前言

第1章 信息安全審計(jì)概述1
1.1 信息安全現(xiàn)狀分析1
1.1.1 信息安全現(xiàn)狀1
1.1.2 信息系統(tǒng)面臨的主要安全威脅4
1.2 信息安全目標(biāo)與主要安全
業(yè)務(wù)5
1.2.1 信息安全的目標(biāo)5
1.2.2 主要安全業(yè)務(wù)6
1.3 信息系統(tǒng)安全設(shè)計(jì)6
1.3.1 信息系統(tǒng)設(shè)計(jì)6
1.3.2 信息系統(tǒng)的安全保護(hù)等級(jí)8
1.3.3 信息系統(tǒng)安全風(fēng)險(xiǎn)的分析與
控制9
1.4 信息安全事件、審計(jì)及審計(jì)
案例13
1.4.1 信息安全事件13
1.4.2 信息安全審計(jì)15
1.4.3 網(wǎng)上銀行審計(jì)案例16
1.5 本章小結(jié)17
習(xí)題117
第2章 信息安全技術(shù)18
2.1 密碼學(xué)18
2.1.1 密碼學(xué)基礎(chǔ)18
2.1.2 密碼學(xué)主要技術(shù)21
2.1.3 國(guó)密算法30
2.2 網(wǎng)絡(luò)安全技術(shù)31
2.2.1 網(wǎng)絡(luò)安全協(xié)議31
2.2.2 網(wǎng)絡(luò)攻擊技術(shù)32
2.2.3 入侵檢測(cè)技術(shù)33
2.2.4 VPN技術(shù)36
2.2.5 防病毒技術(shù)38
2.2.6 PKI技術(shù)38
2.3 信息系統(tǒng)安全39
2.3.1 信息系統(tǒng)安全基本概念39
2.3.2 信息系統(tǒng)安全威脅39
2.3.3 信息系統(tǒng)安全防范41
2.4 本章小結(jié)42
習(xí)題242
第3章 實(shí)體訪問控制的審計(jì)43
3.1 IT組織與策略的審計(jì)44
3.1.1 IT組織結(jié)構(gòu)審計(jì)44
3.1.2 審查IT戰(zhàn)略規(guī)劃流程45
3.1.3 審查技術(shù)和應(yīng)用策略45
3.1.4 審查IT的業(yè)績(jī)指標(biāo)和
衡量標(biāo)準(zhǔn)45
3.1.5 審查IT組織新項(xiàng)目及
審批流程46
3.1.6 評(píng)估IT項(xiàng)目執(zhí)行度及產(chǎn)品
質(zhì)量標(biāo)準(zhǔn)46
3.1.7 確保IT安全策略的存在47
3.2 實(shí)體級(jí)控件的風(fēng)險(xiǎn)與管理的
審計(jì)48
3.2.1 審查和評(píng)估IT組織的風(fēng)險(xiǎn)
評(píng)估流程48
3.2.2 審查和評(píng)估員工技能與知識(shí)
流程49
3.2.3 審查和評(píng)估數(shù)據(jù)政策和流程49
3.2.4 審查和評(píng)估監(jiān)管程序流程50
3.2.5 審查和評(píng)估用戶滿意度流程50
3.2.6 審查和評(píng)估管理第三方服務(wù)的
程序50
3.2.7 審查和評(píng)估控制非員工邏輯
訪問的流程51
3.2.8 審查和評(píng)估確保公司遵守適用
軟件許可證的流程52
3.3 實(shí)體級(jí)控件相關(guān)的審計(jì)52
3.3.1 審查和評(píng)估對(duì)公司網(wǎng)絡(luò)遠(yuǎn)程
訪問的控制52
3.3.2 審查和評(píng)估雇傭及解雇程序53
3.3.3 審查和評(píng)估硬件采購(gòu)及流動(dòng)
程序53
3.3.4 審查和評(píng)估管理控制系統(tǒng)
配置53
3.3.5 審查和評(píng)估審計(jì)媒體控制
策略及程序54
3.3.6 核實(shí)公司政策和程序是否
有效54
3.3.7 確定和審計(jì)其他實(shí)體級(jí)IT
流程55
3.4 本章小結(jié)55
習(xí)題355
第4章 數(shù)據(jù)中心和災(zāi)備機(jī)制的
審計(jì)56
4.1 數(shù)據(jù)中心的核心作用56
4.2 數(shù)據(jù)中心的審計(jì)過程57
4.2.1 數(shù)據(jù)中心的審計(jì)要點(diǎn)57
4.2.2 審計(jì)數(shù)據(jù)中心的測(cè)試步驟59
4.2.3 審計(jì)數(shù)據(jù)中心清單61
4.3 本章小結(jié)76
習(xí)題476
第5章 路由器/防火墻的審計(jì)77
5.1 路由器/防火墻審計(jì)的
必要性77
5.1.1 路由器審計(jì)的必要性77
5.1.2 防火墻審計(jì)的必要性81
5.2 路由器/防火墻的審計(jì)87
5.2.1 審計(jì)準(zhǔn)備88
5.2.2 審計(jì)過程88
5.3 本章小結(jié)90
習(xí)題590
第6章 Web應(yīng)用的審計(jì)91
6.1 審計(jì)主機(jī)操作系統(tǒng)91
6.2 審計(jì)Web服務(wù)器92
6.2.1 Web服務(wù)器的主要安全威脅92
6.2.2 審計(jì)Web服務(wù)器的過程92
6.3 審計(jì)Web應(yīng)用94
6.3.1 Web應(yīng)用的主要安全威脅94
6.3.2 審計(jì)Web應(yīng)用的過程95
6.4 本章小結(jié)100
習(xí)題6100
第7章 數(shù)據(jù)庫(kù)與云存儲(chǔ)的審計(jì)101
7.1 審計(jì)數(shù)據(jù)庫(kù)102
7.1.1 數(shù)據(jù)庫(kù)安全102
7.1.2 數(shù)據(jù)庫(kù)安全審計(jì)要點(diǎn)107
7.2 審核云計(jì)算和外包運(yùn)營(yíng)116
7.2.1 IT系統(tǒng)和基礎(chǔ)設(shè)施外包117
7.2.2 IT服務(wù)外包120
7.3 云儲(chǔ)存的審計(jì)121
7.3.1 云儲(chǔ)存審計(jì)的標(biāo)準(zhǔn)121
7.3.2 審核云計(jì)算和外包運(yùn)營(yíng)的
測(cè)試步驟122
7.4 本章小結(jié)134
習(xí)題7134
第8章 信息系統(tǒng)的審計(jì)135
8.1 信息系統(tǒng)開發(fā)原理135
8.1.1 信息系統(tǒng)概述135
8.1.2 信息系統(tǒng)開發(fā)的基本流程和
規(guī)范136
8.2 信息系統(tǒng)安全機(jī)制139
8.2.1 身份認(rèn)證140
8.2.2 訪問控制141
8.2.3 消息認(rèn)證技術(shù)144
8.3 信息系統(tǒng)安全審計(jì)145
8.3.1 信息安全審計(jì)145
8.3.2 信息安全審計(jì)流程及分析
方法147
8.4 本章小結(jié)149
習(xí)題8149
第9章 信息安全審計(jì)風(fēng)險(xiǎn)、
標(biāo)準(zhǔn)和法規(guī)150
9.1 信息安全管理與風(fēng)險(xiǎn)評(píng)估150
9.1.1 信息安全管理與風(fēng)險(xiǎn)評(píng)估
概述150
9.1.2 信息安全管理體系152
9.1.3 信息安全風(fēng)險(xiǎn)評(píng)估154
9.2 信息安全審計(jì)標(biāo)準(zhǔn)與法規(guī)158
9.2.1 信息安全審計(jì)標(biāo)準(zhǔn)158
9.2.2 ISO/IEC 27001信息安全
管理體系161
9.2.3 信息安全相關(guān)法律法規(guī)162
9.3 信息安全等級(jí)保護(hù)163
9.3.1 信息安全等級(jí)保護(hù)的等級(jí)
劃分與相關(guān)知識(shí)164
9.3.2 等保（等級(jí)保護(hù)）2.0165
9.4 本章小結(jié)168
習(xí)題9168
第10章 信息安全審計(jì)流程169
10.1 COSO170
10.1.1 內(nèi)部控制及其關(guān)鍵概念170
10.1.2 內(nèi)部控制整合框架170
10.1.3 企業(yè)風(fēng)險(xiǎn)管理整合框架172
10.1.4 COSO 的影響173
10.2 信息及相關(guān)技術(shù)控制目標(biāo)（COBIT）174
10.2.1 COBIT概念174
10.2.2 IT治理176
10.2.3 IT治理成熟度模型176
10.2.4 COBIT-COSO連接177
10.3 IT基礎(chǔ)架構(gòu)庫(kù)（ITIL）179
10.4 ISO 27001179
10.4.1 ISO背景179
10.4.2 ISO 27001 概念180
10.5 美國(guó)國(guó)家安全局信息技術(shù)
評(píng)估方法180
10.6 我國(guó)信息系統(tǒng)安全審計(jì)181
10.6.1 背景181
10.6.2 信息系統(tǒng)審計(jì)的實(shí)施182
10.7 本章小結(jié)185
習(xí)題10185
參考文獻(xiàn)186