第一部分 基本知识 3
第1章 引论 3
1.1 信息安全管理概述 3
1.1.1 信息安全管理的内涵 3
1.1.2 信息安全管理发展状况 5
1.2 信息安全风险评估概述 7
1.2.1 信息安全风险评估的内涵 7
1.2.2 风险评估的意义 8
1.2.3 信息安全风险评估发展状况 8
1.3 信息安全管理与风险评估的关系 13
思考题 14
第2章 信息安全管理的主要内容 15
2.1 信息安全管理体系模型 15
2.1.1 信息安全管理体系及其产业链 15
2.1.2 PDCA模型 16
2.1.3 建立信息安全管理体系的流程概述 20
2.1.4 信息安全管理体系与PDCA循环 21
2.2 信息安全管理相关标准 22
2.2.1 国外信息安全管理相关标准 22
2.2.2 国内信息安全管理相关标准 27
2.3 信息安全管理工具 28
思考题 29
第3章 信息安全风险评估的主要内容 30
3.1 信息安全风险评估工作概述 30
3.1.1 风险评估依据 30
3.1.2 风险评估原则 30
3.1.3 风险评估组织管理 31
3.2 风险评估基础模型 32
3.2.1 风险要素关系模型 32
3.2.2 风险分析原理 34
3.2.3 风险评估方法 34
3.2.4 风险评估实施流程概述 35
3.3 风险评估相关标准 36
3.3.1 国外信息安全风险评估相关标准 36
3.3.2 国内信息安全风险评估相关标准 42
3.4 风险评估工具 43
思考题 44
第4章 IT治理概述 45
4.1 IT治理 45
4.2 IT治理支持手段 46
思考题 54
第二部分 信息安全风险评估 57
第5章 信息安全风险评估实施流程 57
5.1 风险评估准备 57
5.2 资产识别 58
5.2.1 工作内容 59
5.2.2 参与人员 59
5.2.3 工作方式 60
5.2.4 工具及资料 63
5.2.5 输出结果 64
5.3 威胁识别 65
5.3.1 工作内容 65
5.3.2 参与人员 65
5.3.3 工作方式 66
5.3.4 工具及资料 70
5.3.5 输出结果 70
5.4 脆弱性识别 70
5.4.1 工作内容 70
5.4.2 参与人员 70
5.4.3 工作方式 71
5.4.4 工具及资料 73
5.4.5 输出结果 74
5.5 已有安全措施确认 74
5.5.1 工作内容 74
5.5.2 参与人员 75
5.5.3 工作方式 75
5.5.4 工具及资料 76
5.5.5 输出结果 76
5.6 风险分析 77
5.7 风险处理计划 83
5.7.1 现存风险判断 84
5.7.2 控制目标确定 84
5.7.3 控制措施选择 85
5.8 风险评估报告 87
思考题 88
第6章 信息系统生命周期各阶段的风险评估 89
6.1 规划阶段的信息安全风险评估 89
6.2 设计阶段的信息安全风险评估 89
6.3 实施阶段的信息安全风险评估 90
6.4 运维阶段的信息安全风险评估 91
6.5 废弃阶段的信息安全风险评估 92
思考题 92
第三部分 信息安全管理 95
第7章 建立信息安全管理体系的工作流程 95
7.1 信息安全管理体系的策划与准备 95
7.1.1 信息安全管理体系 95
7.1.2 信息安全管理体系的准备 96
7.2 信息安全管理体系的设计与建立 100
7.2.1 编写信息安全管理体系文件 100
7.2.2 建立信息安全管理框架 103
7.3 信息安全管理体系的实施与运行 106
7.3.1 信息安全管理体系的试运行 106
7.3.2 实施和运行ISMS工作 107
7.3.3 管理信息安全事件 108
7.3.4 保持ISMS持续有效 111
7.4 信息安全管理体系的审核 112
7.4.1 审核的概念 112
7.4.2 ISMS内部审核 113
7.4.3 信息安全管理体系管理评审 116
7.5 信息安全管理体系的改进与保持 119
7.5.1 持续改进 119
7.5.2 纠正措施 119
7.5.3 预防措施 119
思考题 120
第8章 信息安全管理体系的认证 121
8.1 信息安全管理认证 121
8.1.1 认证的定义 121
8.1.2 认证的目的和作用 121
8.1.3 认证范围 122
8.2 认证的基本条件与认证机构的选择 122
8.2.1 认证条件 122
8.2.2 认证机构 122
8.3 信息安全管理体系的认证过程 123
8.3.1 认证的准备 123
8.3.2 认证的实施 124
8.3.3 证书与标志 127
8.3.4 维持认证 127
思考题 128
第9章 信息安全管理控制措施 129
9.1 选择控制措施的方法 129
9.2 选择控制措施的过程 131
9.3 风险管理 133
9.4 信息安全管理控制规范 135
9.4.1 从需求解析信息安全管理控制措施 135
9.4.2 从安全问题解析信息安全管理控制措施 136
9.4.3 控制目标与控制措施详述 137
思考题 166
第10章 信息系统安全等级保护标准体系 167
10.1 信息系统安全等级保护 167
10.1.1 等级保护概述 167
10.1.2 等级保护实施方法与过程 169
10.2 ISMS与等级保护 171
10.3 等级保护与风险评估 175
10.3.1 风险评估是等级保护制度建设的基础 175
10.3.2 等级保护和风险评估的宏观联系 176
10.3.3 风险评估是信息系统安全等级保护的技术支撑 176
10.3.4 风险评估在等级保护周期中的作用 177
10.3.5 风险评估在等级保护层次中的应用 179
思考题 179
第11章 云计算的安全管理与风险评估 180
11.1 云计算概述 180
11.2 云计算的信息安全问题 182
11.3 云计算的风险评估与控制措施 183
11.3.1 云计算的风险评估 183
11.3.2 云计算的安全措施 185
思考题 187
附录 信息安全管理与风险评估相关表格（参考示例） 188
参考文献 197