ISSP \ Полное содержание перевода книги Шон Харрис "CISSP All-In-One Exam Guide"

Сегодня моему блогу исполняется два года :) И как раз сегодня закончена (точнее, почти закончена, но об этом чуть позже) работа по переводу книги Шон Харрис "CISSP All-In-One Exam Guide", онлайн-версию которой я рад представить вам, читателям этого блога :)

Надеюсь, что русский вариант книги поможет лучше понять предмет ИБ начинающим специалистам, которые еще не успели хорошо изучить английский. Для уже состоявшихся специалистов по ИБ книга может послужить хорошим справочником и набором лучших практик при разработке нормативных документов и организации различных процессов ИБ.

Это мой первый серьезный опыт перевода, поэтому прошу сильно не ругать ;) Если при чтении вы найдете ошибки или неточности - буду очень благодарен, если вы сообщите мне о них.

Книга переведена практически полностью, сокращения минимальны. Я не стал переводить только первые две главы, которые, по сути, являются кратким введением. Остальное переведено на 99%. Перевод соответствует самому последнему пятому изданию книги (2010 год).

Сейчас я заканчиваю оформление оффлайн-версии книги и скоро выложу ее в формате PDF. Там даже будет дополнительный материал - ответы на вопросы тестов к каждому Домену.

Ниже представлено полное оглавление онлайн-версии книги.

ISSP \ Домен 10. Операционная безопасность. Содержание

Домен 10. Операционная безопасность


1. Роль Департамента эксплуатации

2. Административное управление

• 2.1. Администратор безопасности и администратор сети
• 2.2. Подотчетность
• 2.3. Уровни отсечения

3. Уровень гарантий

4. Эксплуатационные обязанности

• 4.1. Необычные и необъяснимые события
• 4.2. Отклонения от стандартов
• 4.3. Внеплановая перезагрузка системы
• 4.4. Идентификация и управление активами
• 4.5. Системные защитные меры
• 4.6. Доверенное восстановление
• 4.7. Контроль входных и выходных данных
• 4.8. Укрепление систем
• 4.9. Безопасность удаленного доступа

5. Управление конфигурациями

• 5.1. Процесс управления изменениями
• 5.2. Документация по управлению изменениями

6. Контроль носителей информации

7. Утечки данных

8. Доступность сети и ресурсов

• 8.1. Среднее время безотказной работы (MTBF)
• 8.2. Среднее время восстановления (MTTR)
• 8.3. Единая точка отказа
• Устройства хранения с прямым доступом (DASD)
• RAID-массивы
• Массив с неактивными дисками (MAID)
• Избыточный массив независимых лент (RAIT)
• Сети хранения данных (SAN)
• Кластеризация
• Grid-вычисления
• 8.4. Резервное копирование
• Иерархическое управление носителями
• 8.5. Планирование действий на случай непредвиденных ситуаций

9. Мейнфреймы

10. Безопасность электронной почты

• 10.1. Как работает электронная почта
• POP
• IMAP
• Ретрансляция сообщений электронной почты
• 10.2. Безопасность факсов
• 10.3. Методы взлома и атак
• Браузинг
• Снифферы
• Перехват коммуникационного сеанса
• Loki
• Взлом паролей
• Бэкдоры

11. Тестирование уязвимостей

• 11.1. Тестирование на проникновение
• 11.2. Сканирование телефонных номеров
• 11.3. Другие виды уязвимостей
• 11.4. Что дальше?

12. Резюме

13. Тест

ISSP \ Домен 09. Безопасность приложений. Содержание

Домен 09. Безопасность приложений


1. Важность программного обеспечения

2. Где нужно размещать безопасность?

3. Различные среды имеют различные потребности в обеспечении безопасности

4. Среда и приложения

5. Безопасность и функциональность

6. Типы, форматы и размер данных

7. Проблемы внедрения приложений и использования настроек «по умолчанию»

8. Сбои и ошибки в приложениях

9. Управление базами данных

• 9.1. Программное обеспечение для управления базами данных
• 9.2. Модели баз данных
• 9.3. Интерфейсы программирования баз данных
• 9.4. Компоненты реляционной базы данных
• Словарь данных
• Первичные и внешние ключи
• 9.5. Целостность
• 9.6. Вопросы безопасности баз данных
• Представления базы данных
• Многоэкземплярность
• Обработка транзакций в режиме реального времени
• 9.7. Хранилища и интеллектуальный анализ данных

10. Разработка систем

• 10.1. Управление разработкой
• 10.2. Этапы жизненного цикла
• Инициирование проекта
• Управление рисками
• Анализ рисков
• Функциональное проектирование и планирование
• Техническое задание на разработку системы
• Разработка программного обеспечения
• Установка и внедрение
• Эксплуатация и сопровождение
• Удаление
• Виды тестирования
• Анализ завершенного проекта
• 10.3. Методы разработки программного обеспечения
• 10.4. Средства автоматизированной разработки программного обеспечения (CASE-средства)
• 10.5. Разработка прототипов
• 10.6. Методология безопасного проектирования
• 10.7. Методология безопасной разработки
• 10.8. Проверка на защищенность
• 10.9. Управление изменениями
• 10.10. Модель зрелости процессов разработки программного обеспечения (CMM)
• 10.11. Передача исходного кода программного обеспечения на хранение независимой третьей стороне

11. Методология разработки программного обеспечения

• 11.1. Концепции объектно-ориентированного программирования
• 11.2. Моделирование данных
• 11.3. Архитектура программного обеспечения
• 11.4. Структуры данных
• 11.5. Связность и связанность

12. Распределенные вычисления

• 12.1. CORBA и ORB
• 12.2. COM и DCOM
• 12.3. EJB
• 12.4. OLE
• 12.5. Распределенная вычислительная среда

13. Экспертные системы

14. Искусственные нейронные сети

15. Безопасность веб-приложений

• 15.1. Вандализм
• 15.2. Финансовое мошенничество
• 15.3. Привилегированный доступ
• 15.4. Кража информации о транзакциях
• 15.5. Кража интеллектуальной собственности
• 15.6. Атаки «отказ в обслуживании»
• 15.7. Организация процесса обеспечения качества
• 15.8. Межсетевые экраны для веб-приложений
• 15.9. Системы предотвращения вторжений
• 15.10. Реализация SYN-прокси на межсетевом экране
• 15.11. Специфические угрозы веб-среде
• Сбор информации
• Административные интерфейсы
• Аутентификация и управление доступом
• Управление конфигурациями
• Проверка входных данных
• Провека параметров
• Управление сеансами

16. Мобильный код

• 16.1. Java-апплеты
• 16.2. Элементы управления ActiveX
• 16.3. Вредоносное программное обеспечение
• Вирусы
• Черви
• Троянские программы
• Логические бомбы
• Ботсети
• 16.4. Антивирусное программное обеспечение
• 16.5. Выявление спама
• 16.6. Противодействие вредоносному коду

17. Управление патчами

• 17.1. Методология управления патчами
• 17.2. Проблемы при установке патчей
• 17.3. Лучшие практики
• 17.4. Атаки
• Отказ в обслуживании
• Smurf
• Fraggle
• SYN-флуд
• Teardrop
• Распределенная атака отказ в обслуживании

18. Резюме

19. Тест

ISSP \ Домен 08. Законодательство, требования, соответствие, расследования. Содержание

Домен 08. Законодательство, требования, соответствие, расследования

1. Многогранное киберправо

2. Проблемы киберправа

3. Сложности борьбы с киберпреступностью

• 3.1. Электронные активы
• 3.2. Эволюция атак
• 3.3. Трансграничные преступления
• 3.4. Типы права

4. Законодательство в области интеллектуальной собственности

• 4.1. Коммерческая тайна
• 4.2. Авторское право
• 4.3. Торговая марка
• 4.4. Патент
• 4.5. Внутренняя защита интеллектуальной собственности
• 4.6. Компьютерное пиратство

5. Неприкосновенность частной жизни

• 5.1. Законодательство и требования
• Закон Сарбейнза-Оксли
• Закон о преемственности страхования и отчетности в области здравоохранения
• Закон Грэма-Лича-Блилей
• Закон о борьбе с компьютерным мошенничеством и злоупотреблениями
• Закон о защите персональных данных
• Базель II
• PCI DSS
• Закон о компьютерной безопасности
• Закон об экономическом шпионаже
• 5.2. Вопросы неприкосновенности частной жизни сотрудников

6. Обязательства и последствия их нарушения

• 6.1. Персональные данные
• 6.2. Атака хакеров

7. Расследования

• 7.1. Реагирование на инциденты
• 7.2. Процедуры реагирования на инциденты

8. Компьютерная криминалистика и сбор доказательств

• 8.1. Международная организация по компьютерным доказательствам
• 8.2. Мотивы, возможности и средства
• 8.3. Поведение компьютерных преступников
• 8.4. Специалисты по расследованию инцидентов
• 8.5. Процесс проведения компьютерной экспертизы
• 8.6. Что является приемлемым для суда?
• 8.7. Наблюдение, обыск и изъятие
• 8.8. Проведение опросов и допросов
• 8.9. Несколько различных видов мошенничества

9. Этика

• 9.1. Институт компьютерной этики
• 9.2. Совет по архитектуре Интернета
• 9.3. Программа корпоративной этики

10. Резюме

11. Тест

ISSP \ Домен 07. Непрерывность бизнеса и восстановление после аварий. Содержание

Домен 07. Непрерывность бизнеса и восстановление после аварий

1. Непрерывность бизнеса и восстановление после аварий

• 1.1. Шаги планирования непрерывности бизнеса 
• 1.2. BCP как часть Политики и Программы безопасности 
• 1.3. Инициирование проекта

2. Требования к планированию непрерывности бизнеса

• 2.1. Анализ воздействия на бизнес
• 2.2. Превентивные меры
• 2.3. Стратегии восстановления
• 2.4. Восстановление бизнес-процессов
• 2.5. Восстановление здания
• Соглашение о взаимной помощи
• Резервные площадки
• 2.6. Восстановление технической среды
• Резервирование оборудования
• Резервирование программного обеспечения
• Документация
• Люди
• 2.7. Восстановление пользовательской среды
• 2.8. Варианты резервного копирования данных
• 2.9. Средства автоматизированного резервного копирования
• 2.10. Выбор здания для хранения резервной информации
• 2.11. Страхование
• 2.12. Восстановление и реконструкция
• 2.13. Разработка целей плана
• 2.14. Внедрение стратегий
• 2.15. Тестирование и пересмотр плана
• 2.16. Поддержка плана

3. Резюме

4. Тест

ISSP \ Домен 06. Криптография. Содержание

Домен 06. Криптография

1. История криптографии

2. Определения и концепции криптографии

• 2.1. Принцип Керкхофса
• 2.2. Стойкость криптосистем
• 2.3. Сервисы криптосистем
• 2.4. Одноразовый шифровальный блокнот
• 2.5. Динамические и скрытые шифры
• 2.6. Стеганография

3. Типы шифров

• 3.1. Шифры подстановки
• 3.2. Шифры перестановки

4. Методы шифрования

• 4.1. Симметричные и асимметричные алгоритмы
• Симметричная криптография
• Асимметричная криптография
• 4.2. Блочные и поточные шифры
• Блочные шифры
• Поточные шифры
• Векторы инициализации
• 4.3. Гибридные методы шифрования
• Сеансовые ключи

5. Типы симметричных систем

• 5.1. DES
• 5.2. 3DES
• 5.3. AES
• 5.4. IDEA
• 5.5. Blowfish
• 5.6. RC4
• 5.7. RC5
• 5.8. RC6

6. Типы асимметричных систем

• 6.1. Алгоритм Диффи-Хеллмана
• 6.2. RSA
• Односторонние функции
• 6.3. Эль Гамаль
• 6.4. Криптосистемы на основе эллиптических кривых
• 6.5. LUC
• 6.6. Knapsack
• 6.7. Доказательство с нулевым разглашением

7. Целостность сообщения

• 7.1. Односторонний хэш
• HMAC
• CBC-MAC
• 7.2. Различные алгоритмы хэширования
• MD2
• MD4
• MD5
• SHA
• HAVAL
• Tiger
• 7.3. Атаки на односторонние функции хэширования
• 7.4. Цифровая подпись
• 7.5. Стандарт цифровой подписи

8. Инфраструктура открытых ключей

• 8.1. Центр сертификации
• 8.2. Сертификаты
• 8.3. Центр регистрации
• 8.4. Шаги PKI

9. Управление ключами

• 9.1. Принципы управления ключами
• 9.2. Правила использования ключей и управления ключами

10. Канальное и сквозное шифрование

11. Стандарты электронной почты

• 11.1. MIME
• 11.2. PEM
• 11.3. MSP
• 11.4. PGP
• 11.5. Квантовая криптография

12. Безопасность в сети Интернет

• 12.1. Начнем с основ
• HTTP
• HTTPS
• S-HTTP
• SET
• Куки
• SSH
• IPSec

13. Атаки

• 13.1. Атака «Только шифротекст»
• 13.2. Атака «Известный открытый текст»
• 13.3. Атака «Выбранный открытый текст»
• 13.4. Атака «Выбранный шифротекст»
• 13.5. Дифференциальный криптоанализ
• 13.6. Линейный криптоанализ
• 13.7. Атаки с использованием побочных каналов
• 13.8. Атаки повтора
• 13.9. Алгебраические атаки
• 13.10. Аналитические атаки
• 13.11. Статистические атаки

14. Резюме

15. Тест

ISSP \ Домен 05. Телекоммуникации и сетевая безопасность. Содержание

Домен  05. Телекоммуникационная и сетевая безопасность


1. Эталонная модель взаимодействия открытых систем

• 1.1. Протокол 
• Прикладной уровень
• Представительский уровень
• Сеансовый уровень
• Транспортный уровень
• Сетевой уровень
• Канальный уровень
• Физический уровень

• 1.2. Функции и Протоколы модели OSI 
• 1.3. Совместная работа уровней

2. TCP/IP

• 2.1. TCP 
• 2.2. Адресация IP 
• 2.3. IPv6

3. Типы передачи

• 3.1. Аналоговая и цифровая
• 3.2. Асинхронная и синхронная 
• 3.3. Однополосная и широкополосная

4. Организация локальных вычислительных сетей

• 4.1. Топология сети 
• 4.2. Технологии доступа к среде LAN 
• Ethernet 
• Token Ring 
• FDDI 
• 4.3. Кабели 
• Коаксиальный кабель 
• Витая пара 
• Оптоволоконный кабель 
• Проблемы, связанные с кабелями 
• Пожарные рейтинги кабелей 
• 4.4. Методы передачи 
• 4.5. Технологии доступа к среде 
• CSMA 
• Коллизионные домены 
• 4.6. Протоколы LAN 
• ARP 
• DHCP 
• ICMP 

5. Протоколы маршрутизации

6. Сетевые устройства

• 6.1. Повторители 
• 6.2. Мосты 
• 6.3. Маршрутизаторы 
• 6.4. Коммутаторы 
• Виртуальные сети (VLAN) 
• 6.5. Шлюзы 
• 6.6. Офисные автоматические телефонные станции (PBX) 
• 6.7. Межсетевые экраны 
• Межсетевые экраны с фильтрацией пакетов 
• Межсетевые экраны с контролем состояния 
• Прокси 
• Динамическая фильтрация пакетов 
• Прокси уровня ядра 
• Архитектура межсетевых экранов 
• 6.8. Хост-приманка (honeypot) 
• 6.9. Разделение и изоляция сетей

7. Сетевые сервисы и Потоколы

• 7.1. Сетевые операционные системы 
• 7.2. Служба доменных имен (DNS) 
• 7.3. NIS 
• 7.4. Службы каталогов 
• 7.5. LDAP 
• 7.6. Трансляция сетевых адресов (NAT)

8. Интрасети и Экстрасети

9. Городские вычислительные сети (MAN)

10. Глобальные вычислительные сети (WAN)

• 10.1. Эволюция телекоммуникаций 
• 10.2. Выделенные линии 
• 10.3. Технологии WAN 
• Frame Relay 
• Виртуальные каналы 
• X.25 
• ATM 
• Качество обслуживания (QoS) 
• SIP

11. Удаленный доступ

• 11.1. Dial-Up и RAS 
• 11.2. ISDN 
• 11.3. DSL 
• 11.4. Кабельные модемы 
• 11.5. VPN 
• Протоколы туннелирования
• PPP 
• PPTP 
• L2TP 
• 11.6. Протоколы аутентификации 
• 11.7. Рекомендации по удаленному доступу

12. Беспроводные технологии

• 12.1. Беспроводные коммуникации 
• 12.2. Компоненты WLAN 
• 12.3. Беспроводные стандарты 
• 12.4. WAP 
• 12.5. i-Mode 
• 12.6. Безопасность мобильных телефонов 
• 12.7. Вардрайвинг 
• 12.8. Спутники 
• 12.9. Беспроводные коммуникации 3G

13. Руткиты

• 13.1. Шпионское и рекламное программное обеспечение 
• 13.2. Передача мгновенных сообщений

14. Резюме

15. Тест

ISSP \ Домен 04. Физическая безопасность и безопасность окружения. Содержание

Домен 04. Физическая безопасность и безопасность окружения

1. Введение в Физическую безопасность

2. Процесс планирования

• 2.1. Предотвращение преступлений посредством проектирования окружения 
• Естественное управление доступом 
• Естественное наблюдение 
• Естественное укрепление территории

• 2.2. Проектирование программы физической безопасности
• Здание
• Конструкция
• Точки входа
• Двери
• Окна
• Внутренние помещения
• Серверные и кроссовые помещения

3. Защита активов

4. Внутренние системы поддержки и снабжения

• 4.1. Электроэнергия
• Защита электроснабжения
• Проблемы электропитания
• Превентивные меры и Хорошие практики
• 4.2. Проблемы окружения
• 4.3. Вентиляция
• 4.4. Предотвращение, выявление и тушение пожара
• Типы пожарных датчиков
• Тушение пожара
• Водяные спринклеры

5. Безопасность периметра

• 5.1. Контроль доступа в здание и помещения
• Замки
• 5.2. Контроль доступа персонала
• 5.3. Механизмы защиты внешних границ
• Ограждения
• Столбики ограждения
• Освещение
• Устройства наблюдения
• Устройства видеозаписи
• 5.4. Системы выявления вторжений
• 5.5. Патрульные и охранники
• 5.6. Собаки
• 5.7. Контроль физического доступа
• 5.8. Тестирование и тренировки

6. Резюме

7. Тест

ISSP \ Домен 03. Архитектура и модель безопасности. Содержание

Домен 03. Архитектура и модель безопасности

1. Архитектура компьютера

• 1.1. Центральный процессор
• 1.2. Многопроцессорная обработка
• 1.3. Архитектура операционной системы 
• Управление процессами 
• Управление потоками 
• Диспетчеризация процессов

• 1.4. Работа процессов
• 1.5. Управление памятью
• 1.6. Типы памяти 
• Память с произвольным доступом 
• Память только для чтения 
• Кэш-память 
• Отображение памяти 
• Утечки памяти

• 1.7. Виртуальная память
• 1.8. Режимы процессора и кольца защиты
• 1.9. Архитектура операционной системы
• 1.10. Домены
• 1.11. Разделение на уровни и скрытие данных
• 1.12. Эволюция терминологии
• 1.13. Виртуальные машины
• 1.14. Дополнительные устройства хранения
• 1.15. Управление устройствами ввода/вывода 
• Прерывания

2. Архитектура системы

• 2.1. Определенные подмножества субъектов и объектов
• 2.2. Доверенная компьютерная база
• 2.3. Периметр безопасности
• 2.4. Монитор обращений и ядро безопасности
• 2.5. Политика безопасности
• 2.6. Принцип наименьших привилегий

3. Модели безопасности

• 3.1. Модель конечных автоматов
• 3.2. Модель Bell-LaPadula
• 3.3. Модель Biba
• 3.4. Модель Clark-Wilson
• 3.5. Модель информационных потоков 
• Скрытые каналы

• 3.6. Модель невлияния
• 3.7. Сетчатая модель
• 3.8. Модель Brewer and Nash
• 3.9. Модель Graham-Denning
• 3.10. Модель Harrison-Ruzzo-Ulman

4. Режимы безопасности функционирования

• 4.1. Специальный режим безопасности
• 4.2. Режим повышенной безопасности системы
• 4.3. Раздельный режим безопасности
• 4.4. Многоуровневый режим безопасности
• 4.5. Доверие и гарантии

5. Методы оценки систем

• 5.1. Зачем проводить оценку продукта?
• 5.2. Оранжевая Книга
• 5.3. Оранжевая книга и Радужная серия
• 5.4. Красная книга
• 5.5. ITSEC
• 5.6. Общие критерии

6. Сертификация vs. Аккредитация

• 6.1. Сертификация
• 6.2. Аккредитация

7. Открытые vs. Закрытые системы

• 7.1. Открытые системы
• 7.2. Закрытые системы

8. Корпоративная архитектура

9. Анализ нескольких угроз 

• 9.1. Закладки для поддержки
• 9.2. Атаки времени проверки / времени использования
• 9.3. Переполнение буфера

10. Резюме

11. Тест

ISSP \ Домен 02. Управление доступом. Содержание

Домен 02. Управление доступом

1. Обзор управления доступом

2. Принципы безопасности

3. Идентификация, аутентификация, авторизация и подотчетность

• 3.1. Идентификация и аутентификация 
• Управление идентификацией 
• Биометрия
• Пароли
• Когнитивные пароли
• Одноразовые пароли 
• Токены
• Криптографические ключи 
• Парольные фразы 
• Карты памяти 
• Смарт-карты
  

• 3.2. Авторизация 
• Критерии доступа
• Отсутствие доступа «по умолчанию»
• Принцип «необходимо знать» 
• Единый вход

4. Модели управления доступом

• 4.1. Дискреционное управление доступом
• 4.2. Мандатное управление доступом
• 4.3. Ролевое управление доступом

5. Техники и технологии управления доступом

• 5.1. Управление доступом на основе правил
• 5.2. Ограниченный пользовательский интерфейс
• 5.3. Матрица контроля доступа 
• Таблицы разрешений 
• Списки контроля доступа

• 5.4. Контентно-зависимое управление доступом
• 5.5. Контекстно-зависимое управление доступом

6. Администрирование доступа

• 6.1. Централизованное администрирование управления доступом
• RADIUS 
• TACACS  
• Diameter

• 6.2. Децентрализованное администрирование управления доступом

7. Методы управления доступом

• 7.1. Уровни управления доступом
• 7.2. Административный уровень
• 7.3. Физический уровень
• 7.4. Технический уровень

8. Типы управления доступом

• 8.1. Превентивные: Административные
• 8.2. Превентивные: Физические
• 8.3. Превентивные: Технические

9. Подотчетность

9.1. Анализ журналов регистрации событий
9.2. Мониторинг нажатия клавиш
9.3. Защита данных аудита и журналов регистрации событий

10. Практика управления доступом

• 10.1. Несанкционированное разглашение информации 
• Повторное использование объекта 
• Защита от утечки информации по техническим каналам

11. Мониторинг управления доступом

• 11.1. Выявление вторжений 
• IDS уровня сети 
• IDS уровня хоста 
• Выявление вторжений на основе знаний или сигнатур 
• IDS на основе состояния 
• Выявление вторжений на основе статистических аномалий 
• IDS на основе аномалий протоколов 
• IDS на основе аномалий трафика
• IDS на основе правил 
• Сенсоры IDS 
• Сетевой трафик

• 11.2. Системы предотвращения вторжений 
• Хосты-приманки 
• Сетевые снифферы

12. Несколько угроз управлению доступом

• 12.1. Атака по словарю
• 12.2. Атака полного перебора (брутфорс-атака)
• 12.3. Подделка окна регистрации в системе
• 12.4. Фишинг
• 12.5. Кража личности

13. Резюме

14. Тест

ISSP \ Домен 01. Информационная безопасность и управление рисками. Содержание

Домен 01. Информационная безопасность и управление рисками

1. Управление безопасностью

• 1.1. Распределение обязанностей по управлению безопасностью
• 1.2. Подход "сверху-вниз"

2. Администрирование безопасности и защитные меры

• 2.1. Основные принципы безопасности
• 2.2. Определения безопасности
• 2.3. Безопасность посредством неизвестности

3. Организационная модель безопасности

• 3.1. Компоненты программы безопасности
• 3.2. Стандарты безопасности
• 3.3. Управление безопасностью на стратегическом уровне

4. Управление информационными рисками

• 4.1. Кто действительно разбирается в управлении рисками?
• 4.2. Политика управления информационными рисками
• 4.3. Группа управления рисками (IRM-группа)

5. Анализ рисков

• 5.1. Группа анализа рисков
• 5.2. Ценность информации и активов
• 5.3. Определение стоимости и ценности
• 5.4. Идентификация угроз
• 5.5. Анализ сбоев и дефектов
• 5.6. Количественный анализ рисков
• 5.7. Качественный анализ рисков
• 5.8. Количественный или качественный
• 5.9. Защитные механизмы
• 5.10. Обобщая сказанное ранее
• 5.11. Общий риск и Остаточный риск
• 5.12. Обработка риска

6. Политики, стандарты, базисы, руководства и процедуры

• 6.1. Политика безопасности
• 6.2. Стандарты
• 6.3. Базисы
• 6.4. Руководства
• 6.5. Процедуры
• 6.6. Внедрение

7. Классификация информации

• 7.1. Управление классифицированными данными

8. Уровни ответственности

• 8.1. Совет Директоров
• 8.2. Высшее исполнительное руководство
• 8.3. Владелец данных
• 8.4. Ответственный за хранение данных
• 8.5. Владелец системы
• 8.6. Администратор безопасности
• 8.7. Аналитик по безопасности
• 8.8. Владелец приложения
• 8.9. Супервизор
• 8.10. Аналитик управления изменениями
• 8.11. Аналитик данных
• 8.12. Владелец процесса
• 8.13. Поставщик решения
• 8.14. Пользователь
• 8.15. Менеджер по технологиям
• 8.16. Аудитор
• 8.17. Зачем так много ролей?!

9. Персонал

• 9.1. Структура
• 9.2. Правила приема на работу
• 9.3. Контроль сотрудников
• 9.4. Увольнение

10. Обучение (тренинги) по вопросам безопасности

• 10.1. Различные типы обучения (тренинга) по вопросам безопасности
• 10.2. Оценка результатов обучения
• 10.3. Специализированное обучение по безопасности

11. Резюме

12. Тест