CISM（信息安全经理）知识点整理（一）

1、信息安全治理是董事会和高级管理层的责任。

三个不同角色的职责和权利：

高级管理层：审批安全战略。

安全指导委员会或管理层：检查安全战略。

安全经理：定义、制定安全战略，同时负责安全政策的实施。

2、治理和管理的区别

治理是董事会的责任；管理是CEO领导下的高级管理层的责任。

3、可接受的风险水平取决于高级管理层的风险偏好水平。

风险偏好与风险容忍度挂钩。

风险偏好是管理层认为可接受的风险水平，风险容忍度是与可接受的风险水平发生偏差的可接受水平。

容忍度越低，风险偏好越低。

风险容忍度高可解决风险评估流程自身的不确定性问题。

将风险降低到可接受的水平，而不是最低水平。需要考虑成本，看性价比。

当残余风险无法满足可接受水平时，不一定要选择接受风险，更多可转移风险。

当残余风险超过组织可接受风险但在管理层可容忍范围内时，能缓解风险的缓解，或者是转移风险（比如买保险，但是保险不是万能的）。

剩余风险=固有风险-采取措施造成的积极影响

4、战略、政策、标准和准则

战略：表述信息安全计划的目标以及达成目标的计划。

政策：强制性，是战略的细化、说明，用于组织中确定方向，指导行动。政策必须反映管理层的意图、期望和指导方向。

标准：是强制性，是基准指标，必须随着要求和技术的变更而变更。

标准设定了允许的程序范围，以确保程序符合政策意图。

准则：建议，可选行动，非必要的，必须包含有助于执行程序的信息。

程序：程序必须是清晰的，并且包含用于完成特定任务的所有必要步骤。程序还必须包含发生意外结果时需要采取的步骤。

战略和政策一般长期不变。

5、治理框架的最大优点是提高效率、成本效益高，框架是其他大公司总结出来的经验。

安全架构融入企业架构。

6、新的信息安全项目应该支持信息安全战略。

7、业务案例

业务案例为组织提供了判断是否应将项目继续下去所需要的信息。必不可少的考虑因素是推动项目前进的价值主张或成本效益分析。

开发业务案例是获得高级管理层承诺的一种关键工具。它可为组织提供判断是否应该继续执行项目所需的信息。

业务案例可用来证明IT和信息安全举措在组织中的价值，并具体论证成本的合理性。

如何说服高级管理层启动某项目或任务是否合理：利用业务案例。

风险分析是业务案例的一部分；投入多少钱，产出多少钱都是业务案例的一部分；

只有老板支持才有钱、有人力。

8、价值交付：性价比高，投入产出比高；与组织目标相一致。

价值实现是安全战略与业务目标保持战略一致性的结果。

9、合规本身也是一种风险，投入产出比不高时，可以不合规。

10、衡量一个企业安全文化是否到位的是：最终用户在某段时间内举报安全事件的频率。

11、年预期损失（ALE）、单次预期损失（SLE）

SLE=AV（资产价值）*EF

ALE=SLE*ARO（年度发生率）

例：保险费+ALE+杂费=总费用（TCO）

若保险费为9万元，出事后保险公司就理赔1万，不划算，那就接受风险

12、KGI、KPI、KRI和CSF

KGI：关键目标指标，组织所追求的明确目标

KPI：关键绩效指标，判断流程的执行情况，分阶段和过程性的。

KRI：关键风险指标，①它要能预测风险事件②它要能反应与基准指标相比的偏差③要与建立基准指标的方法和目标相一致。

CSF，关键成功因素，实现高级别目标必须完成的目标和行动。

13、（信息安全机制）有效绩效衡量指标：

检测和报告安全相关事件所花费的时间越多越好。

后来发现未报告事件的数量和频率越少越好。

14、数据所有者承担数据泄露风险。

数据所有者对数据资产分类，制定信息分类政策，为信息资产分配重要性和敏感性，决定其访问控制级别。

数据分类方案由资产的业务价值及信息对业务的潜在影响决定，而非其资产本身的价值。

IT职能部门是数据所有者的保管员。

数据保管员负责确保数据受保护和数据的完整性。

15、平衡积分卡

平衡计分卡能够有效让信息安全目标与业务目标达成一致。

能力成熟度模型（CMMI）更关注流程，反映流程绩效和能力。（三级：已定义）

风险评估与分析模型：不能解决一致性问题，客观描述风险。

16、分布式组织

优势：安全管理自由度高

劣势：管理不便

17、人的性命高于一切。

18、 业务记录内容至少保存12个月。电子邮件的存档有一年或三年。