3.《信息系统安全测评》课程大纲

中山大学新华学院信息科学学院课程体系1《信息系统安全测评》教学大纲一、课程基本信息1.课程名称：信息系统安全测评（SecurityAssessmentforInformationSystem）2.课程管理：信息科学学院3.教学对象：计算机科学与技术专业4.教学时数：总时数72学时，其中理论教学36学时，实验实训36学时。5.课程学分：46.课程性质：专业必修7.课程衔接：（1）先修课程一：计算机网络技术重要知识点：计算机组成原理，TCP/IP协议，路由和交换设备,网络编程技术，计算机网络操作系统（2）先修课程二：软件工程重要知识点：网络编程，面向对象程序设计与开发，数据库技术（3）后续课程：信息系统安全测试涉及本课程的知识点：CISP评估模型，安全架构，技术实现，标准和规范。二、课程简介信息系统的安全性测评是一个综合和复杂的过程，学生通过本课程72课时的学习将掌握一系列的测评方法和工具，具备基础的测评能力，为其将来从事信息安全专业相关的工作打下理论基础和积累初级的经验。本课程参考了CISP认证培训课程的内容，CISP即“注册信息安全专业人员”，是国家对信息安全人员资质的最高认可，通过本课程的学习也为学生将来考取CISP证书指明了方向和奠定了知识基础。参考CISP认证课程体系，本课程将围绕以下5方面开展教学内容：1.信息安全保障：理解信息安全保障的框架、基本原理和实践，掌握注册信息安全专业的基础知识。2.信息安全技术：掌握密码技术、访问控制、审计监控等安全技术机制，网络、操作系统、数据库和应用软件等方面的基本安全原理和实践，以及信息安全攻防和软件安全开发相关的技术知识。3.信息安全管理：理解信息安全管理体系的建设、信息安全的风险管理、安全管理措施等相关的管理知识。4.信息安全工程：理解信息安全相关的工程的基本理论和实践方法。5.信息安全标准法规：掌握信息安全相关的标准、法律法规、政策和道德规范等通用基础知识。中山大学新华学院信息科学学院课程体系2三、教学内容及要求第一周：课程导入和信息安全保障基础知识（一）教学目标学生了解本课程的学习内容和教学安排，并掌握模块一：信息安全保障部分的学习内容。（二）教学内容及要求知识域知识点模块一、知识域：信息安全保障1.1知识子域：信息安全保障基础1.1.1信息安全概念了解理解国际标准化组织、美国、欧盟等对信息安全的定义；理解信息安全问题的根内因和外因；理解信息安全定义及信息安全问题狭义、广义两层概念及区别；理解信息安全是系统的安全、动态的安全、无边界的安全、非传统的安全等了解威胁情报、态势感知的基本概念及对信息安全的作用。1.1.2信息安全属性理解信息安全属性的概念及CIA三元组(保密性、完整性、可用性)的概念；了解真实性、不可否认性、可问责、可控性等其他不可缺少的信息安全属性概念。1.1.3信息安全视角了解国家视角对信息安全关注点(网络战、关键基础设施保护、法律建设与标准化)相关概念；了解企业视角对信息安全关注点(业务连续性管理、资产保护、合规性)相关概念；了解个人视角对信息安全关注点(隐私保护、个人资产保护、社会工程学)相关概念。1.1.4信息安全发展阶段了解通信安全阶段的核心安全需求、主要技术措施；了解计算机安全阶段信息安全需求、主要技术措施及阶段的标志；了解信息系统安全阶段的安全需求、主要技术措施及阶段的标志；了解信息安全保障阶段与系统安全阶段的区别，信息安全保障的概念及我国信息安全保障工作的总体要求、主要原则；了解网络空间的概念，理解网络空间安全的重要性。1.1.5信息安全保障新领域了解工业控制系统中SCADA、DCS、PLC等基本概念，理解工业控制系统的重要性，面临的安全威胁及安全防护的基本思路；中山大学新华学院信息科学学院课程体系3了解云计算所面临的安全风险及云计算安全框架；了解虚拟化安全的基本概念；了解物联网基本概念、技术架构及相应的安全问题；了解大数据的概念，大数据应用及大数据平台安全的基本概念；了解移动互联网面临的安全问题及安全策略；了解智慧的世界的概念。（三）教学重点与难点本节重点：信息安全概念、信息安全属性、信息安全视角、信息安全发展阶段、信息安全保障新领域。本节难点：信息安全属性、信息安全视角、信息安全保障新领域。（四）教学方法与手段课堂讲授、课堂讨论、习题练习。（五）教学时数4学时。第二周：安全保障框架模型（一）教学目标学生学习安全保障框架模型，掌握基于时间的PDR与PPDR模型、信息安全保障技术框架、信息系统安全保障评估框架、常见的企业安全架构。（二）教学内容知识域知识点模块一、知识域：信息安全保障1.2知识子域：安全保障框架模型1.2.1基于时间的PDR与PPDR模型理解基于时间的PDR、PPDR模型的核心思想及出发点；理解PPDR模型与PDR模型的本质区别；了解基于时间的判断系统安全性的方式。1.2.2信息安全保障技术框架理解信息安全保障技术框架(IATF)的深度防御的核心思想、三个核心要素及四个焦点领域；了解保护区域边界的原则和技术实现方式；了解保护计算环境的原则和技术实现方式；中山大学新华学院信息科学学院课程体系4了解保护网络基础设施的原则和技术实现方式；了解支撑性基础设施建设的概念及技术实现。1.2.3信息系统安全保障评估框架理解信息系统保障相关概念及信息安全保障的核心目标；了解信息系统保障评估的相关概念和关系；理解信息系统安全保障评估模型主要特点，生命周期、保障要素等概念。1.2.4企业安全架构了解企业安全架构的概念；了解舍伍德的商业应用安全架构模型构成及；了解舍伍德的商业架构模型生命周期。（三）教学重点与难点本节重点：基于时间的PDR与PPDR模型、信息安全保障技术框架、信息系统安全保障评估框架、常见的企业安全架构。本节难点：基于时间的PDR与PPDR模型、信息系统安全保障评估框架。（四）教学方法与手段课堂讲授、提问研讨、课堂练习、作业点评。（五）教学时数4学时。第三周：网络安全法律体系建设（一）教学目标学生掌握网络攻击的常见步骤，掌握攻击者准备和实施攻击的过程，具备洞察网络攻击的能力，提高抵御攻击的能力。（二）教学内容模块二、知识域：网络安全监管2.1知识子域：网络安全法律体系建设2.1.1计算机犯罪了解计算机犯罪的概念、特征及计算机犯罪的发展趋势；2.1.2我国立法体系了解我国多级立法机制及相关职能；了解立法分类(法律、行政法规及地方性法规)；2.1.3网络安全法理解网络安全法出台背景；了解网络安全法中定义的网络、网络安全等基本概念及网络空间主权原则；理解网络运行安全制度、关键基础设施保护制度、等级保护制度、网络安全、审查制度的相关要求；2.1.4网络安全相关法规建设了解行政违法相关概念及相关行政处罚；中山大学新华学院信息科学学院课程体系5了解刑事责任、常见网络安全犯罪及量刑等概念；了解民事违法相关概念及违法民事处罚；了解国家安全法、保密法、电子签名法、反恐怖主义法、密码法中网络安全相关条款。（三）教学重点与难点本节重点：计算机犯罪、我国立法体系、网络安全法、网络安全相关法规建设。本节难点：我国立法体系、网络安全法。（四）教学方法与手段课堂讲授、实验实践、案例教学、提问研讨、课堂练习、作业点评。（五）教学时数：4学时第四周：网络安全国家政策、道德准则与安全标准（一）教学目标本节课通过讲解网络安全国家政策、道德准则、安全标准，构建学生对国家政策的把握能力，培养学生坚守道德准则的意识，掌握网络安全的标准。（二）教学内容模块二、知识域：网络安全监管2.2知识子域：网络安全国家政策2.2.1国家网络空间安全战略了解国家网络空间安全战略中总结的七种新机遇、六大严峻挑战及网络空间“和平、安全、开放、合作、有序”的发展战略目标；了解国家网络空间战略提出的四项基本原则和九大任务；2.2.2国家网络安全等保政策了解我国网络安全等级保护相关政策。2.3知识子域：网络安全道德准则2.3.1道德约束了解道德的概念、道德与法律的差异；理解道德约束相关概念。2.3.2职业道德准则理解信息安全从业人员遵守职业道德的重要性；了解目前国际团体和组织制作的职业道德规范文件；理解《CISP职业道德准则》的要求；2.4知识子域：信息安全标准2.4.1信息安全标准基础了解标准的基本概念及标准的作用、标准化的特点及原则等；了解国际信息安全标准化组织和我国信息安全标准化组织；了解我国标准分类及信息安全标准体系。中山大学新华学院信息科学学院课程体系62.4.2我国信息安全标准了解我国信息安全标准体系分类及基础标准、技术与机制、管理与服务标准、测评标准构成；2.4.3等级保护标准族了解网络安全等级保护标准体系；掌握等级保护实施流程中定级、备案的工作要求并了解等级保护整改、测评相关要求；了解等级保护2.0的相关变化。（三）教学重点与难点本节重点：网络安全国家政策、道德准则与安全标准。本节难点：道德准则与安全标准。（四）教学方法与手段课堂讲授、实验实践、案例教学、演示视频、提问研讨、课堂练习、作业点评。（五）教学时数：4学时第五周：信息安全管理与风险管理（一）教学目标学生掌握信息安全管理的基础概念和作用，掌握信息安全风险管理的概念和模型以及实施过程。（二）教学内容模块三、知识域：信息安全管理3.1知识子域：信息安全管理基础3.1.1基本概念了解信息、信息安全管理、信息安全管理体系等基本概念。3.1.2信息安全管理的作用理解信息安全管理的作用，对组织内部和组织外部的价值。3.2知识子域：信息安全风险管理3.2.1风险管理基本概念了解信息安全风险、风险管理的概念；理解信息安全风险管理的作用和价值；理解风险管理中各要素的关系。3.2.2常见风险管理模型了解COSO报告、ISO31000、COBIT等风险管理模型的作用。3.2.3安全风险管理基本过程掌握风险管理中背景建立、风险评估、风险处理、批准监督、监控审查、沟通咨询等步骤的工作内容。（三）教学重点与难点本节重点：信息安全管理、风险管理。本节难点：信息安全管理、风险管理。中山大学新华学院信息科学学院课程体系7（四）教学方法与手段课堂讲授、实验实践、案例视频、提问研讨、课堂练习、作业点评。（五）教学时数4学时第六周：信息安全管理体系建设、最佳实践和度量（一）教学目标学生掌握计算机病毒的原理，具备甄别和查杀病毒的能力，通过行为分析和程序分析，界定病毒、木马和蠕虫的区别。（二）教学内容模块三、知识域：信息安全管理3.3知识子域：信息安全管理体系建设3.3.1信息安全管理体系成功因素理解信息安全管理体系成功因素。3.3.2PDCA过程理解PDCA过程方法及27001中定义的PDCA过程方法四个阶段工作内容。3.3.3信息安全管理体系建设过程掌握规划与建立阶段组织背景、领导力、计划、支持等主要工作的内容；理解实施与运行、监视和评审、维护和改进阶段工作内容。3.3.4文档化理解文档化的重要性并了解文件体系及文件控制的方式。3.4知识子域：信息安全管理体系最佳实践3.4.1信息安全管理体系控制类型了解预防性、检测性、纠正性控制措施的差别及应用。3.4.2信息安全管理体系控制措施结构了解ISO27002要求的14个控制章节。3.4.3信息安全管理体系控制措施了解安全方针、信息安全组织、人力资源安全、资产管理、访问控制、密码学、物理和环境安全、操作安全、通信安全、安全采购开发和维护、供应商关系、安全事件管理、业务连续性管理及合规性的控制目标和控制措施。3.5知识子域：信息安全管理体系度量3.5.1基本概念了解ISMS测量的基本概念、方法选择、作用；了解27004定义的测量模型。3.5.2测量要求与实现了解测量实现的工作内容。（三）教学重点与难点本节重点：信息安全管理体系建设过程、最佳实践和度量。中山大学新华学院信息科学学院课程体系8本节难点：信息安全管理体系建设过程和度量。（四）教学方法与手段课堂讲授、实验实践、课堂讨论、案例探讨、课堂练习、作业点评。（五）教学时数4学时第七周：业务连续性管理、信息安全应急响应、灾难备份与恢复（一）教学目标学生掌握业务连