CBK1信息安全治理和风险控制教材(PDF 166页)

 安全术语和原则
 保护控制类型
 安全框架、模型、标准和最佳实践
 安全企业架构
 风险管理
 安全文档
 信息分类和保护
 安全意识培训
 安全治理
企业的目的是赚钱；非盈利组织为提供特定服务
Ø都不是为了安全策略
 组织面临的挑战
Ø盗取企业客户数据进行身份欺诈
Ø公司机密被外部和内部实体窃取，从事经济间谍活动
Ø系统被劫持用作僵尸网络，发送垃圾邮件和DDoS攻击
Ø公司资金被跨国有组织犯罪秘密抽取
Ø企业网站和系统被不断攻击而无法提供服务
 企业需要实践大量安全规则才能维护市场份额、
保护顾客和底线、远离法律责任、销售产品
 安全的核心目标，是为关键资产提供可用性、完
整性和机密性 (AIC三元组)
Ø每项资产所需的保护级别不同
Ø所有安全控制、机制和防护措施的实现都是为AIC中的一个或多个
Ø衡量所有风险、威
胁和脆弱性，以其中平衡一个或多个原则
 安全的核心目标，是为关键资产提供可用性、完
整性和机密性 (AIC三元组)
Ø每项资产所需的保护级别不同
Ø所有安全控制、机制和防护措施的实现都是为AIC中的一个或多个
Ø衡量所有风险、威胁和脆弱性，以其中平衡一个或多个原则
..............................