信息安全測評與風險評估（簡體書）

本書分為三部分共13章。第1部分（第1、2章）介紹信息安全測評思想和方法，是全書的靈魂；第2部分（第3章至第6章）介紹測評技術和流程；第3部分（第7章至第13章）介紹風險評估、應急響應、法律法規和信息安全管理體系。全書涉及了信息安全等級保護、風險評估、應急響應和信息安全管理體系等相關的國家標準，均屬于我國開展信息安全保障工作中所依據的核心標準集。 本書通過理論與實踐緊密聯系的方式，向讀者介紹如何依據國家有關標準要求進行信息系統的安全測評和風險評估。讀者讀完本書之后，既可掌握國家有關標準，更能在實際工作中去貫徹執行這些標準。 本書主要是針對全日制普通高等學校信息安全專業高年級本科生編寫的，但從事信息安全測評工作的有關讀者也可從中獲得借鑒。

第1章 信息安全測評思想
序幕：何危最險？
要點：本章結束之后，讀者應當了解和掌握
1.1 信息安全測評的科學精神
1.2 信息安全測評的科學方法
1.3 信息安全測評的貫標思想
1.4 信息安全標準化組織
1.4.1 國際標準化組織
1.4.2 國外標準化組織
1.4.3 國內標準化組織
1.5 本章小結
尾聲：三位旅行者
觀感
第2章 信息安全測評方法
序幕：培根的《新工具》
要點：本章結束之后，讀者應當了解和掌握
2.1 為何測評
2.1.1 信息系統安全等級保護標準與TCSEC
2.1.2 中國的計算機安全等級保護標準
2.1.3 安全域
2.2 何時測評
2.3 測評什么
2.3.1 外網測評特點
2.3.2 內網測評特點
2.4 誰來測評
2.5 如何準備測評
2.6 怎樣測評
2.6.1 測評案例——“天網”工程
2.6.2 啟動“天網”測評
2.7 本章小結
尾聲：比《新工具》更新的是什么？
觀感
第3章 數據安全測評技術
序幕：謎已解，史可鑒
要點：本章結束之后，讀者應當了解和掌握
3.1 數據安全測評的諸方面
3.2 數據安全測評的實施
3.2.1 數據安全訪談調研
3.2.2 數據安全現場檢查
3.2.3 數據安全測試
3.3 本章小結
尾聲：竊之猶在！
觀感
第4章 主機安全測評技術
序幕：第一代黑客
要點：本章結束之后，讀者應當了解和掌握
4.1 主機安全測評的諸方面
4.2 主機安全測評的實施
4.2.1 主機安全訪談調研
4.2.2 主機安全現場檢查
4.2.3 主機安全測試
4.3 本章小結
尾聲：可信賴的主體
觀感
第5章 網絡安全測評技術
序幕：圍棋的智慧
要點：本章結束之后，讀者應當了解和掌握
5.1 網絡安全測評的諸方面
5.2 網絡安全測評的實施
5.2.1 網絡安全訪談調研
5.2.2 網絡安全現場檢查
5.2.3 網絡安全測試
5.3 本章小結
尾聲：墻、門、界
觀感
第6章 應用安全測評技術
序幕：“機器會思考嗎？”
要點：本章結束之后，讀者應當了解和掌握
6.1 應用安全測評的諸方面
6.2 應用安全測評的實施
6.2.1 應用安全訪談調研
6.2.2 應用安全現場檢查
6.2.3 應用安全測試
6.3 本章小結
尾聲：史上最“萬能”的機器
觀感
第7章 資產識別
序幕：倫敦大火啟示錄
要點：本章結束之后，讀者應當了解和掌握
7.1 風險概述
7.2 資產識別的諸方面
7.2.1 資產分類
7.2.2 資產賦值
7.3 資產識別案例分析
7.3.1模 擬案例背景簡介
7.3.2 資產分類
7.3.3 資產賦值
7.3.4 資產識別輸出報告
7.4 本章小結
尾聲：我們究竟擁有什么？
觀感
第8章 威脅識別
序幕：威脅在哪里？
要點：本章結束之后，讀者應當了解和掌握
8.1 威脅概述
8.2 威脅識別的諸方面
8.2.1 威脅分類——植樹和剪枝
8.2.2 威脅賦值——統計
8.3 威脅識別案例分析
8.3.1 “數字蘭曦”威脅識別
8.3.2 威脅識別輸出報告
8.4 本章小結
尾聲：在鷹隼盤旋的天空下
觀感
第9章 脆弱性識別
序幕：永恒的阿基里斯之踵
要點：本章結束之后，讀者應當了解和掌握
9.1 脆弱性概述
9.2 脆弱性識別的諸方面
9.2.1 脆弱性發現
9.2.2 脆弱性分類
9.2.3 脆弱性驗證
9.2.4 脆弱性賦值
9.3 脆弱性識別案例分析
9.3.1 信息環境脆弱性識別
9.3.2 公用信息載體脆弱性識別
9.3.3 脆弱性仿真驗證
9.3.4 脆弱性識別輸出報告
9.4 本章小結
尾聲：木馬歌
觀感
第10章 風險分析
序幕：烽火的演變
要點：本章結束之后，讀者應當了解和掌握
10.1 風險分析概述
10.2 風險計算
10.2.1 相乘法原理
10.2.2 風險值計算示例
10.3 風險定級
10.4 風險控制
10.5 殘余風險
10.6 風險評估案例分析
10.6.1 信息環境風險計算
10.6.2 人員資產風險計算
10.6.3 管理制度風險計算
10.6.4 機房風險計算1.
10.6.5 信息環境風險統計
10.6.6 公用信息載體風險計算
10.6.7 專用信息及信息載體的風險計算
10.6.8 風險計算報告
10.6.9 風險控制示例
10.6.10 風險控制計劃
10.7 本章小結
尾聲：“勇敢”的反面是什么
觀感
第11章應急響應
序幕：虛擬社會的消防隊
要點：本章結束之后，讀者應當了解和掌握
11.1 應急響應概述
11.2 應急響應計劃
11.2.1 應急響應計劃的準備
11.2.2 應急響應計劃制定中應注意的問題
11.2.3 應急響應計劃的制定
11.2.4 應急響應計劃的培訓、演練和更新
11.2.5 文檔的保存、分發與維護
11.3 應急響應計劃案例分析
11.3.1 南海大學信息安全應急響應計劃示例
11.3.2 “南洋烽火計劃”
11.4 本章小結
尾聲：如何變“驚慌失措”為“從容不迫”
觀感
第12章 法律和法規
序幕：神話世界中需要秩序嗎
要點：本章結束之后，讀者應當了解和掌握
12.1 計算機犯罪概述
12.2 信息安全法律和法規簡介
12.2.1 美國有關法律
12.2.2 中國信息安全法律和法規的歷史沿革
12.3 本章小結
尾聲：從囚徒困境說起
觀感
第13章 信息安全管理體系
序幕：武學的最高境界
要點：本章結束之后，讀者應當了解和掌握
13.1 ISMS概述
13.2 ISMS主要內容
13.2.1 計劃(Plan)
13.2.2 實施(Do)
13.2.3 檢查(Check)
13.2.4 處置(Act)
13.3 本章小結
尾聲：實力源于何處
觀感
參考文獻