黑龙江省高等教育自学考试

黑龙江省高等教育自学考试电子信息技术(080738)专业（独立本科段）信息安全工程考试大纲(课程代码 7875)黑龙江省高等教育自学考试委员会办公室二○○九年十月一、课程性质与设置目的信息系统安全工程学着重研讨信息安全保障体系构建中若干值得注意的原则问题及信息系统工程设计和实施的方法问题。

本课程着重从系统工程切入，依照系统工程—系统安全工程—系统安全工程能力评估—信息系统安全工程的逻辑顺序，对信息系统安全工程生命期各阶段的准备、实施、过程监控及反馈、调整进行系统的描述。

本课程涉及内容十分广泛，对于从事信息系统管理、工程设计、施工、质量控制的各类技术人员和科研单位的研究、技术开发人员具有重要的价值。

二、课程内容和考核目标绪论（一）课程内容1．信息安全问题2．构建信息安全保障体系3．信息安全保障体系的主要内容（二）学习目的与要求本章概要描述了信息安全保障问题，信息安全保障体系的构建问题和信息安全保障体系的主要内容。

（三）考核知识点与考核要求1．信息安全问题，要求达到“识记”层次。

2．构建信息安全保障体系，要求达到“理解”层次。

3．构建信息安全保障体系，要求达到“识记”层次。

第1篇系统工程第1章系统工程概述（一）课程内容第1节概念和背景第2节系统工程模型（二）学习目的与要求本章概要描述了系统工程的概念、适用范围以及发展历史，并概括了系统工程的思想方法和关键要素。

目的是帮助学生对系统工程有一种总体上的了解。

（三）考核知识点与考核要求1．概念和背景，要求达到“识记”层次。

1.1计算机的启动和开始工作1.2二进制和数字1.3 背景2．系统工程模型，要求达到“理解”层次。

第2章系统工程过程需求（一）课程内容第1节需求分析第2节功能分析与分配第3节合成第4节系统分析与控制第5节系统工程输出（二）学习目的与要求本章概要描述了系统工程过程需求的主要内容：需求分析、功能分析\分配、合成、系统分析和控制采用渐进系统工程过程，从而达到合同目标，并据此确定在系统生命期内的需求、设计和解决方案。

（三）考核知识点与考核要求1．需求分析，要求达到“识记”层次。

2．功能分析与分配，要求达到“理解”层次。

2.1功能分析2.2分配3．合成，要求达到“理解”层次。

3.1设计3.2 设计的验证4．系统分析与控制，要求达到“简单应用”层次。

4.1折中研究4.2 系统/成本效益性能分析4.3 风险管理4.4 配置管理4.5 接口管理4.6 数据管理4.7 系统工程主进度4.8 技术性能测量4.9 技术性审核4.10 对变化作出响应5．系统工程输出，要求达到“理解”层次。

5.1 规范和基线5.2 生命线支持数据第3章系统工程的详细需求（一）课程内容第1节系统工程规划第2节功能性任务第3节选项第4节深入的开发考虑第5节系统/成本效应第6节实施任务第7节技术性审核第8节系统工程能力评估（二）学习目的与要求本章概要描述系统工程的任务，这些任务在应用具体项目和阶段时，对于产品集成和过程开发都可进行评估和裁剪。

对具体项目而言，裁剪需求将由提出任务机构提供或由执行机构通过处理规程进行建议。

（三）考核知识点与考核要求1．系统工程规划，要求达到“识记”层次。

1.1系统工程管理规划1.2系统工程主进度（表）1.3系统工程详细进度2．功能性任务，要求达到“理解”层次。

2.1可靠性和可维护性2.2生存能力2.3 电磁兼容性和无线电频率管理2.4 人的因素2.5 系统保险及健全性2.6 系统安全2.7 可生产性2.8 综合的后勤支持2.9 测试和评估2.10综合的故障诊断2.11 可运输性2.12 基础设施支持2.13 其他功能领域3．选项，要求达到“理解”层次。

3.1非开发项目3.2 开放系统体系结构3.3 重复使用3.4 使用双重技术4．深入的开发考虑，要求达到“简单应用”层次。

4.1计算机资源4.2 材料、过程和部件控制4.3 原型4.4 仿真4.5 数字数据5．系统/成本效应，要求达到“理解”层次。

5.1制造分析及评估5.2验证分析和评估5.3 部署分析和评估5.4 运行分析和评估5.5 可支持性分析和评估5.6 培训分析和评估5.7 处置分析和评估5.8 环境分析和影响的评估5.9 生命期成本分析和评估5.10模型6．系统/成本效应，要求达到“理解”层次。

7．技术性审核，要求达到“简单应用”层次。

7.1审核的责任7.2结构性审核7.3 可选方案的系统审核7.4 系统需求7.5 系统功能审核7.6 初步设计审核7.7 关键性设计审核7.8 系统验证审核7.9 物理配置审计7.10 子系统审核7.11 功能审核7.12 过渡性系统审核8．系统工程能历评估，要求达到“理解”层次。

第2篇系统安全工程能力成熟度模型第4章系统安全工程（一）课程内容第1节为什么要研究系统安全工程第2节什么是SSE-CMM第3节系统安全工程过程第4节SSE-CMM的主要概念第5节SSE-CMM的体系结构（二）学习目的与要求本章概要描述系统安全工程的概念，是系统工程的一个子集，信息系统安全工程作为系统安全工程的一个子集，其安全体系和策略必须遵从系统安全工程的一般性原则和规律。

本章的重点和最终目的是研究系统安全的工程原理方法，因此对系统安全过程进行一般性讨论和概念性介绍就显得非常必要。

（三）考核知识点与考核要求1．为什么要研究系统安全工程，要求达到“识记”层次。

1.1系统安全工程1.2与系统安全工程有关的组织1.3系统安全工程活动1.4系统安全工程与其他科目1.5系统安全工程学科2．什么是SSE-CMM，要求达到“识记”层次。

2.1SSE-CMM的发展历史2.2 SSE-CMM的用户3．系统安全工程过程，要求达到“理解”层次。

3.1风险3.2 工程3.3 保证4．SSE-CMM的主要概念，要求达到“识记”层次。

4.1过程4.2 过程区4.3 工作产品4.4 过程能力5．SSE-CMM的体系结构，要求达到“简单应用”层次。

5.1基本模型5.2域维/安全过程区5.3 能力级别5.4 体系结构的组成第5章通用实施（一）课程内容第1节0级——未实施级第2节1级——非正规实施级第3节2级——规划和跟踪级第4节3级——充分定义级第5节4级——量化控制级第6节5级——持续性改进级（二）学习目的与要求本章概要描述可应用于所有过程的通用实施，这些通用实施可在过程评估中用于确定任何过程的能力。

通用实施依据公共特性和能力级别进行分组。

能力级别是系统安全工程能力成熟模型中最重要的一维，它表示了过程的成熟性，即组织的过程管理和制度化能力的强弱。

（三）考核知识点与考核要求1．0级——未实施级，要求达到“理解”层次。

2．1级——非正规实施级，要求达到“理解”层次。

3．2级——规划和跟踪级，要求达到“理解”层次。

3.1公共特性2.1——规划执行3.2 公共特性2.2——规范化执行3.3 公共特性2.3——验证执行3.4 公共特性2.4——跟踪执行4．3级——充分定义级，要求达到“理解”层次。

4.1公共特性3.1——定义标准过程4.2 公共特性3.2——执行已定义的过程4.3 公共特性3.3——协调安全实施5．4级——持续性改进级，要求达到“理解”层次。

5.1公共特性4.1——建立可测度的质量目标5.2公共特性4.2——对执行情况实施客观管理6．5级——持续性改进级，要求达到“理解”层次。

6.1公共特性5.1——改进组织能力6.2公共特性5.2——改进过程的效能第6章安全基本实施（一）课程内容第1节PA01——实施安全控制第2节PA02——评估影响第3节PA03——评估安全风险第4节PA04——评估威胁第5节PA05——评估脆弱性第6节PA06——建立保证论据第7节PA07——协调安全第8节PA08——监控安全态势第9节PA09——提供安全输入第10节PA10——确定安全需求第11节PA11——验证和证实安全（二）学习目的与要求本章概要描述安全基本实施的相关概念及内容，基本实施即安全工程必须考虑的实施。

SSE-CMM包括了11个安全工程区，这些过程覆盖了安全工程所有主要领域。

设置这些安全过程区是为了满足安全工程组织广泛的需求。

（三）考核知识点与考核要求1．PA01——实施安全控制，要求达到“简单应用”层次。

1.1PB.01.01——建立安全控制的职责1.2PB.01.02——管理系统安全控制的配置1.3PB.01.03——管理安全意识、培训和教育大纲1.4PB.01.04——管理安全服务及控制机制的定期维护和管理2．PA02——评估影响，要求达到“简单应用”层次。

2.1PB.02.01——对影响进行识别、分析和优先级排列2.2PB.02.02——识别系统资产2.3PB.02.03——选择用于评估影响的度量标准2.4 PB.02.04——识别度量标准及其转换因子之间的关系2.5PB.02.05——识别和特征化影响2.6 PB.02.06——监控影响中发生的变化3．PA03——评估安全风险，要求达到“简单应用”层次。

3.1PB.03.01——选择风险分析方法、技术和准则3.2PB.03.02——识别三组合（暴露）3.3PB.03.03——评估与出现暴露相关的风险3.4 PB.03.04——评估总的不确定性3.5PB.03.05——风险优先排列3.6 PB.03.06——监控风险谱及其特征的动态变化4．PA04——评估威胁，要求达到“简单应用”层次。

4.1PB.04.01——识别自然威胁4.2PB.04.02——识别人为威胁4.3PB.04.03——识别威胁的测度单元和适用范围4.4 PB.04.04——评估威胁作用力的技能和效力4.5PB.04.05——评估威胁事件出现的可能性4.6 PB.04.06——监控威胁谱的变化及其特征的变化5．PA05——评估脆弱性，要求达到“简单应用”层次。

5.1PB.05.01——选择脆弱性识别和特征化的方法、技术和标准5.2PB.05.02——识别系统安全脆弱性5.3PB.05.03——收集脆弱性数据5.4 PB.05.04——评估并综合系统脆弱性5.5PB.05.05——监控脆弱性及其特征的变化6．PA06——建立保证论据，要求达到“简单应用”层次。

6.1PB.06.01——识别安全保证目标6.2PB.06.02——定义安全保证目标6.3PB.06.03——识别、控制安全保证证据6.4 PB.06.04——分析安全保证目标6.5 PB.06.05——提供安全保证目标7．PA07——协调安全，要求达到“简单应用”层次。

7.1PB.07.01——定义协调目标和相互关系7.2PB.07.02——识别协调机制7.3PB.07.03——促进协调7.4 PB.07.04——协调安全决定和建议8．PA08——监控安全态势，要求达到“简单应用”层次。