1 CISSP认证简介

CISSP的全称是Certified Information System Security Professional，信息系统安全专家。CISSP认证由国际信息系统安全认证协会（International Information Systems Security Certification Consortium），即 (ISC)²组织和管理，是目前全球范围内最权威、最专业、最系统的信息安全认证。

(ISC)²成立于1989年中期，总部设在北美，是一个独立的、非盈利性的组织，目的为管理信息安全专业认证人员。它从1992年开始推广CISSP的认证考试，并且很快得到了国际的高度认可。虽然CISSP刚刚登陆中国，但势必成为近年内的热门认证。

近年来，网络信息安全在网络帝国中的热度正在急剧上升。在众多的IT企业和信息化程度较高的其他企业中，已经出现了专门从事企业信息安全服务的工程师。很多大型国际企业都在近几年内设立了具有决策和管理权限的信息总监，并将信息安全部门的规划提到的议程上，具有CISSP认证的专业人士往往在就职这样的重要职位时有得天独厚的优势。

CISSP 可以证明证书持有者具备了符合国际标准要求的信息安全知识水平和经验能力，提升其专业可信度，并为企业和组织提供寻找专业人员的凭证依据，目前已经得到了全世界广泛的认可，在很多跨国公司的职位说明书上已经明确要求应聘者需要具备CISSP等相关资质。

2 适合参加CISSP认证与培训的人员

下列人员非常适合进行CISSP 认证，或者参加CISSP培训：

l          企业信息安全主管

l          信息安全业内人士

l          IT或安全顾问人员

l          IT审计人员

l          安全设备厂商或服务提供商的相关人员

l          信息安全类讲师或培训人员

l          信息安全事件调查人员

l          其他从事与信息安全相关工作的人员（如系统管理员、程序员、保安人员等）

3 CISSP课程介绍（中文）

课程时长：

5天，30学时

授课方式：

         课堂讲解、模拟测试、案例讨论

适合对象：

l          企业信息安全主管

l          信息安全业内人士

l          IT或安全顾问人员

l          IT审计人员

l          安全设备厂商或服务提供商的相关人员

l          信息安全类讲师或培训人员

l          信息安全事件调查人员

l          其他从事与信息安全相关工作的人员（如系统管理员、程序员、保安人员等）

l          准备参加CISSP考试的人员

课程目标：

本课程针对ISC2 颁布的CISSP 认证考试所涉及的10 个信息安全知识域，即CBK 而设置。借助5天高强度、全面而系统的专业培训，帮助CISSP 报考者通览考试范围，抓住考试重点，掌握应考技巧。本课程的具体目标包括：

• 使学员了解 CISSP 考试范围及内容
• 使学员在短时间内基本掌握CBK知识框架
• 使学员尽快理解并掌握CBK知识精髓
• 将现实经验与CBK各个知识域的内容紧密结合
• 帮助学员迅速找到自学并通过CISSP考试的技巧
• 提供大量精选练习和模拟题，体验考试场景
• 通过案例分析和讨论，帮助学员深刻理解相关概念

课程内容

1 信息安全管理实务

·   什么是信息？什么是信息安全？信息安全管理和计划

·   信息安全CIA 目标，重要的概念

·   风险管理概念和关系模型，定量和定性风险评估，风险消减和处理

·   安全策略、标准、指南和程序

·   安全管理角色和责任

·   数据分类

·   雇用策略和实务

·   安全意识（认知）、培训和教育

2 通信与网络安全

·   开放系统互连参考模型

·   网络通信基础

·   物理连接技术与特性，重要的电缆类型

·   局域网技术：传输方式，介质访问控制方式，拓扑，设备

·   广域网技术：链路类型，广域网交换，协议，设备

·   网络通信协议：TCP/IP，隧道技术

·   远程访问安全与管理

·   无线网络安全

·   网络传输数据的安全保护：防火墙、IDS 等

·   容错和数据恢复

·   网络攻击手段与对策

3 操作安全

·   Due diligence

·   控制措施的类型：预防性，检测性和纠正性

·   管理手段：责任分离，工作轮换，最小特权等

·   常见的IT 任务：计算机操作，生产调度，磁带库，系统安全等

·   日常审计和监督

·   防病毒管理

·   变更管理，备份和介质处理

·   事件处理

·   常见的攻击手段，道德黑客

4 访问控制系统与方法

·   什么是访问控制？访问控制的功能和分类

·   身份识别与认证技术：口令、一次性口令、生物识别、SSO 等

·   访问控制技术，MAC、DAC、基于角色AC 等

·   访问控制模型：状态机模型，BLP 模型，Biba 模型等

·   访问控制实施方法：集中式与分散式

·   访问控制管理：账号管理，权限管理，跟踪审计

·   攻击手段：口令攻击，拒绝服务，欺骗攻击

·   入侵检测，HIDS 和NIDS

·   渗透测试

5 应用和系统开发

·   应用系统存在的一些问题

·   数据库和数据仓库的安全性，软件面临的攻击

·   数据/信息存储时的安全考虑

·   基于知识的系统：专家系统和神经网络

·   系统开发控制：在系统开发生命周期内考虑到安全措施

·   关于恶意代码的讨论

·   各种针对应用的攻击手段

6 密码学

·   密码学的定义、作用和应用

·   密码学的发展历史

·   密码学的方法：流密码、对称算法、非对称算法等

·   消息完整性，散列函数，数字签名

·   公钥基础设施PKI，CA 证书

·   密钥管理：生成、交换、撤销、恢复

·   Email 安全

·   各种应用于Internet 的安全标准和协议

·   密码分析学和攻击手段

·   政府介入，密钥托管

7 业务持续性计划（BCP） 和灾难恢复计划（DRP）

·   BCP 和DRP 的概念

·   计划制定过程

·   业务影响分析（BIA）

·   选择应急计划策略

·   备份方案的选择

·   应急计划人员的选择和责任

·   应急计划的内容

·   应急计划测试

·   应急计划培训

8 法律、调查和道德

·   基本法律类型

·   关于计算机犯罪的讨论

·   计算机安全事件

·   调查取证，可信性和权威性，最佳证据规则，证据链

·   计算机辨析学

·   计算机道德

9 安全模型和体系结构

·   安全保护机制：分层、抽象和数据隐藏

·   计算机系统结构，硬件和软件

·   安全控制的概念，TCB，RM，安全内核，最小特权，责任分离……

·   安全模型：访问控制模型，信息流模型，

·   完整性模型等

·   系统评估标准：TCSEC、ITSEC、CC

10 物理安全

·   基本的控制措施：管理性，技术性和物理性

·   物理安全弱点和风险

·   安全设施的选择、构建和维护

·   磁带和介质库保护策略

·   文档（硬拷贝）库

·   垃圾处理

·   物理入侵检测

4 CISSP课程介绍（英文）

Course Name: CISSP-Certified Information System Security Professional

Course Length

5 days

Who should attend

This course is designed for Networking Security Professionals who wish to attain CISSP certification and facilitate their growth as a security professional.

Content

l          Security Management Practices

l          Security Architecture and Models

l          Access Control System and Methodology

l          Application Development Security

l          Operations Security

l          Physical Security

l          Cryptography

l          Telecommunications, Network, and Internet Security

l          Business Continuity Planning

l          Law, Investigations, and Ethics

5 培训报价

下列报价供参考。

个人：

                   8000元/人

团体：

                   5-10人：30000元

                   11-15人：40000元

                   15人以上：50000元

注：培训費用包括教材、茶点、午餐，但不包括CISSP考试费用。

         培训方式为：课堂讲解、模拟测试、案例讨论

6 其他常见问题

6.1 关于(ISC)²

(ISC)²成立于1989 年，总部设在北美，是一个独立的、全球性的、非盈利的组织。联盟由DPMA、ISSA、CIPS、CSI、爱达荷州立大学（Idaho State University）、美国和加拿大部分政府机构以及一些资深的信息安全专业人士共同组成，致力于：

l          维护一个关于信息安全的公共知识体系（Common Body of Knowledge）

l          依照一套国际性的信息安全标准来认证安全专家（CISSP）和从业者（SSCP）

l          管理培训和认证考试，并通过持续教育来确保证书的实效性

目前(ISC)2 授权颁发的证书有两种：

l          CISSP（Certified Information Systems Security Professional）

l          SSCP（System Security Certified Practitioner）

(ISC)²于1995 年在加拿大多伦市多举办第一次公开CISSP考试，截至2002 年12 月底全球有60 多个国家的13,397 人获得了CISSP 证书。

6.2 关于公共知识体系

公共知识体系CBK（Common Body of Knowledge）是对信息安全范畴所有相关主题精炼整理后得到的一个标准化的知识体系，包括10个知识范畴（Domain）：

l          安全管理实务（Security Management Practices）

l          安全结构和模型（Security Architecture and Models）

l          访问控制系统和方法（Access Control System and Methodology）

l          应用开发安全（Application Development Security）

l          操作安全（Operations Security）

l          物理安全（Physical Security）

l          密码学（Cryptography）

l          电信、网络和互联网安全（Telecommunications, Network, and Internet Security）

l          商务连续性计划（Business Continuity Planning）

l          法律、调查和道德（Law, Investigations, and Ethics）

6.3 CISSP 报考要求

报考者必须具备至少4 年的工作经验，若拥有大学本科学历，需要3 年工作经验即可。工作经验应为CBK 规定的10个知识域中的一个或多个范畴，签署并承诺遵守(ISC)² 制定的职业守则（Code of Ethics），支付450 美元的报考费用，确定报考地点，参加长达6 小时的CISSP 考试。

6.4 关于职业守则（Code of Ethics）

(ISC)² 要求每个考生在报考时签署并承诺遵守(ISC)²以下的职业守则，若违背守则，(ISC)² 有权收回CISSP 资质：.

l          保护社会、全体国民和国家基础设施（Protect society, the commonwealth, and the infrastructure）

l          诚实、正直、公正、合理和合法的行为（Act honorably, honestly, justly, responsibly, and legally）

l          对雇主提供勤勉和胜任的服务（Provide diligent and competent service to principals）

l          发展和维护专家身份和荣誉（Advance and protect the profession）

6.5 CISSP 考试

CISSP考试的内容覆盖CBK的10个专业范畴，题目的范围很广但深度并不深。

CISSP的考试由250道单项选择题构成，目前只有英文试题，需要在6个小时内（上午9时至下午3时）完成，一般来说没有时间压力。题目来自(ISC)²的题库。在250道题目中只有225道题目计分，其余的25道题目是用于调查的目的，但这些题目并不明确的标注出来。通过成绩一般是答对计分的225题中的70%。

6.6关于书面证明（Endorsement）

自2002年6月起，将(ISC)2将考试和认证过程分开。在考生结束考试后两周至一个月的时间内将会收到来自(ISC)2的电子邮件，若未能通过考试，邮件将告知考生其实际的分数和CBK每个范畴的得分情况，以便于为下次考试做准备。

若考生收到的邮件以祝贺（Congratulation）开头，那代表您已经通过分数线，但(ISC)²并不告知您获得的实际分数，同时邮件将附一份书面认可文件（