CISAW培训方案
CISAW风险管理专业级培训课件-密码技术
基本术语
密码体制
指能完整地解决信息安全中的机密性、数据完整性、认证、 身份识别、可控性及不可抵赖性等问题中的一个或几个的 一个系统。对一个密码体制的正确描述，需要用数学方法 清楚地描述其中的各种对象、参数、解决问题所使用的算 法等 又称为密码系统
中国信息安全认证中心 信息安全保障人员认证
10
密码学发展趋势
量子密码学 混沌密码体制 多变量公钥密码体制 基于格的公钥密码体制 DNA密码体制
中国信息安全认证中心 信息安全保障人员认证
密码学及编码学
密码学
以研究秘密通信为目的，研究对传输信息采取何种秘密的变换，以防 止第三者对信息的截取。
密码编码学——研究把信息（明文）变换成没有密钥不能解密或很难 解密的密文的方法
这一切的目的在于破译出密钥或密文
中国信息安全认证中心 信息安全保障人员认证
加密与编码
编码
一方面表示的是经过编制、安排的数码本身 另一方面主要是指信息格式转换的过程 编码广泛应用于计算机、通讯、电视等各个领域，如二进 制编码、字符集编码、哈夫曼编码、曼彻斯特编码等
加密中的编码
特指以码字（code word）取代特定的明文的过程，是加 解密处理的预处理过程
解密器
m 接收者
M=Dk2(C)
k2
密钥源
k2
中国信息安全认证中心 信息安全保障人员认证
密码分析
假设破译者Oscar是在已知密码体制的前提下来破译Bob使用的密钥。 这个假设称为Kerckhoff原则。最常见的破解类型如下： 唯密文攻击：Oscar具有密文串y. 已知明文攻击: Oscar具有明文串x和相应的密文y. 选择明文攻击：Oscar可获得对加密机的暂时访问， 因此他能选择 明文串x并构造出相应的密文串y。 选择密文攻击:Oscar可暂时接近解密机,可选择密文串y，并构造出相 应的明文x.
cisaw信息安全保障人员安全集成认证培训教材
cisaw信息安全保障人员安全集成认证培训教材
以下是cisaw信息安全保障人员安全集成认证培训教材：
基本性质教材：《信息安全技术》、《信息安全技术应用》和《信息安全实验》。
专业领域方向的教材：《软件安全开发》、《信息系统安全集成》、《信息安全管理》、《信息安全咨询手册》、《信息系统安全运维》、《信息系统安全审计》、《信息安全风险管理》、《网络攻防技术》、《业务连续性管理》、《云计算安全》、《物联网安全》和《工业控制安全》。
实践领域方向的教材：《电子政务安全》、《电子商务安全》、《交通服务信息安全》、《能源服务信息安全》、《医疗卫生信息安全》、《教育服务信息安全》、《金融服务安全》、《通信服务信息安全》、《宾馆服务信息安全》和《物流服务信息安全》。
以上信息仅供参考，建议咨询专业人士获取准确信息。
CISAW风险管理专业级培训课件-客户端安全
客户端常规安全攻击案例
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
客户攻击案例
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
客户端常规安全攻击案例
实际攻击演示
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
客户端业务安全检测项及攻击 案例
要求：客户端业务安全问题。 重点：客户端常规的问题的产生过程，问题引发的风险。
检测说明 检测是否可以非法查询其他用户余额
检测是否可以非法查询其他用户交易信 息 检测是否可以非法查询其他用户敏感信 息 检测是否可以非法挂失其他用户
进入网银后，点击摸个跳转按钮，是否 可以跳转到非法的页面 通过对收款方信息进行篡改，窃取用户 资金
中国信息安全认证中心 信息安全保障人员认证
客户端组成-保护控件安全性检测项
中国信息安全认证中心 信息安全保障人员认证
客户端常规安全攻击案例
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
客户端常规安全攻击案例
• 用户信息窃取
• 黑客通过在网银上挂木马，可以截获网银通过SSL发送、接收信 息的明文，从而获取用户的敏感信息。
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
中国信息安全认证中心 信பைடு நூலகம்安全保障人员认证
客户端常规安全攻击案例
• 密码窃取
• 黑客通过在网银上挂木马，可以从系统中截获用户输入的密码明 文。
1
2
3
4
中国信息安全认证中心 信息安全保障人员认证
澳门国际仲裁培训计划
澳门国际仲裁培训计划一、澳门国际仲裁培训计划概述澳门是一个法治国家，其司法体系稳定健全，法律体系完备，对于仲裁行业的发展有着重要的支持和推动作用。
为了推进澳门国际仲裁专业化、国际化和网络化建设，提高仲裁人才的水平和专业素养，澳门国际仲裁培训计划应运而生。
本培训计划旨在通过多种形式的教学和培训活动，提升仲裁人员的专业知识和技能，增强他们的仲裁实践能力，培养具有国际视野和竞争力的国际仲裁专业人才。
二、澳门国际仲裁培训计划内容1. 培训课程设置本次培训计划将围绕以下课程展开：（1）仲裁基础理论：包括仲裁法律基础、仲裁程序、仲裁机构和仲裁员的基本角色等内容。
（2）国际仲裁实务：包括国际商事仲裁案例分析、国际仲裁规则解读、证据规则和仲裁裁决执行等实际案例分析。
（3）专业素养培养：包括仲裁员的职业道德和行为规范、听证技巧、仲裁调解等专业培养方面的内容。
（4）国际法律知识：包括国际商法、国际投资法、国际私法等国际法律知识的学习。
2. 培训方式本次培训计划将采用多种形式的教学和培训方式：（1）课堂教学：邀请国内外仲裁专家及知名法律学者进行专题讲座和培训，分享国际仲裁实务经验和案例分析。
（2）案例分析：组织学员进行案例分析讨论，提升学员对具体案例的分析和解决问题的能力。
（3）实地考察：组织学员参观国际知名仲裁机构，深入了解国际仲裁实务操作。
（4）模拟实践：通过模拟仲裁庭审等形式，加强学员的实际操作能力和沟通技巧。
3. 培训对象本次培训计划主要面向澳门国际仲裁领域的从业人员，包括澳门仲裁机构工作人员、仲裁员、律师、法官等相关从业人员。
三、澳门国际仲裁培训计划的意义和影响通过本次培训计划，将对澳门国际仲裁行业的发展产生积极的意义和深远的影响：1. 推动澳门国际仲裁行业的发展，提升仲裁专业水平和服务质量。
2. 提升澳门国际仲裁机构的国际竞争力和知名度，吸引更多的国际商事纠纷案件选择澳门作为仲裁地。
3. 增加澳门仲裁员的国际化视野和竞争力，提高澳门仲裁员在国际商事仲裁领域的声誉和地位。
CISAW风险管理专业级培训课件-数据安全
19
怎么办？
在大数据时代保护个人隐私，既要靠技术，也要靠 法律！ 技术层面
一是要防止不法分子侵入个人系统，盗取个人信息 二是要限制个人信息掌握者的权限，使每个层级的相关人 员只能掌握相应的有限信息
法律层面
既要为依法合理地搜集处理大数据信息提供保障 也要确保信息处理过程中个人隐私不被泄露，不被用于服 务和统计以外的目的
举例 销售数据：可以反映销售状况，通过不同的时间，市场环境， 好坏，趋势等等变量，反映经营状况，生产状况，企业经营 者要根据数据做判断，来指导销售，生产，以及库存，制定 生产计划等等。例如：去年焦炭企业连续亏损，企业就要根 据市场数据做生产调整，来压缩产能，换取市场价格回升。
中国信息安全认证中心 信息安全保障人员认证
硬件级备份和软件级备份
硬件级备份：指用硬件的冗余来保护系统的业务连续运行。比如想磁 盘镜像，双机容错等方式。如果主硬件损坏，后备硬件马上能够接替 其工作，这种方式可以有效地防止硬件故障。能够最快速的解决硬件 破损问题。 软件级备份：指将系统数据保存到其它工具软件上，当出现错误状态 后可以将系统恢复到备份时的状态。由于这种备份是由软件来完成的， 所以称为软件备份。
数据安全事件举例（1）
911事件
金融机构聚集的世贸大厦里的大量数据化为乌有。纽约银行（Bank of New York）的数据中心被毁，通讯线路中断，缺乏灾备系统和有 力的应急业务恢复计划，在一个月后不得不关闭一些分支机构，数月 后不得不破产清盘。
中国信息安全认证中心 信息安全保障人员认证
数据安全事件举例（2）
可用性 保密性 完整性
保障阶段
使用 存储 传输
中国信息安全认证中心 信息安全保障人员认证
CISAW风险管理专业级培训课件-网银USBKEY安全性检测-数据分析
1.1、USBKey的基本概念
• 密码钥匙 • U盾 、Ukey • USBStick USBToken
是一种智能卡的衍生品，特点是具有智能卡+USB接口读卡器的集成硬 件和智能卡的嵌入软件（COS），具有密码算法、存储保护等智能卡的 安全特性，可实现数据加解密、身份认证、数字证书保存和数字签名等 安全功能。
•
3
中国信息安全认证中心 信息安全保障人员认证
1. USBKey 的基本知识
• 1.2、USBKey的应用
• 身份认证、网络登录 • 中国各银行网上银银行： 网银登录（身份认证）+交易认证
4
中国信息安全认证中心 信息安全保障人员认证
1.3. 网银系统USBKey的一般模型
5
中国信息安全认证中心 信息安全保障人员认证
• ５.1 准备
• 样本：某银行柜台，与办理人的真实银行账户绑定
• 操作：网络环境中运行并进行用户的普通操作：下载证书、校验并修 改PIN码、网银转账
• 工具：BUSHOUND、捷德命令集检索表
• 资料： i-COS_V1.0_Manual_05_03_18、
•
STARCOS S21
• 证书生成：vip.txt
• 攻击者的攻击潜力： • 1.物理占有USBkey 者可对目标进行长时间系统性分析； • 2.远程攻击者：具有足够的知识和技术能力通过移植木马等手段从互连
网远端控制客户端PC机；对受测件具有足够的知识（至少与测试人员 相当）和技术能力通过被控的客户端PC机监测并操控客户机与USBKey 之间的所有通讯信息。
网银USBKEY 安全性检测 之数据分析
实践课程
本课目录
1 USBKey 的基本知识 2 网银 USBKey 安全性检测 3 网银 USBKey 安全性检测准备 4 网银 USBKey 安全性检测实施 ５USBKey 安全性检测实例 ６实习题
CISAW风险管理专业级培训课件-风险处置与监视评审
4
中国信息安全认证中心 信息安全保障人员认证
4.1 风险处置过程框架
（2）制定风险处置计划并定义各处置项的优先级
等级赋 值
5
4 3 2 1
标识
描述
处置成本/目标收益值低，而风险对于组织的影响重 很高 大，对组织的根本利益有着决定性影响，若益值较低，风险对组织影响大，对 组织的利益有着重大的影响
中等
处置成本/目标收益值适中，风险对组织影响较大， 若不进行处置，风险将对组织的利益有较大影响
较低
处置成本/目标收益值较高，风险对组织有一定的影 响，若不处置，对组织的利益有轻微的影响
很低
处置成本/目标收益值很高，风险对组织的影响不是 太明显，可以考虑忽略
5
中国信息安全认证中心 信息安全保障人员认证
保险转移 非保险转移
11
中国信息安全认证中心 信息安全保障人员认证
4.2 风险处置方法
3、风险降低 当风险无法完全规避时，风险降低无疑是一种风险降低 是指通过一系列的保护措施来降低风险。 1）采取技术措施：及时打补丁、关闭无用网络服务端口、 加强边界防护、增加备仹容灾等。 2）建立风险预警机制和风险控制体系； 3）采取法律的手段将一些计算机犯罪予以法律制裁。计 算机犯罪的范畴包括盗取机密信息、攻击关键的信息系统 基础设施、传播病毒、不健康信息1和2 垃圾邮件等。中信国息信安息全安保全障认人证员中认心证
（7） 环境约束 （8） 法律约束 （9） 易用性约束 （10）人员约束 （11）整合新建和现有控制措施的约束
16
中国信息安全认证中心 信息安全保障人员认证
4.3 风险处置措施选择与实施
4.3.2 准备和实施风险处置计划 在进行具体的风险处置乊前都需要根据组织实际的情况 制定相应的合理的风险处置计划。包括风险类别、风险二 级分类、风险描述、处置方式的选择、处置措施的描述、 紧急程度、预计完成时间、估算投入的成本以及相关责仸 人等信息。
CISAW培训教材《信息安全风险管理》内容概述
《信息安全风险管理》力求从实践出发，介绍当前信息安全保障工作中的风险管理技术，适合申请认证考试人员或从事信息安全风险管理工作的人员使用。
全书共分为5章：
第1章概述。
本章从信息安全风险管理模型出发，阐述风险的起源、特性、要素及其关系和风险管理的基本概念；
第2章信息安全风险管理相关标准。
本章从信息安全风险管理标准出发，介绍ISO/IEC31000、ISO/IEC13335、ISO/IEC27005、卡内基梅隆、GB/T20984等相关标准的内容；
第3章信息安全风险评估实现。
本章关注风险管理中的风险评估这一核心要素，详细介绍了信息安全风险评估内容，按照风险识别、风险分析、风险评价这条主线展开论述，同时辅以部分实例进行说明；
第4章信息安全风险处置。
本章从风险处置的角度出发，详细阐述了风险处置的过程框架，并讨论了几种典型的风险处置措施及其应用；
第5章信息安全风险管理案例。
本章从整体出发，依照本书中第1章提出的风险管理模型，以一个实际项目作为案例，对整个风险管理的实施过程进行了论述。
《信息安全技术》是《信息安全风险管理》的配套教程，详细介绍了信息安全的基本概念和技术原理。
全书分上下册，共23章，包括信息安全基本概念、密码技术、身份认证、访问控制、信息隐藏、容错容灾、反垃圾邮件技术、存储
介质安全技术、恶意代码及防护、传输安全、机房环境、漏洞管理、主机安全、安全审计、取证技术、安全测试、安全编码、物理边界控制、防火墙技术、入侵检测、云计算安全和物联网安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全保障从业人员认证（CISAW）
培训方案
信息安全保障从业人员认证（Certified Information Security Assurance Worker, 英文缩写：CISAW）通过考试和其它评价方式证明获证人员具备了在一定的专业方向上从事信息安全保障工作的个人素质和相应的技术知识与应用能力，以供用人单位选用具备能力资格的信息安全工作人员。
一、机构简介
中国信息安全认证中心（China Information Security Certification Center，英文缩写：ISCCC）是经中央机构编制委员会批准成立，依据国家有关的法律法规，负责实施信息安全认证（产品认证、服务资质认证、信息安全相关管理体系认证、信息技术管理认证和信息安全保障从业人员认证）的专门机构。
北京金源动力信息化测评技术有限公司是专业从事信息化评估、信息安全评估与咨询服务的法人单位；是CECA国家信息化测评中心的唯一工作支撑单位；是国资委开展中央企业单位信息化水平评价及定级工作的技术支撑单位；是为中央企业单位提供信息安全服务的专业公司；是中国信息安全认证中心指定CISAW 授权培训机构。
公司成立于2001年9月，2007年起开始从事企、事业单位信息安全服务和培训工作。
二、培训目标
贯彻落实《关于加强中央企业信息化工作指导意见》及《中央企业信息化评价暂行办法》；满足新的中央企业信息化评价指标中提出了对信息安全培训的要求；推动加快中央企业开展信息安全保障体系建设；提高中央企业的信息安全水平；加强信息安全方向人才培养。
三、培训内容
四、培训对象
国有大中型企、事业单位中高级管理和技术人员、信息安全主管、IT经理/总工、网络安全中高级工程师及电信运营商网管部门中高级管理及技术人员
各政府机构、事业单位、教育机构信息安全管理及技术人员信息安全服务/产品公司及系统集成公司的管理及技术人员
CISAW认证应试者
五、考试注册要求
1、CISAWI级（基础级）
认证申请人应至少满足下面一项要求：
本科（含）以上学历，1年以上从事信息安全有关工作经历；
专科毕业，3年以上从事信息安全有关的工作经历；
5年以上从事信息安全有关的工作经历；
具有信息技术相关专业的初级技术职称，并且至少1年以上从事信息安全有关的工作经历。
2、CISAWII级（专业级）
认证申请人应至少满足下面一项要求：
硕士研究生（含）以上学历，2年以上从事信息安全有关工作经历，并且至少1年从事与申请从业方向相关的工作经历；
本科毕业，4年以上从事信息安全有关工作经历，并且至少2年以上从事与申请从业方向相关的工作经历；
专科毕业，6年以上从事信息安全有关工作经历，并且至少2
年以上从事与申请从业方向相关的工作经历；
7年以上从事信息安全有关工作经历，并且至少2年以上从事与申请从业方向相关的工作经历；
具有信息技术相关专业的中级技术职称，并且从事至少2年以上与申请从业方向相关的工作经历。
六、报名材料
1、正面免冠2寸蓝底彩色照片三张
2、学历证复印件二份
3、身份证复印件二份
4、考试及注册申请表（电子版）
5、考试及注册申请表（加盖公章原件）
七、培训模式
培训采取集中授课的形式，培训时间为5天，原则上每次培训人数不低于30人。
培训最后一天考试，时间为2个小时，题型为选择题和实验题；
八、培训费用
培训费：8000元/人；考试认证费：2000/人；（除参加培训人员食宿以外的所有费用）
九、证书颁发
考试合格并符合中国信息安全保障从业人员认证要求者，将获得由中国信息安全认证中心统一颁发的《中国信息安全保障从业人员认证》证书。
该证书可作为专业技术人员职业能力考核、
专业技术人员岗位聘用、任职、定级和晋升职务的重要依据。
该证书同时符合中央企业信息化水平绩效评价指标中关于信息安全从业资质认证的要求。
十、联系方式
北京金源动力信息化测评技术有限公司
地址：北京市朝阳门内大街188号鸿安国际大厦A座12层
联系人：熊应高宋津熠
电话：************
传真：************
邮编：100010
网址：。