CISA 信息系統審計師認證 All-in-One（第4版·2019大綱）

第1章  成為註冊信息系統審計師(CISA) 1

1.1  CISA認證的收益 2

1.2  CISA認證流程 3

1.3  ISACA職業道德準則 7

1.4  ISACA 信息系統(IS)標準 7

1.5  CISA認證考試 9

1.5.1  考試準備 10

1.5.2  考試之前 10

1.5.3  考試當天 11

1.5.4  考試之後 11

1.6  申請CISA認證 12

1.7  維持CISA認證 12

1.7.1  繼續教育 12

1.7.2  CPE維持費用 14

1.8  弔銷證書 14

1.9  CISA考試準備指導 15

1.10  小結 15

第2章  IT治理和管理 17

2.1  高管和董事會的IT治理實務 18

2.1.1  IT治理 18

2.1.2  IT治理框架 18

2.1.3  IT戰略委員會 19

2.1.4  平衡計分卡 19

2.1.5  信息安全治理 20

2.2  IT戰略規劃 23

2.3  策略、流程、程序和標準 24

2.3.1  信息安全策略 25

2.3.2  隱私策略 26

2.3.3  數據分類策略 26

2.3.4  系統分類策略 27

2.3.5  場所分類策略 27

2.3.6  訪問控制策略 27

2.3.7  移動設備策略 27

2.3.8  社交媒體策略 28

2.3.9  其他策略 28

2.3.10  流程和程序 28

2.3.11  標準 29

2.3.12  企業架構 30

2.3.13  法律、法規和標準的適用性 32

2.4  風險管理 33

2.4.1  風險管理計劃 33

2.4.2  風險管理流程 34

2.4.3  風險處理 43

2.5  IT管理實務 45

2.5.1  人員管理 45

2.5.2  尋源或尋找供應商 50

2.5.3  變更管理 56

2.5.4  財務管理 57

2.5.5  質量管理 57

2.5.6  組合管理 59

2.5.7  控制措施管理 59

2.5.8  安全管理 60

2.5.9  性能和容量管理 61

2.6  組織結構與職責 62

2.6.1  角色與職責 63

2.6.2  職責分離 68

2.7  IT治理審計 69

2.7.1  文檔和記錄審計 70

2.7.2  合同審計 71

2.7.3  外包審計 72

2.8  小結 73

2.9  本章要點 74

2.10  習題 74

2.11  答案 76

第3章  審計流程 79

3.1  審計管理 79

3.1.1  審計章程 80

3.1.2  審計計劃 80

3.1.3  戰略性審計規劃 80

3.1.4  審計和技術 82

3.1.5  審計相關的法律法規和監管合規要求 83

3.2  ISACA審計標準 88

3.2.1  ISACA職業道德規範 88

3.2.2  ISACA審計和鑒證標準 88

3.2.3  ISACA審計和鑒證準則 91

3.3  風險分析 95

3.3.1  審計師風險分析和企業風險管理計劃的側重點 96

3.3.2  評價業務流程 97

3.3.3  識別業務風險 98

3.3.4  風險緩解 99

3.3.5  安全對策評估 100

3.3.6  持續監測 100

3.4  控制措施 100

3.4.1  控制措施分類 100

3.4.2  內部控制目標 103

3.4.3  信息系統控制目標 104

3.4.4  通用計算控制措施 104

3.4.5  信息系統控制措施 105

3.5  開展審計實務 105

3.5.1  審計目標 106

3.5.2  審計類型 107

3.5.3  合規性測試和實質性測試 108

3.5.4  審計方法論和項目管理 109

3.5.5  審計證據 111

3.5.6  依賴其他審計師的工作成果 116

3.5.7  審計數據分析 117

3.5.8  報告審計結果 120

3.5.9  其他審計主題 122

3.6  CSA 124

3.6.1  CSA的優缺點 125

3.6.2  CSA生命周期 125

3.6.3  CSA目標 126

3.6.4  審計師和CSA 126

3.7  實施審計建議 127

3.8  小結 127

3.9  本章要點 128

3.10  習題 129

3.11  答案 131

第4章  IT生命周期管理 133

4.1  收益實現 134

4.1.1  項目組合和項目集管理 134

4.1.2  制定業務案例 136

4.1.3  衡量業務收益 137

4.2  項目管理 138

4.2.1  項目組織 138

4.2.2  制定項目目標 139

4.2.3  管理項目 141

4.2.4  項目角色和責任 142

4.2.5  項目規劃 143

4.2.6  項目管理方法論 154

4.3  系統研發生命周期(SDLC) 159

4.3.1  SDLC階段 160

4.3.2  軟件研發風險 180

4.3.3  其他軟件研發方法和技術 181

4.3.4  系統研發工具 185

4.3.5  採購基於雲計算的基礎架構和應用程序 186

4.4  研發和實施基礎架構 188

4.4.1  審查現有基礎架構 189

4.4.2  需求 189

4.4.3  設計 190

4.4.4  採購 190

4.4.5  測試 191

4.4.6  實施 191

4.4.7  維護 191

4.5  信息系統維護 192

4.5.1  變更管理 192

4.5.2  配置管理 193

4.6  業務流程 194

4.6.1  業務流程生命周期與業務流程再造 194

4.6.2  能力成熟度模型 197

4.7  第三方管理 199

4.7.1  風險因素 199

4.7.2  入圍和盡職調查 199

4.7.3  分類 200

4.7.4  評估 200

4.7.5  補救 200

4.7.6  風險報告 201

4.8  應用程序控制措施 201

4.8.1  輸入控制措施 201

4.8.2  處理控制措施 203

4.8.3  輸出控制措施 205

4.9  系統研發生命周期審計 206

4.9.1  項目集與項目管理審計 206

4.9.2  可行性研究審計 207

4.9.3  項目需求審計 207

4.9.4  項目設計審計 207

4.9.5  軟件購置審計 207

4.9.6  項目研發審計 208

4.9.7  項目測試審計 208

4.9.8  項目實施審計 208

4.9.9  項目實施後審計 209

4.9.10  變更管理審計 209

4.9.11  配置管理審計 209

4.10  業務控制措施審計 209

4.11  應用程序控制措施審計 210

4.11.1  交易流向 210

4.11.2  觀察 210

4.11.3  數據完整性測試 211

4.11.4  在線處理系統測試 211

4.11.5  應用程序審計 211

4.11.6  持續審計 212

4.12  第三方風險管理審計 213

4.13  小結 213

4.14  本章要點 215

4.15  習題 216

4.16  答案 218

第5章  IT服務管理和業務持續 221

5.1  信息系統運營 221

5.1.1  運營的管理與控制 222

5.1.2  IT服務管理 222

5.1.3  IT運營和異常處置 230

5.1.4  最終用戶計算 231

5.1.5  軟件程序代碼庫管理 232

5.1.6  質量保證 233

5.1.7  安全管理 233

5.1.8  介質控制措施 234

5.1.9  數據管理 234

5.2  信息系統硬件 235

5.2.1  電腦使用 235

5.2.2  電腦硬件架構 238

5.2.3  硬件維護 246

5.2.4  硬件持續監測 246

5.3  信息系統架構與軟件 247

5.3.1  電腦操作系統 247

5.3.2  數據通信軟件 248

5.3.3  文件系統 248

5.3.4  數據庫管理系統 249

5.3.5  介質管理系統 252

5.3.6  實用軟件 253

5.3.7  軟件許可證 254

5.3.8  數字版權管理 255

5.4  網絡基礎架構 255

5.4.1  企業架構 256

5.4.2  網絡架構 256

5.4.3  基於網絡的服務 258

5.4.4  網絡模型 260

5.4.5  網絡技術 269

5.5  業務韌性 299

5.5.1  業務持續規劃 299

5.5.2  災難恢復規劃 329

5.6  審計IT基礎架構和運營 346

5.6.1  審計信息系統硬件 346

5.6.2  審計操作系統 346

5.6.3  審計文件系統 347

5.6.4  審計數據庫管理系統 347

5.6.5  審計網絡基礎架構 347

5.6.6  審計網絡運行控制措施 348

5.6.7  審計IT運營 349

5.6.8  審計無人值守運營 350

5.6.9  審計問題管理操作 350

5.6.10  審計持續監測運營 350

5.6.11  審計採購 351

5.6.12  審計業務持續規劃 351

5.6.13  審計災難恢復規劃 354

5.7  小結 358

5.8  本章要點 359

5.9  習題 360

5.10  答案 363

第6章  信息資產保護 365

6.1  信息安全管理 365

6.1.1  信息安全管理的主要方面 365

6.1.2  角色和職責 369

6.1.3  業務一致性 370

6.1.4  資產清單和分類 371

6.1.5  訪問控制 373

6.1.6  隱私 374

6.1.7  第三方管理 375

6.1.8  人力資源安全 379

6.1.9  電腦犯罪 382

6.1.10  安全事故管理 386

6.1.11  法證調查 390

6.2  邏輯訪問控制措施 391

6.2.1  訪問控制概念 391

6.2.2  訪問控制模型 392

6.2.3  訪問控制的威脅 392

6.2.4  訪問控制漏洞 393

6.2.5  接入點和進入方式 394

6.2.6  身份識別、身份驗證和授權 397

6.2.7  保護存儲的信息 404

6.2.8  管理用戶訪問 410

6.2.9  保護移動設備 414

6.3  網絡安全控制措施 416

6.3.1  網絡安全 416

6.3.2  物聯網安全 419

6.3.3  保護客戶端/服務器應用程序 420

6.3.4  保護無線網絡 421

6.3.5  保護互聯網通信 424

6.3.6  加密 429

6.3.7  IP語音 439

6.3.8  專用分組交換機 440

6.3.9  惡意軟件 441

6.3.10  信息泄露 446

6.4  環境控制措施 448

6.4.1  環境威脅和脆弱性 448

6.4.2  環境控制措施與對策 449

6.5  物理安全控制措施 453

6.5.1  物理訪問威脅和脆弱性 454

6.5.2  物理訪問控制措施和對策 455

6.6  審計資產保護 456

6.6.1  審計安全管理 456

6.6.2  審計邏輯訪問控制措施 457

6.6.3  審計網絡安全控制措施 462

6.6.4  審計環境控制措施 465

6.6.5  審計物理安全控制措施 466

6.7  小結 467

6.8  本章要點 468

6.9  習題 469

6.10  答案 471

附錄A  開展專業化審計(可從網站下載)

附錄B  主流方法論、框架和準則(可從網站下載)

附錄C  關於在線學習資源(可從網站下載)