NCSE三级8教学.doc

全国信息安全技术水平考试（NCSE）三级教学大纲 第一部分 综述 简 介 NCSE（三级）内容及其对应的考试是为了考核认证网络安全专业人员的规划与管理技能的。这些技能包括：信息安全管理体系和相关标准、应急响应体系、安全规划、法律法规等。 范围和比例 与NCSE（三级）对应的考试内容主要包括9个方面（但不仅限于以下内容），各部分内容比例如下表所示。 考试范围 考试比例 信息安全管理体系 7% 密码学 7% PKI/CA 13% 信息安全模型 12% 风险评估与控制 13% 业务持续性 13% 访问控制 10% 通信与网络安全 8% 物理安全和操作安全 7% 职业道德与法律法规 10% 总 共 100% NCSE（三级）教学内容将会每年更新，以确保培训内容为当前普遍运用，及具前沿性的知识。每年的重大变更，相关机构都将发布这些调整。 培训与教学目的 1．掌握信息安全模型的应用； 2．灵活运用风险评估模型进行网络风险的评估与审计； 3．理解信息安全管理体系结构和信息安全标准，了解现行的信息安全法律法规； 4．理解PKI/CA的应用领域及其重要地位； 5．掌握信息安全工程的原则与方法，理解物理安全的重要性。 教学重点 信息安全标准，信息安全模型的建立与识别，风险评估方法，计算机应急响应体系，信息安全法律法规。 教学难点 信息安全标准，信息安全模型，风险评估。 说明：所有知识点及教学内容讲解均按照了解、理解、掌握、灵活运用四个级别加以列举。 培训目标 培养专业信息安全技术管理人才，掌握信息安全的各个领域和体系规划知识，具备从信息安全管理层面进行综合性分析和总结的能力。 培训对象 各行政、企事业单位技术主管，技术总监，信息安全工程管理/监理人员 前备知识与技能 1．全面掌握信息安全各子领域的实现技术概要； 2．理解信息安全领域的概念、定义、方法和原则； 3．了解工程和项目管理的意义和基本概念，具备系统化和体系化管理的思想； 4．参加NCSE三级培训者应具备NCSE二级认证的知识技能水平或同等学力。 第二部分 各章简介 第一章 信息安全管理绪论 叙述信息安全管理体系概念，描述基于风险分析的安全管理方法的历史、现状、作用，分析BS7799的重要性和标准要求。 1.1 信息安全管理历史回顾 1.2 信息安全管理的现状 1.3 基于风险分析的安全管理方法 1.4 BS7799发展历史与展望 1.5 信息安全管理体系的作用 1.6 网络安全保障体系的建设 1.7 信息安全基础设施建设与应用 第二章 信息安全风险评估与管理 描述与风险评估相关的概念与定义，分析风险评估的过程、方法、原则，叙述风险计算方法、风险控制与接受；详细讲述风险评估与信息安全管理的接口，分析基于风险评估方法的BS 7799实现，以及在风险评估和管理办法选择过程中应考虑的因素。 2.1 风险评估与管理的基本概念 2.2 风险评估过程 2.3 风险控制过程 2.4 风险评估与管理方法 2.5 信息安全管理体系要求 2.6 控制细则 第三章 风险管理的实施 分析信息安全组织结构，描述第三方访问安全和外包控制；在此基础上分别描述资产分类与控制，安全事故与安全故障反应，对访问控制、系统开发、业务持续性等问题作综合性描述，同时对依从原则进行阐述。 3.1 信息安全方针 3.2 安全组织 3.3 资产分类与控制 3.4 人员安全 3.5 实物和环境安全 3.6 通信和运作管理 3.7 访问控制 3.8 系统开发与维护 3.9 商务持续性管理 3.10 依从 第四章 信息安全管理体系的建立与认证 叙述信息安全管理标准的结构和体系要求，对教育培训、拟定计划、现状调查、体系策划的原则进行分析，明确相关文档的制作以及所包含的具体内容，依据文档对信息安全管理体系进行有效审核，最后描述了信息安全管理体系评审的输入、输出、程序以及获得信息安全管理体系认证的途径和方法、过程。 4.1 信息安全管理体系的策划与准备 4.2 信息安全管理体系文档的编写 4.3 信息安全管理体系的运行 4.4 信息安全管理体系的审核 4.5 体系评审 4.6 什么是信息安全管理体系认证 4.7 信息安全管理体系的认证过程 第五章 访问控制 叙述访问控制的定义、分类、方法，分析访问控制管理模型，讨论入侵检测系统的作用与局限，对非授权访问和攻击进行分类描述和总结。 5.1 标示与验证 5.2 访问控制管理 5.3 入侵检测系统 5.4 非授权访问控制和攻击 第六章 安全模型与结构 叙述信息安全系统的中央处理单元，重点描述多种形式的安全模型，讨论基于角色的安全管理方式以及安全策略的分类、原则等。 6.1 信息安全系统组件 6.2 操作系统安全机制和元素 6.3 安全模型 6.4 安全策略与支撑 6.5 安全角色 6.6 安全控制类型