

使用其他审计师和专家服务

当审计师受限于胜任能力或者独立性原则，或人数规模时，可以将审计活动进行外包，前提条件如下：

1.5.15 计算机辅助审计技术:优势是能够通过连续在线审计技术提高审计效率

通用审计软件:数学计算、统计分析、顺序检查、重复性检查和复算、主要用于实质性 测试

 

1.6 审计报告

常考问题：当一个审计师 发现一个问题的时候 应该怎样做：
①先自省 发现是否足够充分 证据可以有效支撑发现； ② 观察补偿措施 
③ 评估发现的重要性，对这个组织是否是一个重要的问题 ④与被发现组织讨论确认。

• IT审计师应当评价控制的强度和缺陷，以确认它们是否满足审计计划中控制目标的要求
• IT审计师在报告控制缺陷之前，应该先检查补偿性措施
• 确定审计发现重大性的关键，是评估这些审计发现对各级管理层的重要性，评估中需要判断未针对审计发现采取纠正措施，可能发生的潜在影响。
• 与高管沟通审计结果前，IT审计师应该与被审计组织的管理人员讨论审计发现，目的是就审计发现达成一致，并制定整改行动计划。
• 当不能达成一致时，IT审计师应当详细地描述审计发现的重要性，及不纠正控制缺陷的风险和影响。【由 IS 审计师决定是否将特点结果包含在审计报告中 管理人员可以不立即将所有审计建议付诸实践】
• 审计报告是IT审计工作的最终成果，用于向管理层呈现审计发现和建议。
• 被审计管理层应当评价审计发现，陈述将要采取的整改措施及整改时间。

审计文档（常说的工作底稿）

• 审计文档是支持审计结论的证据，应当清晰、完整、易于检索和易懂。
• 审计文档通常属于审计实体的财产，只有已获得授权的人才能调阅，当外部组织需要调阅这些文档的时候，应该获得高级管理鞥或客户的批准。
• IT审计师或审计部门也应当制定保管、保留和发布审计文档的政策。

1.7 控制自评估 CSA 

CSA是在审计师资源有限的情况下，让控制执行者自己评价自己做的好不好。 用来对关键业务目标、实现目标所面临的风险及管理业务风险的内部控制进行检查的一系列正式的、书面的程序。

CSA有效么? 后面要跟上抽样审计（一把利剑），一旦被发现会面临更严厉的措置，所以一般来说有效。

控制自评估：常见形式是调查问卷、专题研讨会。

CSA不是替代审计的职责、是一种加强，可以帮助业务部门理解自己需要符合的情况，有助于发挥业务部门主观能动性。

审计师只是 CSA的推动者,管理人员才是具体实施者,传统审计只有审计师和咨询顾问对内部控制负责,CSA 的责任在管理人员

持续性审计可以更好的监控公司内部财务问题,从而确保实时交易也能得益于实时监控,防止出现金融诈骗和审计丑闻,持续性审计应该独立于连续控制或者检测活动 审计师可以通过嵌入式审计模块捕获预定义的事件或者直接检测异常或可疑的情况和交易。

常见的审计类型：

财务审计:评估组织财务报表的争取性,经常涉及到实质性测试 
运营审计:旨在评估给定流程或区域的内部控制结构,比如对应用控制或逻辑安全系统的 IS 审计
整合审计:结合了财务审计步骤和运营审计步骤；
管理审计:旨在对组织内与运营生产力的效率相关的问题进行评估
IS 审计:此过程会收集和评估相关证据,以确定信息系统和相关资源对资产进行了足够的保护、保持了数据和系统的完整性和可靠性、提供了可靠的相关信息
专业审计:属于一种 IS 审计,有许多专业的审查可以对者如第三方执行的服务等方面进行检验 
司法审计:专门针对发现、揭露和跟踪欺诈与犯罪行为的审计,主要目的是为执法部门和司 法当局进行审查提供证据 
持续审计:及时发现风险或控制缺陷,独立于持续控制或监控活动 
管理部门、审计师和审计委员会对检测和披露所有舞弊行为负有主要责任 

第二章 IT 治理和管理

公司治理是指已泄露组织的管理人员应该承担的职责和采取的做法,用以指明战略方向,从 而确保实现目标,恰当解决风险并合理利用公司资源 公司治理的目标:实现两个互相冲突的目标,即在法规要求和社会义务的限制范围内维持组 织的运营,同时利用一切可利用的机会提高利益相关者的价值

IT 治理即指葱利益相关者的利益出发管理 ITIT 资源的职责和职务,IT 治理是董事会和执行管 理部门的职责。IT 治理的关键因素:保持与业务战略一致,引导业务价值的实现 27001:属于一套最佳实践,可向各组织提供实施和维护信息安全程序方面的指导 ITIL:详细描述了关于如何实现成功的 IT 运营服务管理的实用信息

IT 平衡积分卡,属于流程管理评估技术,通过消费者满意度、内部流程以及创新能力方面的 措施对传统的财务评估进行评估

目标是建立管理层向董事会的报告途径,就 IT 战略目标在关键利益相关方之间达成一 致,证实 IT 的效果与价值,沟通 IT 绩效,风险和能力
IT 战略委员会:起草战略计划,董事会审批
IT 指导(督导)委员会:对重要 IT 项目进行审查,不涉及具体运行,审查短期计划
CMMI 是一种过程改进方法,可用于为项目、部门或整个组织内的过程改进提供指导 政策是一种高级别的文档,反应的是组织的企业理念,为确保政策行之有效,其内容必须简 介明确 安全政策必须经高级管理层批准并记录在案,并适时传达给所有员工,服务提供商以及业务 伙伴
可接受使用政策:说明公司的 IT 资源如何使用的有效的指南和规则,说明了允许用户使用 IT 系统做什么,不能做什么,违反规则时应该受到何种惩罚。 流程用于实现政策目标的书面记录的明确定义步骤,需要不断审查和更新流程 威胁因素利用薄弱环节而导致的结果被称为影响
风险管理的步骤:

  识别资产:对需要保护的信息资源或资产进行识别和分级
  评估与信息资源相关的威胁和脆弱性及可能性
  量化潜在的威胁的概率和对业务的影响
  评价现有的控制,或设计新的控制俩减低风险至可接受水平

定量的风险分析
资产价值( AV)×暴露因子( EF) =单一损失期望( SLE)
– 单一损失期望( SLE)×年发生比率( ARO) =年度损失期望( ALE)

人力资源管理
  交叉培训、强制休假、员工离职

职责分离控制:预防和阻止欺诈机恶意行为的重要方式,目标是通过识别补偿性控制来降低 或消除业务风险外包的目的是通过企业重组来实现业务流程和服务有意义的持续改善,从而 利用供应商的核心竞争力

绩效是用户和利益相关者所感知的服务,绩效优化是在指不对 IT 基础设施进行不必要 的额外投资的情况下将信息系统的生产力尽可能提高到最高水平

六西格玛是一种适用于 IT 的流程改进方法。目标是实施以测评为导向的策略,着重于改进流程和减少缺陷
KPI 是一种测评标准,用于在实现预期目标的过程中判断流程的执行情况,它是确定目

标是否能够实现的重要指标 访问控制决策的主要依据是公司政策和连个普遍认可的实践标准职责分离和最小特权 审计轨迹:可追踪交易流,确定谁能发起交易、发起时间、数据类型、字段、更新了那些文件
对账:最终用户的职责 异常报告:管理层处理,需要证据来证明例外情况已得到合理解决 组织/职能图:说明组织内部的责任分工和职责分离的程度 工作说明:定义了组织中所有职位的职能和责任。可以看出组织内部职责分离的程度 实现业务连续性/灾难恢复的目的是确保企业能够在中断期间继续提供关键服务,并能

使企业从灾难性的中断事件中恢复活动,BCP 主要是高级管理层的责任,因为他们负责保护 资产和维持组织的生存能力 恢复时间目标:在系统的不可用性严重影响到机构之前所允许消耗的最长时间 恢复点目标:数据必须被恢复以便继续进行处理的点,也就是所允许的最大数据损失量

IS 业务连续性计划应该和组织的策略一致,在组织中部署的各种应用程序系统的重要性取决 于业务性质以及每个应用对于该业务的价值
BIA 可以帮助组织确定特定应用的最大允许停机时间记忆可能损失的数据量 不是所有的系统都需要恢复策略

BCP 是最重要的改正性控制 发生任何触发事件后,应立即将所有相关事件告知安全专员或其他指定人员,此人应随即遵 循事先确定升级协议,随后可能启动恢复计划,如信息技术 DRP
BIA 用来评估关键流程以及确定时间范围、优先级、资源和相关性。即使在执行 BIA 之前已 完成风险评估
忠诚保险:涵盖由于员工不诚实或欺诈行为造成的损失 业务连续性测试的目的就是明确计划的开展情况记忆计划中需要改善的部分
BCP 计划的测试:

纸上演练:所有相关者参与,讨论服务中断后的后果及应对策略,在预备性演练之前 预备性演练:模拟灾难发生,在局部范围演练所涉及的 BCP 演练 全面演练:完全关闭业务运行,实施全面演练

维护 BCP 的责任通常在 BCP 协调人员身上

第三章 信息系统的购置开发和实施

业务案例通常从可行性分析中得到,其中包含确定是采用此业务案例的决策过程信息,如果 采用,将成为项目的基础 项目具有时限性,具有特定的开始日期和完成日期,特定的目标以及一系列交付内容 项目后审查:评估从项目管理过程中总结的经验教训,对项目的全面成功和对业务部门的影 响进行度量

业务风险包括新系统不满足 项目群:共同的目标、同一预算以及交错安排的时间表和战略紧紧联系在一起 项目组合是企业在规定的时间点所实施的所有项目,管理项目组合必须建立项目组合数据库 决策点(阶段关卡、终结点)业务案例将在这些决策点进行正式审查,以确保其仍适用 项目的时间背景应包括项目启动前的阶段和项目关闭后的阶段 项目需要清晰明确的结果,既具有明确性、可衡量性、可实现性和时限性,用于定义项目目 标的方法:目标细分结构

任务列表由要执行的与工作包相关的一系列活动组成 高级管理层:展现对项目的承诺并审批完成项目所需的资金 用户管理人员:审查和批准系统交付成果的定义和执行 项目督导委员会对所有交付成果、项目成本、和日程安排承担最终责任 质量保证人员:在各阶段期间和结束时审查结果和交付成果的人员,还负责确认操作是否符 合要求

软件规模度量使用单点估算(基于单个参数)完成
FPA 是根据输入、输出、文件、界面和查询的数量和复杂度对信息系统规模的度量 时间段管理是一种项目管理技术,用于在在相对短且固定的时间段内,使用预定的特点资源 定义和配置软件交付成果 瀑布模型及其变体通常会涉及生命周期验证方法,该防范可确保能够及早纠正潜在的错误而 不是在最终验收测试阶段才发现错误
最小的测试(单元测试)在编写程序后立即执行 系统测试检测系统结构规范,而最终用户验收测试则用于核对要求 应该在项目规划阶段的早起确定阶段和交付成果 可行性分析:明确定义需求并确定可以满足需求的备选方案 形成总体设计的重要工具是使用实体关系图 设计冻结:对用户需求逐项进行审查,并从时间和成本方面对其加以考虑 程序编码标准最大程度降低了因人员变动而导致的系统开发受挫、提供了有效使用系统所需 的材料,并且是高效进行程序维护和修改的必要条件 在线系统可以提高编程人员解决问题的能力,但在线系统也会因未经授权的访问而存在漏洞 逻辑路径监控器:可用来报告程序执行事件的顺序 内存转储:可用来提供某一时间点上内存内容的图片 自下而上:可以再完成所有程序之前开始,尽早发现关键模块中的错误 自上而下:今早看到实际运行中的系统,对系统的信心大幅度提升 通常大多数大型系统的用用程序测试遵循自下而上的测试方法(单元或者程序、子系统/集 成、系统) 接口或集成测试:评估将信息从区域传递到另一区域的两个或多个组件之间的连接情况 系统测试:确保共同构成的新系统或者改良系统各类修改程序、对象、数据库模式等正常运 行的一系列测试

负载测试:通过大量的数据来测试应用程序。以评估其在高峰期的性能 容量测试:确定应用程序可以处理的最大记录(数据)量 压力测试:确定应用程序可以处理的最大并发用户/服务数 性能测试:使用明确定义的基准比较系统与其他同等系统的性能

最终验收测试:在实施阶段进行 针对应用程序各方面技术执行的质量保证测试 针对应用程 各方面功能执行的用户验收测试
Beta 测试是测试的最后阶段,常常需要与外界接触 试点测试:针对系统的某些特点和预定方面执行的初步测试,不是要替代其他测试方法,用 于提供有限的系统评估。概念验证既属于早起试点测试 回归测试:重新执行部分测试方案或测试计划,确保相关改进或纠正措施未引入新的错误, 使用的数据应当与原来在测试中使用的数据相同 社交性测试:确认新系统或改良系统能否在目标环境中运行,并且不会对现有系统产生不利 影响

接力棒法是最适合用于转移知识的方案 培训计划必须在开发过程早期便开始 贮存库:可在项目开展过程中模拟迁移方案,还能够保证可追踪性

认证:评估机构根据信息系统中的管理标准以及操作和技术控制标准执行全面评估的流程 认可:官方管理决定,用以批准信息系统的运行 实施后审查的目标是评估和衡量项目对已业务有何价值,IT 审计师执行的实施后审查关注系 统开发和实施过程的控制方面

可扩展样式表语言:定义 XML 文档如何呈现
XML 查询:针对 XML 格式数据的查询
XML 加密:针对 XML 文档的加密、解密记忆数字签名 CA:作为公/私秘钥对的受信任提供方,证明真实性 认证实施细则:一套详细的规则,用于管理认证办法机构的运营 网络钓鱼和鱼叉式网络钓鱼属于电子方式的社会工程攻击,只有通过安全意识培训才能解决 对于 IS 审计师来说,最重要的是确认任何信用卡持有者信息是否存储在本地 POS 系统中, 任何存储在 POS 系统中的此类信息均应使用强加密方法进行加密 在图像系统中,扫描设备是图像文档的输入点,而是最重要的风险领域 专家系统:获取知识和个人经验、分享知识和经验、提高员工的工作效率和洗脚。高度重复 的任务实现自动化
BI 手机并分析信息来协助决策以及评估企业绩效
商业智能治理:确定为哪项 BI 活动提供资金,分配给活动什么优先级以及怎样衡量其投资 回报率 决策支持系统:支持通常用于业务目的的半结构化决策任务,审计原则是较少关注效率,更 注重效能 原型设计师设计和开发 dss 最流行的方法 原型设计可以为企业节省大量的时间和成本 快速应用开发可以使企业在减少开发成本和保障质量的同时更快的开发具有战略重要性的 系统 根据调用对象的超类的不同,两个或多个对象在执行时对消息有不同解释的能力成为多态性 基于组件开发的最大好处可以从商业开发人员那里购买到经过验证和测试的软件
基于 web 的应用程序开发:旨在在企业内部和企业间实现更容易、更有效的代码模块集成 SOAP 适合于能够理解 XML 的任何操作系统和编程语言 软件再工程师一个通过抽取并重复使用设计和程序组件来更新现有系统的过程 对于生产数据,编程人员不应具有写入、修改、或删除访问权限 编辑控制是一种预防性控制,在处理数据前在程序中使用

第四章 信息系统的操作维护与支持

服务水平管理的目的是保持和提高客户的满意度及提升交付给客户的服务质量 问题管理的目标是减少事故的数量和/或降低事故的严重程度,事故管理的目标是使受影响 的业务流程尽快恢复到正常状态 借助源代码管理员软件,工作人员还可以监控程序版本以及对象完整性的源代码是否得到妥 善保护 容量管理是对计算和网络资源的计划和监控,其目的是确保有效且高效地使用可利用的资源 参数对已确定系统的运行方式非常重要,因为参数允许根据不同的环境来自定义标准的软 件,确定控制在操作系统内如何发挥作用最有效的的方式是查看软件控制功能和参数 对于安全日志,存储在随后置于物理安全区域的可移动媒介,这点很重要

DBMS 能够提供用来创建和维护组织良好的数据库设置,主要功能功能包括减少了的数据冗 余、减低的访问时间和敏感数据的基本安全
层次数据库很容易进行执行、修改和搜索 关联数据库允许数据结构的定义、存储/检索操作和完整性限制,关系数据库的一个重要特 点就是使用了正规化规则,从而最大限度减低了各表中所需信息的总量

在 OSI 模型中,每层不仅与本地堆栈中的上下各层进行通讯,还与远程系统中的相同层进行 通信
表示层将传出数据转换为网络标准可接收的格式 令牌的用途是将消息/数据传给目标接受者时将自身附加于用户或设备 同步传输可以获得最大效率 异步传输发送开始和停止位来标记字节的开始和结束,效率较低,适合于字符和块模式传输 Ipsec 通道模式将对整个数据包进行加密,ipsec 传输模式进对包的数据部分进行加密 合法性和法律保护问题,以及数据的安全性和完整性是跨境传输主要关注的问题

DRP 的最终目标是对可能对人员以及将产品和服务交付到市场的运营能力产生影响的事故 给予回应以及符合法规要求
捕获数据:恢复之后需要输入在 RPO 中断期间发生的事务 鼓励数据:即使在输入增量数据以后,一些数据也仍然无法恢复

RTO 越小,容灾能力就越小,容灾是是指一段时间间隔,在此时间间隔范围内业务可承受 IT 关键服务的不可用性 中断窗口:组织可从故障发生的时间点一直等到关键服务/应用程序恢复的这一时间段 最后一英里电路保护:很多恢复设施均提供本地运营商 T1 或 E1、微波对本地通讯环路的同 轴电缆访问的冗余组合 应急管理团队:负责协调所有其他恢复/连续性/响应团队的活动,并制定关键决策,负责决 定是否激活 BCP

DRP 的关键因素在于能否获得足够的数据

第五章 信息资产的保护

信息安全管理系统是建立实施操作监控审查维护和改善各类组织信息安全政策流程准则和 相关资源的框架
计算机安全事故是指对计算机的应用处理造成不利影响的事件 信息资产所有者和数据所有者对所拥有的资产承担相应的所有权责任,其中包含执行风险评 估、选择可将风险降至可接受水平的适当控制以及承担剩余风险 要实现有效控制,需要获得信息资产的详细清单,有了这样的清单之后,才能对资产进行分 类,并确定要为各项资产实行的保护等级

中断攻击 当通过请求操作系统执行特定系统条用来进行恶意操作时,即发生中断攻击 对等计算的主要风险:当进行对等连接的计算机没有充分保护机制时,对等网络用户可以访 问未保护文件夹中的敏感数据 在执行具体的网络评估和访问控制审查工作时,应确定是否已掌握了所有接口点的相关信息 访问控制软件的用途在于防止未经授权的情况系下访问和修改组织敏感数据和使用系统关 键功能

误拒绝率:有权使用系统的个人被系统错误拒绝 误接受率:无权使用系统的个人被系统错误接受
通常回应事件最佳且 eer 最低的生物特征依次为手掌、手、虹膜、视网膜、指纹和声音 面部被认为是最自然、最友好的生物识别方法之一,速度快 易于使用,主要缺点是缺乏唯 一性 确保实现审计轨迹数据的完整性,使其不受到修改,使用数字签名或者使用仅可写一次的设备
审计精选工具:用于减少审计记录量以方便手动审查的预处理程序 趋势/差异检测工具查找用户或系统行为中的异常情况
攻击特征检测工具 查找攻击特征 如果违规的行为带有严重的企图,则应通知执行管理部门

访问控制命名约定是用来管理用户对系统的访问以及用户对计算机资源的访问/使用权限的 结构,可减少充分保护资源所需的规则数 可说明性:实体的操作必须能够唯一追踪到该实体
网络可用性:必须能够及时提供 IT 资源以满足任务要求或避免重大损失 隔离区或屏蔽子网防火墙 创建最安全的防火墙系统

神经网络 IDS 与统计模型类似,但增加了自学功能 数字签名可以确保:数据完整性、身份认证、不可否认性 通过加密技术无法保证重放保护,时间戳和文档哈希可以提供重放保护 数字签名和公钥加密极易受到中间人攻击,公钥基础架构对发送者数字签名和公钥的有效性 执行独立的验证

数字信封用于发送通过对称密钥加密的信息以及相关的密钥会话 数字认证的作用就是将密钥与个人身份相关联
CA 是网络上负责发行和管理用于对消息签名进行验证或加密的安全认证及公钥的机构,CA 证明公钥所有者的真实性 CA 负责在认证的整个生命周期对其进行管理 加密方法的安全性主要依靠密钥的保密性
防恶意软件既是预防性控制又是检测行控制 控制恶意软件传播的一个重要手段是在进入点检测恶意软件 为加强对电话系统和数据通信的保护,应使用 vlan 对 VOIP 的基础设施进行划分 使用边界会话控制器为 VOIP 通信提供安全功能 提高安全意识是一种预防性控制,也可以将其作为检测性措施,要确定计划是否有效,IS 审计师应予部分员工进行面谈,以判断他们的总体意识 在最终确认测试/约定范围之前必须获得管理人员的书面同意 烟雾检测器应位于整个设置中天花板的上方和下方,以及机房活动地板下方

 

学习计划 2019.07版

第一遍教材

2018.9 (4周) 全面阅读教材 理解概念与知识点 每日2-3小时
总学时40-60小时左右

第二遍教材

2018.10 (4周) 深入理解重点与难点并开始熟记 每日2-3小时
总学时30-50小时左右

第一遍习题

2018.11 (2周) 结合教材 深入理解题目 熟悉题目类型 每日2-3小时
总学时30-40小时左右

第三遍教材

201.11 (2周) 整体把握教材 扫清知识点 每日2-4小时
总学时20-40小时左右

第二遍习题

2018.12 (1周)按照考试要求每日4小时200道题 记下做错的题目以备考前回顾并重点学习 总学时20-30小时左右 不少于1000题

考前重点回顾

2018.12 (1周) 回顾重点与难点 总学时3-5天 放松身心 准备应考

 

学习计划 2019.08版

第一遍 视频

2019.08 用时 20H

第一遍 教材+官方习题册 按章节练习习题 1000道 

2019.09.17-30 预计用时40-60 

第二遍 视频+笔记 

2019.10.1-15  预计用时 40H

第二遍 刷题 刷题 刷题 2000+ 

考试预约 2019.10月底；