Domain 1
安全與風(fēng)險(xiǎn)管理

1、理解并應(yīng)用機(jī)密性、完整性，和可用性的概念
2、應(yīng)用安全治理原則
3、符合性
4、理解全球范圍內(nèi)屬于信息安全的法律法規(guī)問(wèn)題
5、理解職業(yè)道德
6、制定并實(shí)施文檔化的安全策略，標(biāo)準(zhǔn)，過(guò)程，和指南

7、理解業(yè)務(wù)連續(xù)性需求
8、促成人員安全策略
9、理解并應(yīng)用風(fēng)險(xiǎn)管理概念
10、理解并應(yīng)用威脅建模
11、將安全風(fēng)險(xiǎn)考慮整合到采購(gòu)策略并實(shí)踐之
12、建立并管理安全教育，培訓(xùn)，和意識(shí)

Domain 2
資產(chǎn)安全

1、信息資產(chǎn)分級(jí)
2、信息資產(chǎn)所有權(quán)
3、隱私保護(hù)

4、確定合適的保存
5、確定數(shù)據(jù)安全控制
6、確定數(shù)據(jù)處理的需求

Domain 3
安全工程

1、依照安全設(shè)計(jì)原則執(zhí)行和管理工程生命周期。
2、了解安全模型的基本概念。
3、依照信息系統(tǒng)安全標(biāo)準(zhǔn)挑選控制和對(duì)策。
4、了解信息系統(tǒng)的安全能力。
5、評(píng)價(jià)和抑制安全架構(gòu)、設(shè)計(jì)和解決方案元素的脆弱性。

6、評(píng)價(jià)和抑制Web系統(tǒng)的脆弱性。
7、評(píng)價(jià)和抑制移動(dòng)系統(tǒng)的脆弱性。
8、評(píng)價(jià)和抑制嵌入式設(shè)備和網(wǎng)絡(luò)化物理系統(tǒng)的脆弱性。
9、應(yīng)用密碼技術(shù)。
10、把安全原則應(yīng)用到場(chǎng)地和設(shè)施設(shè)計(jì)。
11、設(shè)計(jì)和執(zhí)行設(shè)施安全。

Domain 4
通信和網(wǎng)絡(luò)安全

1、將安全設(shè)計(jì)原理應(yīng)用到網(wǎng)絡(luò)架構(gòu)
2、網(wǎng)絡(luò)組件安全

3、設(shè)計(jì)和建立安全通信通道
4、預(yù)防或減輕網(wǎng)絡(luò)攻擊

Domain 5
身份與訪問(wèn)管理

1、資產(chǎn)的物理和邏輯訪問(wèn)控制
2、人員和設(shè)備的身份標(biāo)識(shí)、認(rèn)證和管理
3、身份作為服務(wù)(IDaaS)

4、集成的第三方身份認(rèn)證服務(wù)
5、實(shí)施和管理授權(quán)機(jī)制
6、預(yù)防或減少訪問(wèn)控制攻擊
7、管理身份和配置訪問(wèn)生命周期

Domain 6
安全評(píng)估和測(cè)試

1、設(shè)計(jì)和驗(yàn)證評(píng)估和測(cè)試戰(zhàn)略
2、執(zhí)行安全控制測(cè)試

3、收集安全過(guò)程數(shù)據(jù)
4、執(zhí)行或支持內(nèi)部和第三方審計(jì)

Domain 7
安全運(yùn)營(yíng)

1、理解和支持研究
2、理解研究類型的需求
3、行為記錄和監(jiān)控活動(dòng)
4、通過(guò)配置管理安全的提供資源
5、理解和應(yīng)用基本的安全操作概念

6、使用資源保護(hù)技術(shù)
7、實(shí)施事件響應(yīng)
8、操作和維護(hù)防范措施
9、實(shí)施和支持補(bǔ)丁和漏洞管理
10、參與并了解變更管理流程

11、實(shí)施恢復(fù)策略
12、實(shí)施災(zāi)難恢復(fù)流程
13、測(cè)試災(zāi)難恢復(fù)計(jì)劃
14、參與業(yè)務(wù)連續(xù)性規(guī)劃工作
15、實(shí)施和管理物理安全
16、參與人員安全

Domain 8
軟件開(kāi)發(fā)

1、理解安全并將其應(yīng)用于軟件開(kāi)發(fā)生命周期
2、在開(kāi)發(fā)環(huán)境中實(shí)施安全控制

3、評(píng)估軟件安全的有效性
4、評(píng)估軟件采購(gòu)安全