"網絡安全工作從業者推薦閱讀、網絡安全滲透測試方向認證考試指導 "

●第1章概述
1.1風險和風險管理
1.1.1風險
1.1.2風險的基本特性
1.1.3風險的構成要素
1.1.4風險管理
1.2信息安全風險管理
1.2.1信息安全
1.2.2信息安全風險
1.2.3信息安全風險管理
1.3信息安全風險評估
1.3.1信息安全風險評估的定義
1.3.2信息安全風險評估的目的和意義
1.3.3信息安全風險評估的原則
1.3.4信息安全風險評估過程
1.3.5信息安全風險管理與風險評估的關繫
1.4小結
習題
第2章信息安全風險管理相關標準
2.1標準化組織
2.1.1國際的標準化組織
2.1.2部分國家的標準化組織及相關標準
2.1.3我國信息安全風險管理標準體繫框架
2.2風險管理標準ISO31000
2.2.1風險管理歷史沿革
2.2.2ISO31000:2018主要內容
2.2.3新舊版本標準比較
2.3信息安全風險管理標準ISO/IEC27005
2.3.1ISO/IEC27000繫列標準
2.3.2ISO/IEC27005版本的演化
2.3.3ISO/IEC27005:2018標準主要內容
2.3.4ISO31000與ISO/IEC27005的比較
2.4信息安全風險評估規範GB/T20984
2.4.1我國信息安全風險評估發展歷程
2.4.2GB/T20984規範主要內容
2.4.3GB/T20984與ISO31000與ISO/IEC27005的關繫
2.5小結
習題
第3章 環境建立
3.1環境建立概述
3.1.1環境建立定義
3.1.2環境建立目的和依據
3.1.3基本準則
3.1.4範圍和邊界
3.1.5信息安全風險管理組織
3.2環境建立過程
3.2.1風險管理準備
3.2.2調查與分析
3.2.3信息安全分析
3.2.4基本原則確立
3.2.5實施規劃
3.3環境建立文檔
3.4風險評估準備
3.4.1確定信息安全風險評估的目標
3.4.2確定信息安全風險評估的範圍
3.4.3組建風險評估團隊
3.4.4進行繫統調研
3.4.5確定信息安全風險評估依據和方法
3.4.6選定評估工具
3.4.7制定信息安全風險評估方案
3.4.8準備階段工作保障
3.5項目管理基礎
3.5.1項目管理概述
3.5.2項目管理的重點知識領域
3.5.3項目生命周期
3.5.4項目管理過程
3.6小結
習題
第4章發展戰略和業務識別
4.1風險識別概述
4.1.1風險識別的定義
4.1.2風險識別的原則
4.1.3風險識別的方法工具
4.2發展戰略和業務識別內容
4.2.1發展戰略識別
4.2.2業務識別內容
4.2.3發展戰略、業務與資產關繫
4.2.4發展戰略識別和業務識別的目的和意義
4.3發展戰略和業務識別方法和工具
4.3.1發展戰略識別方法和工具
4.3.2業務識別方法和工具
4.4發展戰略和業務識別過程和輸出
4.4.1發展戰略識別過程和輸出
4.4.2業務識別過程和輸出
4.5發展戰略和業務識別案例
4.5.1發展戰略識別
4.5.2業務識別與業務賦值
4.6小結
習題
第5章資產識別
5.1資產識別內容
5.1.1資產識別的定義
5.1.2資產分類
5.1.3資產賦值
5.2資產識別方法和工具
5.2.1資產識別方法
5.2.2資產識別工具
5.3資產識別過程和輸出
5.3.1資產識別過程
5.3.2資產識別輸出
5.4資產識別案例
5.5小結
習題
第6章威脅識別
6.1威脅識別內容
6.1.1威脅識別定義
6.1.2威脅屬性
6.1.3威脅分類
6.1.4威脅賦值
6.2威脅識別方法和工具
6.2.1威脅識別方法
6.2.2威脅識別工具
6.3威脅識別過程和輸出
6.3.1威脅識別過程
6.3.2威脅識別輸出
6.4威脅識別案例
6.5小結
習題
第7章脆弱性識別
第8章已有安全措施識別
第9章風險分析
第10章風險評價及風險評估輸出
第11章風險處置
第12章溝通與咨詢、監視與評審
第13章信息安全風險管理綜合實例
附錄A風險評估方法
附錄B風險評估工具
附錄C信息安全相關法律法規
參考文獻

本書從信息安全風險管理的基本概念入手，以信息安全風險管理標準——ISO／IEC27005《信息技術—安全技術—信息安全風險管理》為主線，全面介紹了信息安全風險管理相關國際標準和國家標準；詳細介紹了信息安全風險管理的環境建立，發展戰略和業務識別，資產識別，威脅識別，脆弱性識別，已有安全措施識別；還介紹了風險分析，風險評價及風險評估輸出，風險處置，溝通與咨詢、監視與評審等內容；並給出了信息安全風險管理綜合實例。本書還重點講解了脆弱性識別中的物理脆弱性識別、網絡脆弱性識別、繫統脆弱性識別、應用脆弱性識別、數據脆弱性識別和管理脆弱性識別等內容。本書力圖通過小案例與綜合實例，理論聯繫實踐，使讀者了解、掌握和運用信息安全風險管理的理論與實踐方法。本書是信息安全保障人員認證信息安全風險管理方向的培訓教材，面向政府部門、企事業單位從事信息安全風險管理或風險評估的專業人員，也適用於信息安全專業人士、大學生或等