信息系统安全基础(原书第2版)

本书是Jones & Bartlett Learning出版的信息系统安全与保障系列丛书中非常重要且具有基础性的一本书。这本书中包含信息安全需求、信息安全技术以及信息安全相关的标准、教育、法律、认证等内容，能够使读者了解到信息系统安全的主要驱动因素、保障信息系统安全的核心技术、信息安全领域标准化组织和相关标准、信息系统安全知识学习和技能培训的途径、广泛被认可的信息安全认证以及美国相关信息安全的法律等。

第一部分信息安全需求
第1章信息系统安全.1
1.1信息系统安全.1
1.2信息系统安全要素.8
1.3典型IT基础构架的7个域.13
1.4IT基础架构安全性中最脆弱的环节.34
1.5IT安全策略框架.38
1.6数据分类标准.40
本章小结.41
第2章个人和商业通信的改变.42
2.1语音通信革命.42
2.2VoIP和SIP风险、威胁和脆弱性.50
2.3转换到TCP/IP世界.54
2.4多模通信.60
2.5从实体经济到电子商务的演变.67
2.6为什么今天的商业公司需要互联网市场化战略.69
2.7万维网对个人、公司和其他机构组织的影响.70
2.8IP移动业务.70
本章小结.78
第3章恶意攻击、威胁与脆弱性.79
3.1不断增长的恶意活动.79
3.2保护的对象.80
3.3你想抓住的人.84
3.4攻击工具.85
3.5破坏安全的行为.90
3.6风险、威胁和脆弱性.96
3.7恶意攻击.101
3.8恶意软件.108
3.9应对措施.112
本章小结.115
第4章信息安全业务驱动因素.117
4.1风险管控定义.117
4.2实现BIA、BCP和DRP.124
4.3风险、威胁和脆弱性评估.132
4.4关闭信息安全缺口.133
4.5坚持遵守法律法规.134
4.6保持私人信息机密性.137
本章小结.138
第二部分（ISC）2?中系统安全从业者认证（SSCP?）以及专业认证
第5章访问控制.139
5.1访问控制的四个部分.140
5.2访问控制的两种类型.140
5.3制定授权策略.142
5.4身份认证方法和指导原则.143
5.5认证流程及要求.144
5.6问责政策与程序.156
5.7访问控制形式化模型.159
5.8访问控制面临的威胁.170
5.9违反访问控制的后果.172
5.10集中访问控制与分布式访问控制.173
本章小结.180
第6章安全运营和管理.182
6.1安全管理.182
6.2遵守规则.185
6.3职业道德.186
6.4IT安全策略基础结构.192
6.5数据分类标准.197
6.6配置管理.199
6.7变更管理过程.201
6.8系统生命周期与系统开发生命周期.204
6.9软件开发与安全.209
本章小结.213
第7章审计、测试和监控.214
7.1安全审计与分析.214
7.2定义审计计划.220
7.3审计基准.221
7.4审计数据搜集方法.222
7.5安全监控.226
7.6日志信息类型.230
7.7安全控制验证.232
7.8监控和测试安全系统.239
本章小结.247
第8章风险、响应与恢复.248
8.1风险管理与信息安全.248
8.2风险管理过程.252
8.3风险分析.253
8.4两个方法：定量分析和定性分析.254
8.5制定风险处理策略.258
8.6评估应对措施.260
8.7控制及其在安全生命周期中的地位.262
8.8防灾计划.263
8.9备份数据和应用.269
8.10处理事故步骤.270
8.11灾难恢复.272
8.12灾难恢复的基本步骤.273
本章小结.278
第9章密码学.280
9.1什么是密码学.280
9.2密码学满足的商务安全需求.285
9.3密码学在信息系统安全中的应用.287
9.4密码学原理、概念及术语.290
9.5密码学应用、工具及资源.303
9.6证书和密钥管理.310
本章小结.312
第10章网络与通信.313
10.1开放系统互连参考模型.314
10.2网络的两种类型.315
10.3TCP/IP及其工作原理.321
10.4网络安全风险.324
10.5网络安全防御基本工具.327
10.6无线网络.333
本章小结.336
第11章恶意代码.337
11.1恶意软件特点、体系结构和操作.338
11.2恶意软件主要类型.338
11.3恶意代码历史.357
11.4对商业组织的威胁.360
11.5攻击分析.362
11.6攻防工具和技术.369
11.7事件检测工具和技术.372
本章小结.374
第三部分信息安全标准、教育、认证及法规
第12章信息安全标准.375
12.1标准组织.375
12.2ISO17799.384
12.3ISO/IEC27002.385
12.4PCIDSS.386
本章小结.387
第13章信息系统安全教育与培训.389
13.1自学.389
13.2继续教育项目.393
13.3大学学位课程.395
13.4信息安全培训课程.402
本章小结.405
第14章信息安全专业认证.406
14.1美国国防部/军用――8570.01标准.406
14.2中立供应商的专业认证.409
14.3供应商特定认证.415
本章小结.420
第15章美国相关法律.421
15.1遵守法律.421
15.2联邦信息安全管理法案.424
15.3健康保险携带和责任法案.430
15.4金融服务现代化法案.437
15.5萨班斯法案.442
15.6家庭教育权和隐私权法案.446
15.7儿童互联网保护法案.448
15.8遵守信息安全法规的意义.452
本章小结.453
参考文献.454