Question

CISSP:助你成为信息安全的中坚力量!

Answer 1

◇ cissp简介：

　　 cissp（certified information system security professional，信息系统安全认证专业人员）是由国际信息系统安全认证协会(简称(isc)2)组织和管理。(isc)2在全世界各地举办考试，符合考试资格人员于通过考试后授予cissp认证证书。cissp认证是目前世界上最权威、最全面的国际化信息系统安全方面的认证。

◇参加cissp认证人员需要：

　　 1. 遵守(isc)2的道德规范（code of ethics）；
　　 2. 在cbk（通用知识框架）的10个领域中的一个或多个中工作三年以上。
　　 3. 此认证的时效性为3年，3年后可以通过重新参加考试的方式进行再认证。

　　 但(isc)2支持持续专业教育积分（continuing professional education -cpe）计划，cissp资质持有者在3年内需要通过各种途径获得120个持续专业教育（cpe）积分，同时每年交纳85美元的年度维护费用（maintenance fee），便可保持其cissp资质。

◇cpe计分如何获得？

　　 cpe计分主要来自直接的安全相关活动或教育活动。计分可以按以下的方式获得：

　　 * 厂商的培训：cissp参加厂商举办的培训、讲座等，每小时可获得1个cpe；
　　 * 安全会议：cissp参加安全会议，每小时可获得1个cpe；
　　 * 大学课程：cissp参加大学课程学习并通过，每学期可以获得11.5个cpe；
　　 * 出版安全论文或书籍：cissp可以通过出版安全书籍获得40个cpe，或出版安全文章获得10个cpe，以此种方式3年内最多获得40个cpe；
　　 * 提供安全培训：cissp进行安全讲座、授课每小时可以获得4个cpe，以此种方式每年内最多获得80个cpe；

　　 * 服务于安全专业组织的管理层：cissp每年可以通过服务获得10个cpe，但以此种方式最多可以获得20个cpe；　
　　 * 自学：cissp可以通过自学取得cpe，以此种方式3年内最多获得40个cpe；
　　 * 阅读安全书籍：cissp可以通过阅读信息安全书籍的方式获得10个cpe，但每年只有一本书被承认；
　　 * 志愿工作：cissp可以通过作为(isc)2的志愿者的方式获取cpe，分数和具体的活动由(isc)2决定；
　　 * 其他：若cissp希望以其他的方式获得cpe，但必须提交给(isc)2的再认证委员会批准。

◇(isc)2简介：

　　 (isc)2--国际信息系统安全认证协会。(isc)2成立于1989年中期，总部设立在北美。作为一个独立的、非赢利的组织，其目标为发展与管理一个信息安全管理人员认证管理组织。从1992年起，(isc)2进行cissp认证考试，其认证很快得到国际的认可。

◇ 适合人员：

　　 a) 各大银行、证券等机构的中高级管理和技术人员
　　 b) 各级电信运营商的网管部门的中高级管理及技术人员；
　　 c) 各级政府机构、事业单位、教育机构的信息安全主管部门的中高级管理及技术人员；
　　 d) 信息安全服务、信息安全产品供应商以及网络系统集成商的中高级管理及技术人员

◇需要掌握内容：

　　 (isc)2 划定cissp的通用知识框架(cbk)，作为cissp 的考察范围，而cbk它是一门国际性的专业知识，由十个领域组成：
　　 1. 安全管理实务(security management practices)
　　 a) 概念和目标
　　 b) 风险管理
　　 c) 策略和程序
　　 d) 信息分类
　　 e) 信息安全职务和责任
　　 f) 信息安全意识
　　 g) 事件处理

　　 2. 访问控制(access control systems)
　　 a) 概念
　　 b) 注意事项
　　 c) 授权和认证
　　 d) 单点登陆
　　 e) 集中访问控制
　　 f) 分散访问控制
　　 g) 访问控制技术
　　 h) 访问控制审计

　　 3. 通信和网络安全(telecommunications and network security)
　　 a) 通信安全管理
　　 b) 网络协议
　　 c) 认证和授权
　　 d) 数据通信
　　 e) 互联网和网络安全
　　 f) 入侵方法
　　 g) 多媒体安全
　　 h) 事件响应管理

　　 4. 密码学(cryptography)
　　 a) 历史
　　 b) 定义
　　 c) 加密的应用和用途
　　 d) 协议及标准
　　 e) 基本技术
　　 f) 加密系统
　　 g) 对称/非对称加密
　　 h) 数字签名
　　 i) 使用加密技术的电子邮件安全
　　 j) 使用加密技术的互联网安全
　　 k) 密码管理
　　 l) pki
　　 m) 密码分析和攻击
　　 n) 输出问题
　　 5. 安全体系和模型(security architecture and models)
　　 a) 计算机科学及体系
　　 b) 安全和控制的概念
　　 c) 安全模型
　　 d) 评估标准
　　 e) 主机安全
　　 f) 服务器安全
　　 g) 网络架构
　　 h) 网络安全
　　 i) ip 安全架构

　　 6. 运作安全(operations security)
　　 a) 资源
　　 b) 特权
　　 c) 监控机制
　　 d) 滥用
　　 e) 控制方法
　　 f) 原则

　　 7. 应用程序与系统开发(applications and systems development)
　　 a) 定义
　　 b) 安全目标和威胁
　　 c) 系统开发周期
　　 d) 安全架构
　　 e) 变更控制
　　 f) 应用软件开发和安全措施
　　 g) 数据库和数据存储
　　 h) 知识系统

　　 8. 业务连续性计划与灾难恢复(businss continuity planning and disaster recovery planning)
　　 a) 业务连续性概念
　　 b) 灾难恢复概念
　　 c) 灾难恢复计划程序
　　 d) 程序管理
　　 e) 潜在漏洞评估
　　 f) 计划的制定和维护
　　 g) 计划测试
　　 h) 预防措施