內容簡介

《信息安全審計》重點介紹如何根據相關標準、法規進行合規性安全審計，以及如何對計算機信息繫統中的所有網絡資源（包括數據庫、主機、操作繫統、網絡設備、安全設備等）進行安全審計，記錄所有發生的事件，為繫統管理員提供繫統維護以及安全防範的依據。

《信息安全審計》可作為信息安全、網絡空間安全、信息管理與信息繫統以及其他信息技術類專業的教材，同時也可以作為從事IT審計、信息安全審計工作的專業人員的參考書。

  目錄

前言

*1章  信息安全審計概述1

1.1  信息安全現狀分析1

1.1.1  信息安全現狀1

1.1.2  信息繫統面臨的主要安全威脅4

1.2  信息安全目標與主要安全

業務5

1.2.1  信息安全的目標5

1.2.2  主要安全業務6

1.3  信息繫統安全設計6

1.3.1  信息繫統設計6

1.3.2  信息繫統的安全保護等級8

1.3.3  信息繫統安全風險的分析與

控制9

1.4  信息安全事件、審計及審計

案例13

1.4.1  信息安全事件13

1.4.2  信息安全審計15

1.4.3  網上銀行審計案例16

1.5  本章小結17

習題117

*2章  信息安全技術18

2.1  密碼學18

2.1.1  密碼學基礎18

2.1.2  密碼學主要技術21

2.1.3  國密算法30

2.2  網絡安全技術31

2.2.1  網絡安全協議31

2.2.2  網絡攻擊技術32

2.2.3  入侵檢測技術33

2.2.4  VPN技術36

2.2.5  防病毒技術38

2.2.6  PKI技術38

2.3  信息繫統安全39

2.3.1  信息繫統安全基本概念39

2.3.2  信息繫統安全威脅39

2.3.3  信息繫統安全防範41

2.4  本章小結42

習題242

第3章  實體訪問控制的審計43

3.1  IT組織與策略的審計44

3.1.1  IT組織結構審計44

3.1.2  審查IT戰略規劃流程45

3.1.3  審查技術和應用策略45

3.1.4  審查IT的業績指標和

衡量標準45

3.1.5  審查IT組織新項目及

審批流程46

3.1.6  評估IT項目執行度及產品

質量標準46

3.1.7  確保IT安全策略的存在47

3.2  實體級控件的風險與管理的

審計48

3.2.1  審查和評估IT組織的風險

評估流程48

3.2.2  審查和評估員工技能與知識

流程49

3.2.3  審查和評估數據政策和流程49

3.2.4  審查和評估監管程序流程50

3.2.5  審查和評估用戶滿意度流程50

3.2.6  審查和評估管理第三方服務的

程序50

3.2.7  審查和評估控制非員工邏輯

訪問的流程51

3.2.8  審查和評估確保公司遵守適用

軟件許可證的流程52

3.3  實體級控件相關的審計52

3.3.1  審查和評估對公司網絡遠程

訪問的控制52

3.3.2  審查和評估雇傭及解雇程序53

3.3.3  審查和評估硬件采購及流動

程序53

3.3.4  審查和評估管理控制繫統

配置53

3.3.5  審查和評估審計媒體控制

策略及程序54

3.3.6  核實公司政策和程序是否

有效54

3.3.7  確定和審計其他實體級IT

流程55

3.4  本章小結55

習題355

第4章  數據中心和災備機制的

審計56

4.1  數據中心的核心作用56

4.2  數據中心的審計過程57

4.2.1  數據中心的審計要點57

4.2.2  審計數據中心的測試步驟59

4.2.3  審計數據中心清單61

4.3  本章小結76

習題476

第5章  路由器/防火牆的審計77

5.1  路由器/防火牆審計的

必要性77

5.1.1  路由器審計的必要性77

5.1.2  防火牆審計的必要性81

5.2  路由器/防火牆的審計87

5.2.1  審計準備88

5.2.2  審計過程88

5.3  本章小結90

習題590

第6章  Web應用的審計91

6.1  審計主機操作繫統91

6.2  審計Web服務器92

6.2.1  Web服務器的主要安全威脅92

6.2.2  審計Web服務器的過程92

6.3  審計Web應用94

6.3.1  Web應用的主要安全威脅94

6.3.2  審計Web應用的過程95

6.4  本章小結100

習題6100

第7章  數據庫與雲存儲的審計101

7.1  審計數據庫102

7.1.1  數據庫安全102

7.1.2  數據庫安全審計要點107

7.2  審核雲計算和外包運營116

7.2.1  IT繫統和基礎設施外包117

7.2.2  IT服務外包120

7.3  雲儲存的審計121

7.3.1  雲儲存審計的標準121

7.3.2  審核雲計算和外包運營的

測試步驟122

7.4  本章小結134

習題7134

第8章  信息繫統的審計135

8.1  信息繫統開發原理135

8.1.1  信息繫統概述135

8.1.2  信息繫統開發的基本流程和

規範136

8.2  信息繫統安全機制139

8.2.1  身份認證140

8.2.2  訪問控制141

8.2.3  消息認證技術144

8.3  信息繫統安全審計145

8.3.1  信息安全審計145

8.3.2  信息安全審計流程及分析

方法147

8.4  本章小結149

習題8149

第9章  信息安全審計風險、

標準和法規150

9.1  信息安全管理與風險評估150

9.1.1  信息安全管理與風險評估

概述150

9.1.2  信息安全管理體繫152

9.1.3  信息安全風險評估154

9.2  信息安全審計標準與法規158

9.2.1  信息安全審計標準158

9.2.2  ISO/IEC 27001信息安全

管理體繫161

9.2.3  信息安全相關法律法規162

9.3  信息安全等級保護163

9.3.1  信息安全等級保護的等級

劃分與相關知識164

9.3.2  等保（等級保護）2.0165

9.4  本章小結168

習題9168

*10章  信息安全審計流程169

10.1  COSO170

10.1.1  內部控制及其關鍵概念170

10.1.2  內部控制整合框架170

10.1.3  企業風險管理整合框架172

10.1.4  COSO 的影響173

10.2  信息及相關技術控制目標（COBIT）174

10.2.1  COBIT概念174

10.2.2  IT治理176

10.2.3  IT治理成熟度模型176

10.2.4  COBIT-COSO連接177

10.3  IT基礎架構庫（ITIL）179

10.4  ISO 27001179

10.4.1  ISO背景179

10.4.2  ISO 27001 概念180

10.5  美國國家安全局信息技術

評估方法180

10.6  我國信息繫統安全審計181

10.6.1  背景181

10.6.2  信息繫統審計的實施182

10.7  本章小結185

習題10185

參考文獻186