CISA信息系统审计师认证All-in-One（第4版·2019大纲）

　　涵盖所有考点： ？？ IT治理和管理 ？？ 审计流程 ？？ IT生命周期管理 ？？ IT服务管理和业务持续 ？？ 信息资产保护 配书网站包含： ？？？？300道模拟试题 ？？？？一个测试引擎 ？？？？既有标准长度的模拟考卷，也允许按主题定制题目

　　Peter H. Gregory持有CISM、CISA、CRISC、CISSP、CIPM、CCISO、CCSK和PCI-QSA等认证证书，是一位拥有近30年从业经验的安全技术专家，担任Optiv Security（美国更大的安全系统集成商）的执行董事。2002年至今，Peter致力于制订和管理组织的信息安全管理计划。从1990年以来，Peter一直领导安全IT环境的研发和测试工作。此外，Peter曾担任软件工程师、架构师、系统工程师、网络工程师和安全工程师等职务。Peter在职业生涯中撰写了大量文章、白皮书、用户手册、流程和程序，并多次组织讲座、培训、研讨会和编撰大学课程。 Peter撰写了40多本信息安全与信息技术的专业书籍，包括Solaris Security、CISSP Guide to Security Essentials、CISM Certified Information Security Manager All-In-One Exam Guide和CISA Certified Information Systems Auditor All-In-One Exam Guide等。Peter曾在许多行业会议上发表演讲，包括RSA、Interop、ISACA CACS、（ISC）2大会、SecureWorld博览会、西海岸安全论坛、OptivCon、维多利亚（BC）隐私和安全会议、IP3、信息管理协会、Interface、Tech Junction、SOURCE、华盛顿技术行业协会和InfraGard等。Peter担任华盛顿大学信息安全和风险管理认证计划顾问委员会成员、华盛顿大学网络安全认证计划的首席讲师和顾问委员会成员、南佛罗里达大学网络安全认证顾问委员会成员和讲师、InfraGard华盛顿州分会前理事会成员，以及太平洋CISO论坛的创始成员。Peter是FBI公民学院2008年毕业生、FBI公民学院校友会成员。译 者 介 绍 栾浩，获得美国天普大学IT审计与网络安全专业理学硕士学位，持有CISSP、CISA、CISP-A、TOGAF9、ISO27001LA和BS25999LA等认证。负责金融科技研发、数据安全、云计算安全和信息科技审计和风控等工作。担任（ISC）2上海分会理事。栾浩先生担任本书翻译工作的总技术负责人，并承担第3章的翻译工作，以及全书的校对和定稿工作。 姚凯，获得中欧国际工商学院工商管理硕士学位，持有CISA、CISSP、CCSP和CEH等认证。负责IT战略规划、政策程序制定、IT架构设计及应用部署、系统取证和应急响应、数据安全、灾难恢复演练及复盘等工作。姚凯先生承担本书前言和第1~2章的翻译、5~6章的技术修订工作以及全书的校对、定稿工作。 齐力群，获得北京联合大学机械工程学院机械设计与制造专业工学学士学位，持有CISA、CIA和CISP-A等认证。现任永拓华安网络空间技术服务（北京）有限公司总经理，负责信息系统审计、信息安全咨询服务等业务的推广、实施等工作。齐力群先生承担第4章和附录A的翻译工作以及全书校对、统稿工作。 王向宇，获得安徽科技学院网络工程专业工学学士学位，持有CISP、CISP-A等认证。负责数据安全运营、安全工具研发、信息系统审计和软件开发安全等工作。王向宇先生承担本书第1~2章的技术修订、全书校对和统稿工作。 吕丽，获得吉林大学文秘专业文学学士学位，持有CISSP、CISA、CISM和CISP-PTE等认证。现任中银金融商务有限公司信息安全经理，负责信息科技风险管理、网络安全技术评估、信息安全体系制度管理、业务持续及灾难恢复体系管理、安全合规与审计等工作。吕丽女士承担本书第3~4章的技术修订、全书术语定稿和全书校对工作，并担任本书项目经理，统筹全书各项事务。 汤国洪，获得电子科技大学电子材料与元器件专业工学学士学位，持有CISSP、CISA等认证。负责基础架构安全和网络安全等工作。汤国洪先生承担第5章的翻译工作，并为本书撰写了译者序。 王铭，获得北京航空航天大学软件工程硕士学位，持有CISP-A、中级审计师等认证。现任陕西省审计计算机信息中心副主任，负责本省金审工程项目相关私有云平台和信息安全系统的规划和组织建设等工作。王铭先生担任本书信息系统审计工作实务专家，并承担部分章节的校对工作。朱良，获得华北电力大学计算机技术工学硕士学位。现任职于中国人民银行长春中心支行科技处，负责指导辖内金融机构信息化和安全建设等相关工作。朱良先生担任本书信息系统建设工作实务专家，承担本书部分章节的校对工作。 马春燕，挪威商学院工商管理硕士，持有CISSP和CCSP等认证。负责网络安全管理战略、安全架构、云安全、业务安全和应急响应等工作。马春燕女士担任本书第6章和附录B的翻译工作。 张李安，获得北京信息工程学院信息管理与信息系统专业管理学学士学位，持有CISSP等认证。现任某国有商业银行高级信息安全管理岗职务，负责信息安全管理、数据安全、运营安全、安全检查等工作。张李安女士承担本书部分章节的校对工作。 徐坦，获得河北科技大学理工学院网络工程专业工学学士学位，持有CISP等认证。现任安全渗透测试工程师职务，负责数据安全渗透测试、安全工具研发和企业安全攻防等工作。徐坦先生承担本书部分章节的校对工作。 李浩轩，获得河北科技大学理工学院网络工程专业工学学士学位，持有CISP等认证。现任安全渗透测试工程师职务，负责安全工具研发、应用安全检测、异常流量分析、攻击事件研判和网络攻击溯源等工作。李浩轩先生承担本书部分章节的校对工作。 赵一龙，获得北京科技大学计算机科学与技术专业工学学士学位，持有CISSP、CISP和PMP等认证。负责安全咨询、解决方案和安全建设等工作。赵一龙先生承担本书部分章节的校对工作。 周可政，获得上海交通大学电子与通信工程专业工学硕士学位，持有CISSP和CISA等认证。现任银联数据服务有限公司资深安全工程师职务，负责公司互联网应用安全、SIEM平台、主机安全和企业安全建设等工作。周可政先生承担本书部分章节的校对工作。 牛承伟，获得中南大学工商管理硕士学位，持有CISP等认证。现任广州越秀集团有限公司高级主管，负责基础设施安全、数据安全和资产安全等工作。牛承伟先生承担本书部分章节的校对工作。 朱思奇，获得上海交通大学通信与信息系统专业工学硕士学位，持有CISSP和CISA等认证。现任中国银行股份有限公司江苏省分行信息科技部门的科技经理职务，负责公司信息科技风险管理、信息科技审计等工作。朱思奇先生承担本书部分章节的校对工作。 刘北水，获得西安电子科技大学通信与信息系统专业工学硕士学位，持有CISSP、CISP和PMP等认证。现任工业和信息化部电子第五研究所项目主管，负责电子政务领域信息安全体系规划、商用密码应用安全性评估等工作。刘北水先生承担本书部分章节的校对工作。 赵晨明，获得西安交通大学工商管理硕士学位，持有CISA和CISSP等认证。负责数据安全和隐私保护等工作。赵晨明先生承担本书部分章节的校对工作。 曾大宁，获得南京航空航天大学飞行器环境控制与安全救生专业工学学士学位。持有PMP和RHCE等认证。曾大宁先生承担本书部分章节的校对工作。 朱建滨，获得香港大学工商管理硕士学位，持有CISSP等认证。负责信息安全治理、风险和合规、数据安全和隐私保护等工作。朱建滨先生承担本书部分章节的校对工作。许琛超，获得上海交通大学计算机科学与技术工学学士学位。持有CISSP、CISP和CISA等认证。许琛超先生承担本书部分章节的校对工作。 邢海韬，获得北京工业大学软件工程硕士学位。持有CDPSE等认证。邢海韬先生承担本书部分章节的校对工作。 邓诗智，获得解放军信息工程大学应用数学专业理学硕士学位。邓诗智先生承担本书部分章节的校对工作。 贺凯，获得浙江大学宁波理工学院通信工程专业工学学士学位。持有CISSP和CISA等认证。贺凯先生承担本书部分章节的校对工作。 张锋，获得郑州大学计算机科学与技术专业工学硕士学位，持有CISA等认证。张锋先生承担本书部分章节的校对工作。 本书涉猎广泛，内容涉及IT审计、IT治理、IT生命周期管理、IT服务管理、信息资产保护等方面的认证考试相关难点，特别是细分领域的安全术语和概念，中文译本极易混淆，往往令应试者考场失利。在本次翻译工作中，针对此类情况，举行了专项学术讨论，（ISC）2上海分会的诸位安全专家给予了高效专业的解答，这里衷心感谢（ISC）2上海分会理事会和（ISC）2上海分会会员的参与、支持和帮助。

第1章 成为注册信息系统审计师(CISA) 1
1.1 CISA认证的收益 2
1.2 CISA认证流程 3
1.3 ISACA职业道德准则 7
1.4 ISACA 信息系统(IS)标准 7
1.5 CISA认证考试 9
1.6 申请CISA认证 12
1.7 维持CISA认证 12
1.8 吊销证书 14
1.9 CISA考试准备指导 15
1.10 小结 15
第2章 IT治理和管理 17
2.1 高管和董事会的IT治理实务 18
2.2 IT战略规划 23
2.3 策略、流程、程序和标准 24
2.4 风险管理 33
2.5 IT管理实务 45
2.6 组织结构与职责 62
2.7 IT治理审计 69
2.8 小结 73
2.9 本章要点 74
2.10 习题 74
2.11 答案 76
第3章 审计流程 79
3.1 审计管理 79
3.2 ISACA审计标准 88
3.3 风险分析 95
3.4 控制措施 100
3.5 开展审计实务 105
3.6 CSA 124
3.7 实施审计建议 127
3.8 小结 127
3.9 本章要点 128
3.10 习题 129
3.11 答案 131
第4章 IT生命周期管理 133
4.1 收益实现 134
4.2 项目管理 138
4.3 系统研发生命周期(SDLC) 159
4.4 研发和实施基础架构 188
4.5 信息系统维护 192
4.6 业务流程 194
4.7 第三方管理 199
4.8 应用程序控制措施 201
4.9 系统研发生命周期审计 206
4.10 业务控制措施审计 209
4.11 应用程序控制措施审计 210
4.12 第三方风险管理审计 213
4.13 小结 213
4.14 本章要点 215
4.15 习题 216
4.16 答案 218
第5章 IT服务管理和业务持续 221
5.1 信息系统运营 221
5.2 信息系统硬件 235
5.3 信息系统架构与软件 247
5.4 网络基础架构 255
5.5 业务韧性 299
5.6 审计IT基础架构和运营 346
5.7 小结 358
5.8 本章要点 359
5.9 习题 360
5.10 答案 363
第6章 信息资产保护 365
6.1 信息安全管理 365
6.2 逻辑访问控制措施 391
6.3 网络安全控制措施 416
6.4 环境控制措施 448
6.5 物理安全控制措施 453
6.6 审计资产保护 456
6.7 小结 467
6.8 本章要点 468
6.9 习题 469
6.10 答案 471
附录A 开展专业化审计(可从网站下载)
附录B 主流方法论、框架和准则(可从网站下载)
附录C 关于在线学习资源(可从网站下载)