2013年cisa考試知識(shí)點(diǎn)變化總結(jié)講義

馬 匯哲科技資深講

?2013SPISEC技 PSC）致于 管、審、證方的訓(xùn)實(shí)研，以 流學(xué)指業(yè)SPSC為 ，于踐服質(zhì)的實(shí)，永。備 驗(yàn)五以培經(jīng)身年于 業(yè)具較的業(yè)訓(xùn)平豐的訓(xùn)強(qiáng)的續(xù)務(wù)隊(duì)為員決試認(rèn)作多培經(jīng)，培為服為實(shí)為個(gè)、內(nèi)第合伙提優(yōu)的訓(xùn)。SPISEC于2008年開始在業(yè)內(nèi)陸續(xù)組織多場(chǎng)專業(yè)知識(shí) 座和研討，持續(xù)發(fā)布多期專 文檔和學(xué)習(xí)形式 、書籍。SPISEC至今為27000名會(huì)員提供免費(fèi)的學(xué)習(xí)指導(dǎo)服務(wù)，其中為3000多名移動(dòng)、能源、制造、IT等多個(gè)行業(yè) Page <Title>| ?2013SPISEC2013年CISA考試第二章IT治理與管理第四章信息系統(tǒng)的操作、 第五章信息資產(chǎn)的保護(hù)Page <Title>| ?2013SPISEC第一章信息系統(tǒng)的審 Page <Title>| ?2013SPISEC第二章IT治理 2.9.2外包實(shí)務(wù)— 2.12.10Page <Title>| ?2013SPISEC第二章IT治理 治2.10.3職責(zé)分離 數(shù)據(jù) 外包實(shí)務(wù)—目前外包治理方法 刪除標(biāo)題 ）Page <Title>| ?2013SPISECIT平衡記為了把平衡記分卡應(yīng)用于IT使成為首選的信息系統(tǒng)經(jīng)濟(jì)、有效地交付ITIT投資能獲得一個(gè)合理的抓住機(jī)遇應(yīng)對(duì)未開發(fā)良好的應(yīng)用系統(tǒng)建立用戶伙伴關(guān)系和良好的客戶服提高服務(wù)水平控制IT為IT項(xiàng)目賦于業(yè)務(wù)提供新的業(yè)務(wù)培訓(xùn)和教育IT職員，追求卓為研究和開發(fā)提供

Page <Title>| ?2013SPISEC2.5過程改進(jìn)模型和成熟 Page <Title>| ?2013SPISEC2.9.2采購實(shí) 方向在總體是技術(shù)供應(yīng)和業(yè) ，系統(tǒng)是安全的和風(fēng)險(xiǎn)是可管理的，在任何環(huán)境都是，在第管理中更加復(fù)雜。典型的治理活動(dòng)例如目標(biāo)設(shè)定，政策 Page <Title>| ?2013SPISEC2.9.2采購實(shí)）Page <Title>| ?2013SPISEC是信息系統(tǒng)基于部門的流程得到有效控制、評(píng)價(jià)和改善。流程是由一系列任預(yù)期的結(jié)果信息系統(tǒng)審計(jì)師應(yīng)當(dāng)ISO9001 ，取代早 的ISO標(biāo)準(zhǔn)（2013年變化知識(shí)點(diǎn)）；ISO20000ISO27001、ISO9126、CMM等正式成文并，是否能產(chǎn)生預(yù)期的信息系統(tǒng)審計(jì)應(yīng) 織是否 制定職能與流程并遵照?qǐng)?zhí)行，如已制定，是否能產(chǎn)生信息系統(tǒng)審計(jì)師重點(diǎn)關(guān)注為關(guān)鍵業(yè)務(wù)職能制定的IT相 流程。為，審計(jì)師建議實(shí)施一個(gè)流程改善程序，排定所需活動(dòng)的次序，制定所的活動(dòng)計(jì)劃，為執(zhí)行Page <Title>| ?2013SPISEC （BritishStandardsInstitution,簡(jiǎn)稱BSI）制定的 管理實(shí)踐規(guī)范》(CodeofPracticeforInformationSecurity)，9月在英國(guó)發(fā)布。 。1998年2月為了適應(yīng)第認(rèn)證的需求,英國(guó)又制定世界上 估的基礎(chǔ)。（2013年新增知識(shí)點(diǎn)）Page <Title>| ?2013SPISEC ，:2布成為正標(biāo)，:2002大 ，引入國(guó)際上通行的管理模式過程方法和PDA持續(xù)改進(jìn)式。2005年6月，ISO/IEC17799:2000經(jīng) ，同時(shí)，BS7799-2:2002ISO10 ISO/IEC17799:2005CodeofpracticeforInformationISO/IEC27001:2005InformationSecurity.SecurityInformationsecuritymanagementsystems.Page <Title>| ?2013SPISEC以ISO/IEC27001 管理標(biāo)準(zhǔn)逐漸發(fā)展成為一套完整的準(zhǔn)族，具體包ISO/IEC27000，基礎(chǔ)和術(shù)語ISO/IEC 管理體系要求，20051015發(fā)布（ISO/IEC27001:2005）ISO/IEC27002， 管理體系最佳實(shí)踐，20074直接由ISO/IEC17799:2005（2005年6月15日正式發(fā)布）轉(zhuǎn)換而來。（ISO/IEC27003，ISMS實(shí)施指ISO/IEC 管理度量和改進(jìn)ISO/IEC 風(fēng)險(xiǎn)管理指南，以2005BS7799-3（基于ISO/IEC13335-2）為藍(lán)Page <Title>| ?2013SPISEC 理人員作為參考文檔使用，從而在他們的機(jī)構(gòu)內(nèi)部實(shí)施和信息安 管理系統(tǒng)的要求，實(shí)施組織需要通過風(fēng)險(xiǎn)評(píng)估來鑒定安全策略（Security的組織（安全策略（Security的組織（Organizinginformationsecurity）資產(chǎn)管理（Asset人力資源安全（Human物理和環(huán)境安全（Physical通信和操作安全（Communicationsand信息系統(tǒng)開發(fā)和（Informationsystemacquisition,developmentandmaintenance）訪問控制（Access事故管理（Informationsecurityincidentmanagement）業(yè)務(wù)連續(xù)性管理（Businesscontinuitymanagement）符合性（Page <Title>| ?2013SPISECPDCA（Plan、Do、CheckAct）是管理學(xué)慣用的一個(gè)過程模型，最早是由休哈特（WalterShewhart）于19世紀(jì)30年代構(gòu)想的，后來被戴明（EdwardsDeming）采納、宣傳并運(yùn)用于持續(xù)改善產(chǎn)品質(zhì)量的過程當(dāng)中。Page <Title>| ?2013SPISEC（2013年新增知識(shí)點(diǎn) Page <Title>| ?2013SPISEC不斷前進(jìn)、不斷提高（2013年新增知識(shí)點(diǎn)PDCA循環(huán)就像爬樓梯一樣，一個(gè)循環(huán)運(yùn)轉(zhuǎn)結(jié)束，生產(chǎn)的質(zhì)量就會(huì)高一步，然后再制定下一個(gè)循環(huán)，再運(yùn)轉(zhuǎn)、再提高，不斷前進(jìn)，不提高，是一個(gè)螺旋式上升的過程質(zhì)量

C螺旋上升的Page <Title>| ?2013SPISECPDCA和ISMS的結(jié)Page <Title>| ?2013SPISECIT治理最佳實(shí)IT治理和管理IT與各項(xiàng)業(yè)務(wù)保持一致，IT能夠促進(jìn)業(yè)務(wù)開展并使效益最大化，IT資源ISO/IEC27001(ISO27001)系列標(biāo)準(zhǔn)：屬于一組最佳做法，可向各組 程序方面的指導(dǎo)。ISO27001最初作為英國(guó)標(biāo)準(zhǔn)7799(BS7799)在英國(guó)(UK)公布，現(xiàn)已成為該行業(yè)的公認(rèn)標(biāo)準(zhǔn)。（注：第五章 管理體系（ISMS)”知識(shí)點(diǎn)，2013年新增知識(shí)點(diǎn)。 了關(guān)于如何實(shí)現(xiàn)成功的IT運(yùn)營(yíng)服務(wù)菅理的實(shí)用信息。2008年發(fā)布3.0版。Page <Title>| ?2013SPISEC （ITPage <Title>| ?2013SPISEC（2013年(CSF(KGI(KPIPage <Title>| ?2013SPISEC2.12.102013年變化知識(shí)點(diǎn)USNationalInstituteofStandardsandTechnology（ USFederalFinancialInstitutionsExaminationCouncil USFederalReserve USHealthandHumanServicesHHS 人員服務(wù)署制定的 USFederalEnergyRegulatoryCommission(FERC 能Page <Title>| ?2013SPISEC2.2公司必須通過公司治理實(shí)踐促進(jìn)組織內(nèi)部問題的處理、決策的制定以及總體實(shí)踐。公司治理已被定義為制商業(yè)公司的系統(tǒng)”。具體來說，職責(zé)和采取的做法，用以指明方向，從而確保實(shí)現(xiàn)目標(biāo)、恰當(dāng)解決風(fēng)險(xiǎn)并合理利用世界經(jīng)濟(jì)合作與發(fā)展組織（OECD）：“公司治理包括組織中管理層 權(quán)、促進(jìn)經(jīng)濟(jì)繁榮和社會(huì)凝聚力、減少貧困、加強(qiáng)環(huán)境保護(hù)和自然資源 Page <Title>| ?2013SPISEC2.2公司作為本框架的一部分，還應(yīng)建立管理與報(bào)告業(yè)務(wù)風(fēng)險(xiǎn)的機(jī)制。要求組織應(yīng)具備一個(gè)內(nèi)部控制系統(tǒng)，以便在探索用于改善業(yè)務(wù)的富有創(chuàng)新意義的 風(fēng)險(xiǎn)。同時(shí)，此框架也是保護(hù)利益相關(guān)者的平臺(tái)，因作出他們的投資決定。這樣，一方面需要利用各種可能的機(jī)會(huì)為利益相 社會(huì)責(zé)任的約束，因此公司治理便會(huì)試圖在這兩個(gè)互相 找到平衡點(diǎn)。考慮到社會(huì)責(zé)任在公司治理中的重要性，國(guó)際標(biāo)準(zhǔn)化組織（ISO)已開始制定國(guó)際標(biāo)準(zhǔn)（ISO26000),從而為社會(huì)責(zé)任(SR)提供強(qiáng)制性的準(zhǔn)則。（2013年刪除內(nèi)容Page <Title>| ?2013SPISEC有效 治企業(yè)治理是董事會(huì)和高級(jí)管理層為提供方針?biāo)鶎?shí)行的合理使用企業(yè)資源。（2013年刪除內(nèi)容）業(yè)務(wù)方針通過是通過業(yè)務(wù)目的和目標(biāo)來明確，信息安全必須支持業(yè)務(wù)活企業(yè)交付的價(jià)值。 Page <Title>| ?2013SPISEC第三章信息系統(tǒng)的購 3.5.2SDLCPhase4B—配置 3.12.4Page <Title>| ?2013SPISEC第三章信息系統(tǒng)的購 3.6.20 Page <Title>| ?2013SPISEC第三章信息系統(tǒng)的購20123.4.3項(xiàng)目管理的一般事務(wù)（2013年刪除20123.6.13綜合客戶文件（2013年刪除20123.6.14辦公自動(dòng)化（2013年刪除20123.7（2013年刪除20123.8.1面向數(shù)據(jù)的系統(tǒng)開發(fā)（2013年刪除20123.9.7系統(tǒng)軟件變更控制流程（2013年刪除2012-3.13.1輸入控制 聯(lián)機(jī)系統(tǒng)或數(shù)據(jù)庫系統(tǒng)中的批輸入完整性（2013年刪除Page <Title>| ?2013SPISEC3.2務(wù)實(shí)信性等主要因素的折衷結(jié)果。制定者需進(jìn)行全面的研究素同可用于完成和系統(tǒng)的服務(wù)的優(yōu)勢(shì)、劣勢(shì)、競(jìng)爭(zhēng)力進(jìn)Page <Title>| ?2013SPISEC3.5.2傳統(tǒng)的SDLC各階段Phase4B—配置（Configuration）（注：2013年新增知系統(tǒng)配置，與SDLC關(guān)聯(lián)，包括：定義，和控制的 和批準(zhǔn)所有變用控制而不是由直接用戶干預(yù)Page <Title>| ?2013SPISEC電子 有網(wǎng)絡(luò)。電子郵件由二進(jìn)制數(shù)據(jù)組成，通常采用ASCII文本 Page <Title>| ?2013SPISECPOS 嵌入式微處理智能卡定義標(biāo)準(zhǔn)。（2013年新增知識(shí)點(diǎn)）Page <Title>| ?2013SPISEC電子銀確保重要銀行信息 規(guī)定（例如巴賽爾BaselAccordsIII）Page <Title>| ?2013SPISEC3.3.6項(xiàng)目中的團(tuán)隊(duì)及個(gè)人角色和 提出建議。點(diǎn)位置的設(shè)定取決于使用的SDLC方法、系統(tǒng)的結(jié)構(gòu)和大小以及潛在偏差的影響。此外，還應(yīng)重視基于流程的相應(yīng)活動(dòng)，請(qǐng)參閱本章3.11.4，ISO/IEC15504，2013年更新知識(shí)點(diǎn)）。QA功能的具體目標(biāo)包–確保在修訂、評(píng)估和，應(yīng)用標(biāo)準(zhǔn)、管理準(zhǔn)則和流程過程中所相關(guān)方積極配合Page <Title>| ?2013SPISECISO/IEC15504是標(biāo)準(zhǔn)族（一系列文檔）為流程改善，基準(zhǔn)能力維度提供對(duì)流程的度量以織目前或計(jì)劃的流程的業(yè)務(wù)目標(biāo)。流程能力以流程屬性表達(dá)，如exhibit3.28顯示 Page <Title>| ?2013SPISEC3.12.4ISO15504（2013年變化內(nèi)容方式（計(jì)劃，和調(diào)整）并且其產(chǎn)出產(chǎn)品被恰當(dāng)?shù)亟?，控制和。Page <Title>| ?2013SPISEC付成果的質(zhì)量。交付成果質(zhì)量的參數(shù)可由項(xiàng)目督導(dǎo)或Page <Title>| ?2013SPISEC電子商消費(fèi)者 和自報(bào)稅申報(bào)等領(lǐng)域。（2013年刪除內(nèi)容）多個(gè)B-to-B關(guān)系/市場(chǎng)間的連接。X-to-X是B-to-B或B-到用品/產(chǎn)品。（2013年刪除內(nèi)容Page <Title>| ?2013SPISEC轉(zhuǎn)移 ）Page <Title>| ?2013SPISEC特別是從IS審計(jì)師的角度來講時(shí)，主要問題就是策略、運(yùn)營(yíng)和信譽(yù)風(fēng) 銀行應(yīng)具有風(fēng)險(xiǎn)管理程序，以便能夠識(shí)別、衡量 的技術(shù)險(xiǎn)。新技術(shù)的風(fēng)險(xiǎn)管及如何提供該類服務(wù)，董事會(huì)應(yīng)做出明確、精明且記錄在案的性決關(guān)的具體問責(zé)性、政策和控制。董事會(huì)應(yīng)、批準(zhǔn)和對(duì)銀行的風(fēng)施適當(dāng)?shù)目刂?。?013年刪除內(nèi)容）Page <Title>| ?2013SPISEC衡量和風(fēng)險(xiǎn)是運(yùn)營(yíng)管理人員的職責(zé)）電子銀行 的風(fēng)險(xiǎn)管電子銀 著眾多的風(fēng)險(xiǎn)管 。Page <Title>| ?2013SPISEC3.6.20供應(yīng)鏈流動(dòng)。同時(shí)也避免了人工操作（訂單確）所帶來的固有成本和誤差。 供應(yīng)鏈，水災(zāi)影響全球硬盤價(jià)格，歐洲冰島火山爆發(fā)影 。（Page <Title>| ?2013SPISEC3.8.5系統(tǒng)軟件的或中斷。軟件供應(yīng)商通常會(huì)將 序（旨在減少與安全相關(guān)的 公司（如SANS SEI)的CERT或McAfee 要求不兼容。（2013年刪除內(nèi)容Page <Title>| ?2013SPISEC業(yè)務(wù)流程很有效。構(gòu)成業(yè)務(wù)的所有其他內(nèi)容都在喪失其唯一性，而變成了一種商品。 程正在演變成一項(xiàng)世界性的董事會(huì)議程?！保∟agaraj,N.S.;BusinessProcessManagement——AnEmergingTrend,Infosys/SETLabs, ,2001)（組以生成客戶導(dǎo)向型輸出的特定輸入和增值任務(wù)為特征的相互關(guān)聯(lián)的工作活動(dòng)。業(yè)務(wù)流程由 能的橫向工作流程組成?！保⊿eth,Vikram;WilliamKing;OrganizationalTransformationthroughBusinessProcessReengineering,PrenticeHall,USA,1998)（2013年刪除內(nèi)容）Page <Title>| ?2013SPISEC應(yīng)用控制是對(duì)輸入功應(yīng)用控制包括用于確僅在計(jì)算機(jī)系統(tǒng)中輸處理操作完成正確處理結(jié)果滿足預(yù)期數(shù)。Page <Title>| ?2013SPISEC3.4.3項(xiàng)目管理的一般事務(wù)（2013年刪除項(xiàng)目管理軟件的 文–自動(dòng)化文檔工具可處理系統(tǒng)和程序文檔的制作、驗(yàn)證和。這些工具辦公自–可減少員工參與為滿足政策要求和在員工會(huì)議上執(zhí)行通信和記錄功能所Page <Title>| ?2013SPISEC3.6.13綜合客戶文件（2013年刪除。有助于組織進(jìn)行客戶分析和市 Page <Title>| ?2013SPISEC3.6.14辦公自動(dòng)化（2013年刪除很多組織的都使用了大量的電子設(shè)備和技術(shù)和電子郵件每天都在很多里使用，局域網(wǎng)將本地的計(jì)算機(jī)連接在一起，以便于這些技術(shù)，但是常常缺乏必要的控制和安全措施。Page <Title>| ?2013SPISEC3.6.16協(xié)同處理系統(tǒng)（2013年刪除Page <Title>| ?2013SPISEC3.7其他的軟件項(xiàng)目組織形式（2013年刪除）。鑒于這些因素，IS遞增式或漸進(jìn)式開發(fā)(Incrementalorprogressivedevelopment)： Page <Title>| ?2013SPISEC3.7其他的軟件項(xiàng)目組織形式（2013年刪除 發(fā)(Iterativedevelopment)：這種方法涉及到通過迭代的方 復(fù)雜性的來源包現(xiàn)在所開發(fā)系統(tǒng)的深度和廣度。例如電子商務(wù)、客戶關(guān)系管理)、供應(yīng)鏈集成 交易處理 分析處業(yè)務(wù)變更率需要作出各種各樣架構(gòu)方面的決策。例如，系統(tǒng)應(yīng)具有圖形用戶面（GUI)還是瀏覽器界面；使用哪 ；使用哪個(gè)Web服務(wù)常常需要將新系統(tǒng)與舊版系統(tǒng)進(jìn)行整Page <Title>| ?2013SPISEC3.7其他的軟件項(xiàng)目組織形式（2013年刪除–進(jìn)化式開發(fā)(Evolutionarydevelopment)：通過原型螺旋式開發(fā)（Spiraldevelopment）：開發(fā)解決方案時(shí)需求的詳細(xì)說明、系統(tǒng)設(shè)計(jì)和測(cè)試計(jì)劃)。Page <Title>| ?2013SPISEC3.7其他的軟件項(xiàng)目組織形式（2013年刪除–敏捷開發(fā)(Agiledevelopment)：項(xiàng)目被劃分為持續(xù)時(shí) 功能以與預(yù)定的開發(fā)方法和架構(gòu)保持一致的方式開發(fā)。 Page <Title>| ?2013SPISEC面向數(shù)據(jù)的系統(tǒng)開發(fā)（2013年刪除DOSD（DATA-ORIENTEDSYSTEMDEVELOPMENT）是一過關(guān)注數(shù)據(jù)及其結(jié)構(gòu)來表示軟件需求的方法。交易所以及一些服務(wù)提供商（如航空公司、公司等）生成的是與時(shí)間相關(guān)的數(shù)據(jù)。這些數(shù)據(jù)將離線提供給一些服務(wù)訂購者。例如，交易所到經(jīng)紀(jì)人再到次級(jí)經(jīng)紀(jì)人；航空公司到各自的旅行社等ASCII或其他規(guī)定的格式提供 的應(yīng)用程序（平臺(tái)變體和開發(fā)工具變體），并可以直接將這些數(shù)據(jù)用于自己的應(yīng)用程序中，以便 Page <Title>| ?2013SPISEC面向數(shù)據(jù)的系統(tǒng)開發(fā)（2013年刪除Page <Title>| ?2013SPISEC3.9.7系統(tǒng)軟件變更控制流程（2013年刪除所 均應(yīng)在用于生產(chǎn)前由具有技術(shù)方面資質(zhì) 存檔記錄和批 求IS管理人員和工作人員了解并參與到系統(tǒng)軟件變更流程中。變更控制流程應(yīng)確保影響生產(chǎn)系統(tǒng)的變更進(jìn)行過合理評(píng)估（尤其是安裝時(shí)所產(chǎn)生。許多情況下，IS管Page <Title>| ?2013SPISEC3.11.3軟件能力成熟度模型（2013年刪除什么是1990年由卡耐基-梅隆大學(xué)軟件工程師和行業(yè)的資助下軟件能力成熟度模型（CMM）Page <Title>| ?2013SPISEC3.11.3軟件能力成熟度模型（2013年刪除軟件開發(fā) 進(jìn)行過 目的：評(píng)估軟件供應(yīng)商的能力→幫助軟件企業(yè)管理和改Page <Title>| ?2013SPISEC3.11.3軟件能力成熟度模型（2013年刪除等特級(jí)級(jí)級(jí)Page <Title>| ?2013SPISEC3.11.3軟件能力成熟度模型（2013年刪除CMM的5個(gè)級(jí)別初始級(jí)、可重復(fù)各級(jí)別要強(qiáng)調(diào)定量的過程管理和軟 改進(jìn)，包括缺陷預(yù)Page <Title>| ?2013SPISEC輸入控制 控Page <Title>| ?2013SPISEC第四章信息系統(tǒng)的操作 與支4.2.2IT4.2.54.4.84.5.6OSI模型在網(wǎng)絡(luò)體系結(jié)構(gòu)中的應(yīng)用Page <Title>| ?2013SPISEC第四章信息系統(tǒng)的操作 與支4.2.3架構(gòu)運(yùn)行 4.3.1計(jì)算機(jī)硬件組成和架構(gòu)—內(nèi)存卡閃存盤，RFID（4.5.6OSI在網(wǎng)絡(luò)架構(gòu)的應(yīng)用—局域網(wǎng)，廣域網(wǎng)，無線網(wǎng)，公 4.7.6備份和恢復(fù)—備份安排 Page <Title>| ?2013SPISEC4.2.2IT服務(wù) 管理層使用多種技術(shù)，包括問卷（questionnaires），現(xiàn)場(chǎng)檢查（onsitevisits），獨(dú)立第 independentthird-partyassurancereport），例如：SSAE16SOC1report，AT-101SOC2andSOC3reportsformerlySAS70)審計(jì)（2013年新增知識(shí)點(diǎn)）。Page <Title>| ?2013SPISEC4.2.5支持與服當(dāng)啟動(dòng)服務(wù)臺(tái)工單/呼叫（ticket/call）時(shí)觸發(fā)支持，基于 且可根據(jù)需要將其上報(bào)到IT管理人員。 Page <Title>| ?2013SPISEC4.4.8 Page <Title>| ?2013SPISEC4.5.6OSI模型在網(wǎng)絡(luò)體系結(jié)構(gòu)中的應(yīng)（2013年刪除內(nèi)容客戶機(jī)-服務(wù)器技要有效管理和支持這些環(huán)境，IT人員需要解決發(fā)展和復(fù)雜性帶來 關(guān)鍵任務(wù)應(yīng)用程序的日益復(fù)雜使越來越多的公司開始嘗試客戶端/服器平臺(tái)公司正在經(jīng) 將應(yīng)用程序的更改整合到現(xiàn)有網(wǎng)絡(luò)系統(tǒng)中的問題對(duì)客戶端/服務(wù)器技術(shù)人員的需求導(dǎo)致頻繁的人員流動(dòng)，增加了雇傭培訓(xùn)的成本，對(duì)公司Page <Title>| ?2013SPISEC4.5.6