前言

第1章 信息安全審計概述1
1.1 信息安全現(xiàn)狀分析1
1.1.1 信息安全現(xiàn)狀1
1.1.2 信息系統(tǒng)面臨的主要安全威脅4
1.2 信息安全目標(biāo)與主要安全
業(yè)務(wù)5
1.2.1 信息安全的目標(biāo)5
1.2.2 主要安全業(yè)務(wù)6
1.3 信息系統(tǒng)安全設(shè)計6
1.3.1 信息系統(tǒng)設(shè)計6
1.3.2 信息系統(tǒng)的安全保護(hù)等級8
1.3.3 信息系統(tǒng)安全風(fēng)險的分析與
控制9
1.4 信息安全事件、審計及審計
案例13
1.4.1 信息安全事件13
1.4.2 信息安全審計15
1.4.3 網(wǎng)上銀行審計案例16
1.5 本章小結(jié)17
習(xí)題117
第2章 信息安全技術(shù)18
2.1 密碼學(xué)18
2.1.1 密碼學(xué)基礎(chǔ)18
2.1.2 密碼學(xué)主要技術(shù)21
2.1.3 國密算法30
2.2 網(wǎng)絡(luò)安全技術(shù)31
2.2.1 網(wǎng)絡(luò)安全協(xié)議31
2.2.2 網(wǎng)絡(luò)攻擊技術(shù)32
2.2.3 入侵檢測技術(shù)33
2.2.4 VPN技術(shù)36
2.2.5 防病毒技術(shù)38
2.2.6 PKI技術(shù)38
2.3 信息系統(tǒng)安全39
2.3.1 信息系統(tǒng)安全基本概念39
2.3.2 信息系統(tǒng)安全威脅39
2.3.3 信息系統(tǒng)安全防范41
2.4 本章小結(jié)42
習(xí)題242
第3章 實體訪問控制的審計43
3.1 IT組織與策略的審計44
3.1.1 IT組織結(jié)構(gòu)審計44
3.1.2 審查IT戰(zhàn)略規(guī)劃流程45
3.1.3 審查技術(shù)和應(yīng)用策略45
3.1.4 審查IT的業(yè)績指標(biāo)和
衡量標(biāo)準(zhǔn)45
3.1.5 審查IT組織新項目及
審批流程46
3.1.6 評估IT項目執(zhí)行度及產(chǎn)品
質(zhì)量標(biāo)準(zhǔn)46
3.1.7 確保IT安全策略的存在47
3.2 實體級控件的風(fēng)險與管理的
審計48
3.2.1 審查和評估IT組織的風(fēng)險
評估流程48
3.2.2 審查和評估員工技能與知識
流程49
3.2.3 審查和評估數(shù)據(jù)政策和流程49
3.2.4 審查和評估監(jiān)管程序流程50
3.2.5 審查和評估用戶滿意度流程50
3.2.6 審查和評估管理第三方服務(wù)的
程序50
3.2.7 審查和評估控制非員工邏輯
訪問的流程51
3.2.8 審查和評估確保公司遵守適用
軟件許可證的流程52
3.3 實體級控件相關(guān)的審計52
3.3.1 審查和評估對公司網(wǎng)絡(luò)遠(yuǎn)程
訪問的控制52
3.3.2 審查和評估雇傭及解雇程序53
3.3.3 審查和評估硬件采購及流動
程序53
3.3.4 審查和評估管理控制系統(tǒng)
配置53
3.3.5 審查和評估審計媒體控制
策略及程序54
3.3.6 核實公司政策和程序是否
有效54
3.3.7 確定和審計其他實體級IT
流程55
3.4 本章小結(jié)55
習(xí)題355
第4章 數(shù)據(jù)中心和災(zāi)備機制的
審計56
4.1 數(shù)據(jù)中心的核心作用56
4.2 數(shù)據(jù)中心的審計過程57
4.2.1 數(shù)據(jù)中心的審計要點57
4.2.2 審計數(shù)據(jù)中心的測試步驟59
4.2.3 審計數(shù)據(jù)中心清單61
4.3 本章小結(jié)76
習(xí)題476
第5章 路由器/防火墻的審計77
5.1 路由器/防火墻審計的
必要性77
5.1.1 路由器審計的必要性77
5.1.2 防火墻審計的必要性81
5.2 路由器/防火墻的審計87
5.2.1 審計準(zhǔn)備88
5.2.2 審計過程88
5.3 本章小結(jié)90
習(xí)題590
第6章 Web應(yīng)用的審計91
6.1 審計主機操作系統(tǒng)91
6.2 審計Web服務(wù)器92
6.2.1 Web服務(wù)器的主要安全威脅92
6.2.2 審計Web服務(wù)器的過程92
6.3 審計Web應(yīng)用94
6.3.1 Web應(yīng)用的主要安全威脅94
6.3.2 審計Web應(yīng)用的過程95
6.4 本章小結(jié)100
習(xí)題6100
第7章 數(shù)據(jù)庫與云存儲的審計101
7.1 審計數(shù)據(jù)庫102
7.1.1 數(shù)據(jù)庫安全102
7.1.2 數(shù)據(jù)庫安全審計要點107
7.2 審核云計算和外包運營116
7.2.1 IT系統(tǒng)和基礎(chǔ)設(shè)施外包117
7.2.2 IT服務(wù)外包120
7.3 云儲存的審計121
7.3.1 云儲存審計的標(biāo)準(zhǔn)121
7.3.2 審核云計算和外包運營的
測試步驟122
7.4 本章小結(jié)134
習(xí)題7134
第8章 信息系統(tǒng)的審計135
8.1 信息系統(tǒng)開發(fā)原理135
8.1.1 信息系統(tǒng)概述135
8.1.2 信息系統(tǒng)開發(fā)的基本流程和
規(guī)范136
8.2 信息系統(tǒng)安全機制139
8.2.1 身份認(rèn)證140
8.2.2 訪問控制141
8.2.3 消息認(rèn)證技術(shù)144
8.3 信息系統(tǒng)安全審計145
8.3.1 信息安全審計145
8.3.2 信息安全審計流程及分析
方法147
8.4 本章小結(jié)149
習(xí)題8149
第9章 信息安全審計風(fēng)險、
標(biāo)準(zhǔn)和法規(guī)150
9.1 信息安全管理與風(fēng)險評估150
9.1.1 信息安全管理與風(fēng)險評估
概述150
9.1.2 信息安全管理體系152
9.1.3 信息安全風(fēng)險評估154
9.2 信息安全審計標(biāo)準(zhǔn)與法規(guī)158
9.2.1 信息安全審計標(biāo)準(zhǔn)158
9.2.2 ISO/IEC 27001信息安全
管理體系161
9.2.3 信息安全相關(guān)法律法規(guī)162
9.3 信息安全等級保護(hù)163
9.3.1 信息安全等級保護(hù)的等級
劃分與相關(guān)知識164
9.3.2 等保（等級保護(hù)）2.0165
9.4 本章小結(jié)168
習(xí)題9168
第10章 信息安全審計流程169
10.1 COSO170
10.1.1 內(nèi)部控制及其關(guān)鍵概念170
10.1.2 內(nèi)部控制整合框架170
10.1.3 企業(yè)風(fēng)險管理整合框架172
10.1.4 COSO 的影響173
10.2 信息及相關(guān)技術(shù)控制目標(biāo)（COBIT）174
10.2.1 COBIT概念174
10.2.2 IT治理176
10.2.3 IT治理成熟度模型176
10.2.4 COBIT-COSO連接177
10.3 IT基礎(chǔ)架構(gòu)庫（ITIL）179
10.4 ISO 27001179
10.4.1 ISO背景179
10.4.2 ISO 27001 概念180
10.5 美國國家安全局信息技術(shù)
評估方法180
10.6 我國信息系統(tǒng)安全審計181
10.6.1 背景181
10.6.2 信息系統(tǒng)審計的實施182
10.7 本章小結(jié)185
習(xí)題10185
參考文獻(xiàn)186