CISA知识点总结

第一章. 信息 系统 审计 过程 1. IS 审计和保障标准、指南工具 、职业 道德规范 信息 技术保证框架（ ITAFITAFITAFITAF，Information Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance Framewor kInformation Technology Assurance Framework Information Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance Framework Information Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance Framework）  审计准则 ：强制性要求 ：强制性要求 ：强制性要求  一般 准则 ：基本的 审计 指导原理 指导原理  执行 准则 ：涉及 任务的执行和管理 任务的执行和管理 任务的执行和管理  报告 准则 ：落实 ：落实 报告类型、沟通方式和信息 报告类型、沟通方式和信息 报告类型、沟通方式和信息 报告类型、沟通方式和信息  审计指南：侧重 审计指南：侧重 于审计方法、理论 于审计方法、理论 于审计方法、理论  工具 和技术（ 和技术（ 也叫 程序） 程序） ：提供各种 ：提供各种 方法、工具和模版 方法、工具和模版 方法、工具和模版 方法、工具和模版 三者关系 ：IS 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 了具体的流程和步骤范例。 了具体的流程和步骤范例。 了具体的流程和步骤范例。 2. 风险评估概念、工具 及技术 风险 的定义 ：“风险 是特定的威胁 是特定的威胁 是特定的威胁 利用 资产的脆弱性 资产的脆弱性 从而 对组织造成损害的可能性。 对组织造成损害的可能性。 对组织造成损害的可能性。 对组织造成损害的可能性。 ”（ISO ISO/IEC /IEC /IEC PDTR13335PDTR13335 PDTR13335 PDTR13335PDTR13335PDTR13335PDTR13335-1） 风险评估 的过程： (1) 识别 业务目标 业务目标 （BO ，Business Object Business Object Business Object Business Object Business ObjectBusiness ObjectBusiness ObjectBusiness Object） (2) 识别 信息资产 信息资产 （IA ，Information Asset Information AssetInformation AssetInformation AssetInformation AssetInformation Asset Information Asset Information Asset Information AssetInformation AssetInformation Asset ） (3) 进行 风险评估（ 风险评估（ RA ，Risk Assessment Risk Assessment Risk AssessmentRisk AssessmentRisk Assessment Risk AssessmentRisk AssessmentRisk Assessment ）：威胁 →脆弱性 脆弱性 →可能性 →影响 (4) 进行风险 减缓（ 减缓（ RM ，Risk M Risk M Risk Mitigation itigation itigation itigation itigation）：落实相关控制 落实相关控制 (5) 进行风险 处置（ 处置（ RT ，Risk Treatment Risk Treatment Risk TreatmentRisk Treatment Risk TreatmentRisk Treatment Risk Treatment） 基于 kInformation Technology Assurance Framework Information Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance Framework Information Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance FrameworkInformation Technology Assurance Framework）  审计准则 ：强制性要求 ：强制性要求 ：强制性要求  一般 准则 ：基本的 审计 指导原理 指导原理  执行 准则 ：涉及 任务的执行和管理 任务的执行和管理 任务的执行和管理  报告 准则 ：落实 ：落实 报告类型、沟通方式和信息 报告类型、沟通方式和信息 报告类型、沟通方式和信息 报告类型、沟通方式和信息  审计指南：侧重 审计指南：侧重 于审计方法、理论 于审计方法、理论 于审计方法、理论  工具 和技术（ 和技术（ 也叫 程序） 程序） ：提供各种 ：提供各种 方法、工具和模版 方法、工具和模版 方法、工具和模版 方法、工具和模版 三者关系 ：IS 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 审计师必须遵守准则，指南帮助应用工具和技术提供 了具体的流程和步骤范例。 了具体的流程和步骤范例。 了具体的流程和步骤范例。 2. 风险评估概念、工具 及技术 风险 的定义 ：“风险 是特定的威胁 是特定的威胁 是特定的威胁 利用 资产的脆弱性 资产的脆弱性 从而 对组织造成损害的可能性。 对组织造成损害的可能性。 对组织造成损害的可能性。 对组织造成损害的可能性。 ”（ISO ISO/IEC /IEC /IEC PDTR13335PDTR13335 PDTR13335 PDTR13335PDTR13335PDTR13335PDTR13335-1） 风险评估 的过程： (1) 识别 业务目标 业务目标 （BO ，Business Object Business Object Business Object Business Object Business ObjectBusiness ObjectBusiness ObjectBusiness Object） (2) 识别 信息资产 信息资产 （IA ，Information Asset Information AssetInformation AssetInformation AssetInformation AssetInformation Asset Information Asset Information Asset Information AssetInformation AssetInformation Asset ） (3) 进行 风险评估（ 风险评估（ RA ，Risk Assessment Risk Assessment Risk AssessmentRisk AssessmentRisk Assessment Risk AssessmentRisk AssessmentRisk Assessment ）：威胁 →脆弱性 脆弱性 →可能性 →影响 (4) 进行风险 减缓（ 减缓（ RM ，Risk M Risk M Risk Mitigation itigation itigation itigation itigation）：落实相关控制 落实相关控制 (5) 进行风险 处置（ 处置（ RT ，Risk Treatment Risk Treatment Risk TreatmentRisk Treatment Risk TreatmentRisk Treatment Risk Treatment） 基于