IS管理层的声明
其它审计员的工作报告
组织的控制自我评估
充分、合适的审计证据
第1题:
科克霍夫原则指出算法的安全性不应基于算法的保密,而应基于秘钥的安全性
保密通信过程中,通信方使用之前用过的会话秘钥建立会话,不影响通信安全
秘钥管理需要考虑秘钥产生、存储、备份、分配、更新、撤销等生命周期过程的每一个环节
在网络通信中。通信双方可利用Diffie-He11man协议协商出会话秘钥
第2题:
确保采购定制的设备、软件和其他系统组件满足已定义的安全要求
确保整个系统已按照领导要求进行了部署和配置
确保系统使用人员已具备使用系统安全功能和安全特性的能力
确保信息系统的使用已得到授权
第3题:
可重复使用的密码机制
一次性口令机制
挑战响应机制
基于IP地址的机制
第4题:
第5题:
对组织全部环境做整体评估。
基于可接受的框架(例如COBIT或COSO)建立审计方法论。
文档化审计程序确保审计师获得计划的审计目标。
识别控制失效的高风险区域。
第6题:
防止
减轻
恢复
响应
第7题:
缓冲器溢出
SQL注入攻击
电话联系组织机构的接线员询问用户名和口令
利用PK/CA构建可信网络
第8题:
第9题:
信息系统资产分类
信息系统资产标识
创建访问控制列表
梳理信息系统相关信息资产
第10题:
规划阶段风险评估的目的是识别系统的业务战略,以支撑系统安全需求及安全战略等。
设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性,提出安全功能需求。
实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别,并对系统建成后的安全功能进行验证。
运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险,是一种全面的风险评估。评估内容包括对真实运行的信息系统、资产、脆弱性等各方面。