J0ker向大家简要介绍了CISSP认证考试的基本情况，但对于想要进一步深入了解CISSP认证体系、或者想要获得一个CISSP认证的朋友来说，内容还是稍微简单了点。所以，从本文开始，J0ker将用大概15篇文章的篇幅，向大家详细的介绍CISSP认证考试的复习流程、各种复习资源和CISSP的10个CBK的内容，本文要介绍的即是CISSP认证考试的复习流程及资源。
J0ker先给大家说说CISSP考试的复习流程，和其他考试一样，CISSP考试的复习也需要循序渐进，不断巩固，由于CISSP考试的广度和深度——”One Mile wide, One inch deep”，决定了复习的同时也是一个学习过程。因为要报考CISSP的朋友大多是各自单位的技术骨干和中高层管理，日常事务十分繁忙，所以复习的时间安排和计划对考试的成功显得无比重要。
在CISSP考试的复习过程中做些模拟题是必须的，但因为CISSP考试出题相当灵活，如果考生想靠猜题、押题来通过CISSP考试，恐怕只会换来一个失败的结果。J0ker的建议是，CISSP考试说到底是考察考生的能力和经验，如果考生有条件的话，对掌握不好，平时也没有机会接触的内容自己做个模拟环境来实践一下，比如Telecommunication and Network security、Operational Security等CBK，都可以自己实验一下。另外，考生可以精选1到2个模拟题库，时不时对自己的复习情况进行检查，做错的题目应该记录起来，重新对涉及到的CBK内容进行复习。
CISSP考试复习中可以用到的资源：
复习书籍
目前市面上CISSP考试复习的书籍不少，内容虽然大同小异，但写作风格写作水平是大不相同，有的追求语言生动易懂，有的则比较详细枯燥。考生如何选择适合自己的CISSP复习材料？J0ker觉得选择的标准应该由考生自身的语言水平、信息安全从业经验等来决定，在语言水平差不多的情况下，如果考生的从业经验较多，但对概念的把握上仍有欠缺，可以选择CISSP official guide解释概念较为详细的材料；如果考生平时主要从事咨询或管理类的工作，具体技术方面的经验不足，则可以选择CISSP All in One 3rd或者Pre guide 2nd这样的材料，它们生动的描述会使技术方面的难题变得容易理解；还可以准备一本Exam Cram的CISSP小书，出差或旅行时可以随手翻阅。
J0ker给大家介绍了一般的复习流程和对复习比较有帮助的资源。从本文开始，J0ker将带大家进入CISSP考试的正式复习过程：2007年(ISC)2修改过CISSP考试的各CBK名称和内容，虽然新内容绝大部分和原来的CISSPCBK相同，但还是增加了一些新内容。J0ker手上只有比较老的CISSP Official Guide和CISSPAllin One3rd（J0ker准备考试时也是用这两本资料，对增加新内容的考试还可以应付），所以在本系列文章中依然沿用(ISC)2修改前的CBK名称和内容，J0ker会按照CISSP Official Guide的内容安排给大家介绍一下复习中的心得和要点，限于J0ker自己水平和各人的情况不同可能有所不足，请大家原谅。
Availability，是确保信息资产对授权用户随时可用的能力，在实际应用中，我们可以把有可能损害可用性的威胁分成2类：
1、Denial of Service拒绝服务
2、会造成数据处理所需设备损失的自然灾害（火灾、水灾、地震等）或人为因素（恐怖袭击等）
拒绝服务通常指因为用户或入侵者的原因导致某个数据服务无法向其用户提供服务的故障，比如计算资源的耗尽导致的计算机锁死、存储器资源的耗尽导致的文件读写失败、网络资源耗尽导致的网站无法访问等，但拒绝服务通常不会物理损坏数据服务所依靠的设备，进行释放资源之类的相关处理便可恢复正常。而自然灾害和人为因素则是物理损坏，只能重新购置部署设备才能使数据服务恢复正常。我们可以制定业务持续性计划（Contingency Planning），并通过物理（Physical Control，物理安全及设备备份）、技术（Technical Control，设备冗余、数据备份及访问控制）和管理(Administrative Control，各种策略流程等管理措施)手段来保证可用性。
Integrity，是确保信息资产不被有意或无意的未授权修改的能力，完整性通常由访问控制（Access Control，各种验证、授权手段）和安全程序（Security Program，保证信息和处理流程按照设计好的来执行，并提供数据完整性检查能力）这两者提供。另外，完整性控制还有以下三个原则：
1、Need to know/Least Privilege，最低权限策略，用户应该只获得完成其工作的最低限度的资源访问和操作权限。
2、Separation of Duties，职权分离，确保较为重要的工作流程由多人完成，防止出现欺诈行为。比如常见的财务人员和审计人员分属于不同的部门便是职权分离的例子。
3、Rotation of Duties，职务轮换，定期轮换重要职务上的人员，有助于防止出现欺诈，也可以在当前人员缺席的情况下很快使用其他人员替代。
我们经常可以从媒体或者各种安全资讯上看到一个词——风险（Risk），但具体到它的含义，以及它在信息技术领域所代表的意思，却没有太多的人可以说的清楚。所谓“风险中存在机遇“，人们在选择机会的同时，也会遇到许多会造成损失的不确定因素，这些不确定的因素便称之为”风险“。例如，买车能带来出行方便，但同时也会因为燃料费上涨、路费、维修等等不确定的因素导致意外的支出，而且尽管几率很小，也依然存在发生交通事故危害生命的情况。
因此，我们在选择一个机会之前，常常会或多或少的考虑机会之中包含着的不确定因素有哪些，更进一步的，我们还会想办法去了解机会之中的不确定因素到底有多大的可能发生，并准备一些可以降低发生几率或损失的措施。同时为了更有效的准备和评估应对不确定因素的防御措施，我们还必须认真的了解不确定因素的各个组成元素，并搞清楚它们之间的关系，这个不确定因素的识别、分析和评估的过程，便是本文要介绍的风险分析和评估（Risk Analysis and Assessment）。
进行过风险分析和评估之后，接下去自然就是如何应对风险——在CISSP CBK中，风险的应对方式可以分成三种，J0ker还是用上面买车的例子来介绍：假设买了车之后，在路上发生追尾事故的可能性为每三个月一次，如果车主采取了在交通繁忙时刻降低车速，选择另外车流量较小的道路或者在车上添置防追尾的设备，这都属于车主接受了风险存在的事实，并采取的降低风险发生可能性或损失的措施，我们称之为Accept the Risk或Mitigate the Risk；如果车主认为部署防追尾的设备成本比追尾后修一次车还贵的多，或者因为其他原因而无视追尾危险，这样称之为Reject the Risk，或Ignore the Risk，风险并没有减轻，只是被忽略了。还有一种较为常见的情况是车主通过购买保险，将追尾可能产生的各种费用转移到保险公司身上，这称之为Transfer the Risk，即风险转移。Accept和Transfer是对待风险的常用方式，但在某些不太重要的场合，也可以选择用不作为的方式。
风险的识别、分析和评估、消除、转移整个流程我们称之为风险管理（Risk Management），在进行风险管理的流程时，以下的关键的问题需要弄清楚：
1、 What could happen （Threat event，风险的具体形式，威胁）
2、 If it happened, how bad could it be （Threat impact，威胁的影响程度）
3、 How often it could happen （Threat frequency， 威胁发生的频率）
4、 How certain are the answers to the first three questions （Recognition of uncertainty， 威胁发生的几率和不确定性）
这些问题都可以从风险分析和评估中获得答案，威胁发生的不确定性是风险管理中的核心问题，当然，谁都希望为所有可能发生的情况做好充分的准备，但现实常常不允许我们这样考虑，我们只能够保证优先度最高的部位和风险最有可能发生的部位能部署到风险管理方案。通过风险分析和评估，我们可以从上述4个问题中发现一些无法忽视的风险(Unacceptable Risks)，我们需要部署相应的方案来应对它们，以下的问题需要了解清楚：
1、 What can be done（Risk Mitigation，风险消除方案）
2、 How much will it cost （annualized，方案每年平均成本）
3、 Is it cost effective （Cost/Benefit Analysis，费效比分析）
上述问题的解答将最终决定一个实体对风险对象的最终解决方案，并执行管理层批准、财务提供预算、采购、部署、维护等流程进行实施。对于IT领域，风险管理则更进一步的细化为Information Risk Management（IRM），因为IT技术不断的发展，IRM也是一个没有结束期，需要持续关注的行为。
在进行下面的内容之前，J0ker打算先向大家列出几个关键的名词： SLE：Single Loss Expectancy，风险发生时的单个对象的损失 ARO：Annualized rate of Occurrence，一年内风险发生的几率 ALE：Annualized Loss Expectancy，风险发生时每年平均损失，ALE=SLE×ARO，即如果一个对象遭遇风险时损失(SLE)是10万元，每年发生该风险的几率(ARO)是1/100，那每年平均损失就是100000×0.01=1000 Information Asset：信息资产，对组织运作起关键作用的信息相关实体，比如客户资料、交易情况等等，信息资产的价值由许多元素组成，包括最基本的信息本身的价值、信息处理支持软件的价值、信息的Availability、Confidentiality、Integrity属性、信息处理所需的硬件设备也可认为属于信息资产，信息资产的价值还可以根据损失它后会对组织造成信息本身价值之外的损失的大小来进行评估。 Qualitative/Quantitative：质化/量化，对于信息资产价值的评估，通常可以采用量化和质化的方式，对于能直接算出资产价值的对象，如设备、软件等，可以用量化的方式，直接算出它的价值。对于另外一些无法量化的对象，如数据、业务流程等，则可以使用质化的方式，请使用该对象的人员，用分级的方式评估该资产的价值，J0ker觉得简单的五分法可以应付一般的任务， 将信息资产按其对组织运营的重要程度，分为非常重要、重要、比较重要、一般、不重要五个级别，并对应1-5分，分值越高，信息资产的重要程度也越高。 Risk：风险，潜在的损失或伤害，请参考本文前面的内容 Threat：威胁，有可能造成风险的因素，比如各种恶意软件、自然灾害等 Safeguard：风险防御措施，通常也称为Control，风险控制措施 Vulnerability：漏洞，风险防御措施的缺失或弱点，通常出现漏洞就意味着风险发生的频率更高和风险发生时损失更大。比如没有安装反病毒软件便可认为是一个漏洞，会使恶意软件攻击的发生几率和损失更大。
信息风险管理是一个复杂的流程，它需要根据每个组织不同的信息资产和业务流程情况，并综合企业管理、经营预算、员工行为等来进行制定并执行。如果大家有兴趣进一步深入IRM的领域，请参考CISSP Official Guide、All in One或其他CISSP参考书。
IP卡
狗仔卡
发表于 2007-12-29 10:30:09
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
楼主
）。试卷一共有30多页，250道题，都是单项选择题，题型有一个问题一道题的，而场景类的题目通常有三到五个问题，考生需要考虑好怎么在6个小时的有限时间内完成250道题，因为做错没有倒扣分，所以即使不懂试卷也不要留空，随便填一个也好的。
发表于 2008-3-19 14:10:35
发表于 2009-5-3 18:42:44