这一章,是个帽子,还是个比较大的帽子。
没懂教材编辑者的思路,从这13个小节的标题来看,差那么点意思。可能是东西方差异,但“金字塔原理”也是西方人搞的,好吧!
那么,就按照个人的经验和理解,重构一下吧。
首先,第一个小节,“理解、遵从与提升职业道德”,将职业道德放在开端,有点“立业先立德”的意思啦。
然后,介绍下信息安全的基本概念,即CIA三性,相比18版考纲,新增了真实性和不可否认性。基本概念中,再引入风险的概念。
后面,主要就围绕着着风险管理和安全治理展开阐述:
风险管理:
风险管理部分,可以部分套用ISO31000的风险识别、分析、评价和处置的逻辑。
什么是风险:理解并应用风险管理概念(1.10)
如何识别风险:理解并应用威胁建模的概念和方法(1.11)
如何分析和评估风险:
对业务连续性(BC)要求进行识别、分析和优先级排序(1.8)
应用供应链风险管理(SCRM)概念(1.12)
确定合规性和其他要求(1.4,1.5,1.6)
安全治理:个人理解,是部分套用了cobit5的框架
安全治理的基本框架:评估和应用安全治理原理(1.3)
总方针标准:制定、记录和实施安全政策、标准、程序和指南(1.7)
人员策略制定:协助制定和实施人员安全政策和程序(1.9)
意识教育:制定并维护安全意识、教育和培训计划(1.13)
以上,就是21版考纲第一章节的骨架,从梳理框架的角度看,就这么些内容。但,这一章,是整个CISSP的灵魂和骨架,考试占权重最重,在AIO中篇幅也是比较长的。梳理完框架,下一步就是对着AIO进行深入细致的研读。
注:为了简化章节目录,上述架构,确有不严谨的地方,甚至有望文生义牵强附会的地方。但至少,是将书读薄的一个路径。
附一:ISO31000风险处理过程
附二:Cobit5 架构