CISSP Certification ( cisspme | 35 hours )

域 01 - 安全与风险 Management

• 介绍
• 安全与风险概论 Management 理解、遵守和促进职业道德
• 知识检查
• 了解和应用安全概念
• 评估和应用安全 Go法规原则 Goals、使命和目标
• 控制框架、尽职调查
• 知识检查
• 确定合规性和其他要求
• 了解整体环境中与资讯安全相关的法律和法规问题
• 智慧财产权 （IP） 法的类型
• 经合组织原则 GDPR 和 Data Protection 原则 Data Protection 原则
• 了解调查类型的要求
• 知识检查
• 制定、记录和实施安全策略、标准、程式和准则
• 知识检查
• 需要 Business 连续性规划 （BCP） Business 连续性规划阶段 Business 影响分析
• 确定预防性控制
• 知识检查
• 参与并执行人员安全策略和程式
• 风险简介 Management 概念
• 风险分析
• 风险分析和评估对策选择
• 风险处理和安全控制评估 安全控制评估 （SCA）
• 风险监控和持续改进
• 知识检查
• 了解并应用威胁建模概念和方法 威胁建模步骤
• DREAD 评级知识查询
• 应用供应链风险 Management （SCRM） 概念第三方 Management 和风险
• 第三方风险 Management 生命周期
• 知识检查
• 建立和维护安全意识、教育和培训计划
• 计划有效性：评估
• 知识检查
• 快速回顾
• 知识检查

域 02 - 资产安全

• 介绍
• 资产安全简介
• 识别和分类资讯和资产资讯分类目标
• 知识检查
• 建立资讯和资产处理要求安全地配置资源
• 管理数据生命周期
• 数据生命周期：创建、存储和使用
• 数据生命周期：共用、存档和销毁数据残留和数据销毁
• 知识检查
• 确保适当的资产保留数据和数据安全控制 如何选择控制
• 数字版权 Management （DRM） 数据丢失防护 （DLP）
• 快速回顾
• 知识检查

领域 03 - 安全架构和工程

• 介绍
• 安全工程概论
• 使用 Trust But Verify 和 Zero Trust 研究、实施和管理工程流程
• 隐私设计
• 知识检查
• 了解安全模型的基本概念
• 状态机模型、多级晶格模型、无干扰模型和资讯流模型
• 安全模型的类型
• 组合理论、隐蔽通道以及开放和封闭系统
• 知识检查
• 根据系统安全要求选择控制件资讯系统的安全功能
• 知识检查
• 评估和缓解安全架构的漏洞 SCADA
• ICS 的安全问题 Cloud Computing 云的分类
• 物联网
• 雾和 Edge Computing
• 知识检查
• 选择并确定加密解决方案 密码系统 Elements
• 加密方法
• 数据加密标准
• 输出反馈、计数器和三重 DES 高级加密标准非对称加密
• 公钥基础设施
• PKI 证书和流程 PKI 流程：步骤
• 哈希、MAC 和数位签名密钥 Management 原则
• 知识检查
• 密码分析攻击的方法
• 知识检查
• 将安全原则应用于场地和设施设计 场地和设施安全控制
• 人员 Access 控制 环境安全 控制 火灾等级
• 其他安全控制
• HVAC、电源和培训
• 知识检查
• 快速回顾
• 知识检查

域 04 - Communications 和 Network Security

• 介绍
• 介绍 Communication 和 Network Security 评估和实施安全设计原则物理层和数据链路层
• 网路层传输层
• 会话层和表示层 应用层和协定
• 知识检查
• IP 寻址
• IPv6 及其地址结构
• 知识检查
• Internet 安全协定 （IPsec） IPsec 安全协定
• 安全 Access 协定
• 实施多层协定、光纤通道和微分段 SDN 和无线技术
• 蜂窝网路和CDN
• 知识检查
• 了解网路 Access 控制 （NAC） 和端点安全
• 知识检查
• 实施安全 Communication 通道
• 应用级闸道、电路级闸道和 Network Security 术语远端 Access 技术
• VPN 协定
• VPN 协议：比较
• 多媒体 Collaboration、网路功能虚拟化和网路攻击
• 快速回顾
• 知识检查

域 05 - 标识和 Access Management （IAM）

• 介绍
• 身份和 Access Management （IAM） 控制资产的物理和逻辑 Access 简介
• 管理人员、设备和服务的标识和身份验证
• Biometrics 和 Accuracy 测量密码及其类型
• 令牌、令牌设备和授权
• 联合身份 Management （FIM） 和凭证 Management 系统
• 单点登入 （SSO） 和即时 （JIT）
• 知识检查
• 使用第三方服务的联合身份实施和管理授权机制
• 基于属性的 Access 控制 （ABAC） 和基于风险的 Access 控制
• 知识检查
• 管理身份和 Access 配置生命周期许可权提升
• 实施身份验证系统
• Kerberos 及其步骤、RADIUS、TACACS 和 TACACS Plus
• 快速回顾
• 知识检查

领域 06 - 安全评估和测试

• 介绍
• 安全评估和测试简介
• 设计和验证评估、测试和审计策略 SOC 报告和安全评估
• 内部审计与评估 外部审计与评估 第三方审计与评估 脆弱性评估
• 网路发现扫描
• 网路漏洞扫描和 Web 漏洞扫描渗透测试
• 渗透测试过程和测试类型日志 Management 和审查
• SDLC 程式码审查和测试测试方法中的安全测试
• 介面测试
• 知识检查
• 收集安全流程数据 KPI 流程
• 知识检查
• 分析测试输出并生成报告
• 快速回顾
• 知识检查

域 07 - 安全运营

• 介绍
• 安全运营简介了解并遵守调查数位取证
• 了解数字证据
• 知识检查
• 进行日志记录和监控 Activities
• 知识检查
• 持续监控
• 数位取证工具、策略、程式、工件和 UEBA
• 知识检查
• 执行 Configuration Management
• 应用基础安全操作概念
• 具有各种类型帐户的 Identity 和 Access Management 应用资源保护
• 保护资产的控制措施 行为事件 Management
• 了解事件回应生命周期
• 知识检查
• 操作和维护检测与预防措施
• 了解反恶意软体系统、人工智慧 Machine Learning 和 Deep Learning实施和支援补丁和漏洞 Management
• 了解并参与 Change Management 流程实施恢复战略
• 恢复类型 操作恢复恢复模式策略
• 冗馀和容错知识检查
• 实施灾难恢复 （DR） 流程知识检查
• 测试灾难恢复计划 （DRP）
• 知识检查
• 参与 Business 连续性 （BC） 规划和练习实施和管理物理安全
• 照明在安全中的重要性 Management Access 控制
• 知识检查
• 解决人员安全和安保问题
• 快速回顾
• 知识检查

Domain 08 - 软体开发安全

• 介绍
• 软体开发安全简介
• 将安全性集成到软体开发生命周期中
• 软体开发模型
• Extreme Programming 型号
• DevOps 和 DevSecOps
• CMM 和 SAMM
• Change Management 和整合产品团队 （IPT）
• 知识检查
• 软体开发生态系统中的安全控制
• 软体开发生态系统中的其他安全控制
• 软体 Configuration Management （SCM）
• Database 和数据仓库环境
• 知识检查
• 评估软体安全的有效性
• 软体安全和保证：控制粒度和环境分离
• 软体安全和保证：TOC 或 TOU、防止社会工程、备份、软体取证、密码学
• 软体安全和保证：密码保护、移动模式控制和沙盒软体安全和保证强语言支援、XML 和 SAML
• 评估软体安全性 Free and Open Source Software 的有效性
• 知识检查
• 定义和应用 Secure Coding 准则和标准
• Web 应用程式环境
• 知识检查
• 快速回顾
• 知识检查