cia第三部分信息技术知识点整理

1、.PAGE ：.；三-E 信息技术知识点归纳 PAGE - 8 -三-E 信息技术知识点归纳从控制角度来看信息系统构成：1.普通控制：管理控制/系统实施控制/运转控制/软件控制/硬件控制/物理访问控制/逻辑访问控制2.运用控制：输入控制/处置控制/输出控制3.保证控制：灾难恢复与应急方案/环境控制/设备来源控制1.信息系统的战略、政策和过程1.1 信息系统的战略性运用目的：战略、政策、过程：经过运用信息系统，到达改良组织的目的、运营和效力或组织与环境的关系，从而协助 组织改善与客户的关系，获得竞争优势。战略性的运用系统浸透于业务层、企业层及行业层面。1.2 信息系统的运用推进组织构造变革：自动

2、化/流程合理话/业务流程再造/异化。1.3 信息系统运用方式的演化：主机/终端方式客户机/效力器方式阅读器/效力器方式与信息运用方式相关的问题：降型化/开放系统/遗产系统。1.4 信息系统的功能分类：作业层事物处置系统TPS：根本买卖活动，常规问题知识层知识任务系统KWS/办公自动户化系统OAS：知识员工、数据员工管理层管理信息系统MIS/决策支持DSS：中层经理，行政事务战略层高级经理支持系统ESS：高层经理，战略问题1.5 信息系统部门的职责系统开发小组系统分析员是联络的桥梁、设计、编程、测试系统运转小组确保正常运转/协助 平台、咨询。1.6 信息系统平安主管的责任信息系统高层管理人员的职

3、责：评价风险/控制本钱/制定风险控制目的与措施信息平安主管的职责：制定平安政策/评价平安控制/检测调查不胜利的访问企图/监视特权用户的访问，保证用途。1.7 新兴技术人工智能：专家系统商品赊销的审批、医疗专家系统：经过获取人类专家在某一领域的阅历和知识，利用推理模型来给出建议。专家系统可以使客户效力任务更容易进展。神经网络超音速飞机的控制系统、电力系统负荷预测：在被人类告知其决策错误及答案后，能修正期知识库。模糊逻辑人像识别系统：处置模糊数据。遗传算法煤气管道控制、机器人控制：不断完善对特定问题的处理方案。智能代理互联网搜索引擎、电子邮件过滤器：处理特定的、反复的、可预见的问题，内设知识库。1

4、.8 第三方效力机构的角色设备管理机构效力按用户要求运转、维护数据处置计算机租赁公司设备只提供设备效力局效力加设备管理运转本人的数据处置设备，用户只需求提供数据，根据效力结果付费共享效力商效力加设备管理运营本人的数据处置设备、使各类组织可以运用他们的系统2.硬件、平台、网络与远程通讯2.1 各种计算机媒体：磁带容量大、价钱低顺序存储磁带库包容多盘磁带、机械臂抓取软盘直接存取、便于携带硬盘直接存取、速度快、容量大廉价冗余磁盘阵列/廉价光盘反复陈列重构数据、容错才干强CD-ROM保管数字文件容量大、廉价、不能写入光盘库包容多个光盘一次写多次读光盘WORM 适用不须更新、记录内容。2.2 计算机类型

5、：个人计算机/任务站/网络计算机。2.3 各类计算机外部设备：不延续电源/光学字符识别/打印机/扫描仪/绘图仪/条码阅读器。2.4 外部接口：串口/并口/USB口。2.5 操作系统：分配、调度、监视系统资源，保证雇员只对被授权的数据进展读写访问 DOA/UNIX/VMS。2.6 监视器：区分硬件的瓶颈和软件设计问题/调整运转负荷/发现网络反响时间恶化情况。2.7 图形化用户接口：用鼠标点击图形来输入命令如WINDOWS。2.8 大型计算机的运用：影响大型计算机运转速度的要素有：运用软件的是设计效率数据库管理软件的效率数据的构造网络容量及传输速度系统负荷存储器容量平安检查及备份的频率软件初始化选

6、择的正确性。2.9 个人计算机与大型计算机的接口：经过局域网衔接、口令登陆终端仿真的风险：雇员利用微机谋取私利备份不充分拷贝供个人运用保管登录序列的文献任何能访问PC机的人员都可以访问主机。2.10 计算机网络的分类：广域网覆盖广、速度慢/局域网范围小、速度快/城域网城市内部高速网广域网：公用网络/虚拟公用网/公用交换网络/增值网局域网：总线网/星型网/环型网 或者分为：基于效力器的网络/对等网。2.11 网络衔接设备：网卡/调制解调器/中绩器/集线器/网桥/网关/路由器。2.12 因特网：资源无限缺陷：难以定位最好的资源功能：网络阅读器WEB/电子邮件EMAIL/远程登录TELNET/专题论

7、坛USENET/电子公告牌BBS/其他。2.13 数据传输方式：异步传输利用额外的启动位与停顿位同步数据传输/慢，有间隔同步传输同步时钟同步数据传输，快、可延续传输各种根底通讯网络：公用交换网拨号上网/DDN数字数据网络/桢中继降局域网和其他局域网衔接，使不很敏感的数据传送/综合效力数字网ISDN/非对称数字环线ADSL。3.数据处置 3.1 个人计算机软件：字处置软件/电子表格/图象处置软件/财务管理/管理软件/光学字符识别软件。3.2 程序执行方式：直接执行：言语程序编译目的代码衔接可执行代码执行程序运转解释执行：言语程序由解释程序转换二进制玛程序运转。3.3 言语类型：机器言语/汇编言语

8、/过程化言语/非过程化言语。3.4 文件类型：直接存取文件/顺序文件/索引文件主文件与事务文件/平面文件。3.5 数据处置方式：批处置/在线处置集中处置/分散处置/分布处置。3.6 常用计算机审计技术：测试数据检查信息系统能否正常平行模拟模拟系统与真实系统比较结果承继集成测试虚拟测试数据与真实数据一同处置，缺陷：测试数据能够进入委托人的真实数据环境嵌入审计模块延续监视其他技术电脑化帐务处置系统自动平帐。3.7 数据库的类型：层次性数据库；网状型数据库；关系型数据库关系型数据库的操作：选择条件选择出记录子集衔接按某个共同数据元素结合多个关系型数据库映射将数据库中的部分字段构成新的子表修正锁定/死

9、锁。3.8 数据库管理系统的组成数据定义言语：描画数据库内容与构造的言语建立数据库表构造数据支配言语：修正、操作、插入、查询提取数据的命令数据字典：对数据构造的定义。3.9 分布式数据库在各接点的分布方法：快照/复制/分割数据组织与查询：构造化查询言语不会对数据库产生风险管理查询设备用于趋势图、制造图表，无法检查数据有效性，可提供在线信息逻辑视图从一个或多个数据库表中生成新的数据构造，直观数据发掘分析，发现隐藏在数据后的规律。3.10 电子资金转帐系统EFT风险：未经答应的进入和操作对买卖的反复处置缺乏备份和恢复才干未经授权的访问和买卖活动风险最大优势：买卖处置本钱比手工低改善与贸易同伴的业务

10、关系减少数据错误提高任务效率EDI电子数据交换实施第一步：画出未实现组织目的所开展的运营活动的流程图目的：改善业务关系，提高竞争力EDI的风险：数据完好性的丧失和随意存取数据是EDI的固有风险数据传输能够在传输的起点、中途和重点被拦截或修正数字签名技术数据交换过程中的脱漏、错序或反复给EDI文件顺序编号向买卖同伴传输买卖信息有时不胜利经过对方的反响来确认4.系统开发获得和维护4.1 系统开发方法：系统开发生命周期法系统、规范、严密快速原型法不断修正直至称心，缺陷，不系统，不正规面向对象的开发方法根据需求4.2 系统开发的主要活动：系统分析系统设计系统编程测试转换系统维护系统分析：要处理问题的分

11、析用户分析和系统可行性分析系统分析员是信息系统和其他业务部门联络桥梁系统设计：逻辑设计物理设计系统编程：将设计规格书转化成计算机软件代码的过程测试：模块测试系统测试验收测试转换：平行转换直接转换试点转换分阶段的转换在软件需求与设计阶段审计师关注点：需求阶段平安需求能否完备，能否保证信息系统、完好、可用，能否有足够的审计踪迹审计设计阶段检查平安需求能否有足够的控制已集成到系统定义和测试方案中，延续性在线审计功能能否集成到系统中在系统设计阶段的基线上能否建立变动控制检查相关文档能否齐全4.3 内部审计师对信息系统开发的参与参与方式：延续参与开发/在系统开发终了时参与/在系统实施后参与延续参与的益处

12、：最大限制地降低系统重新设计的本钱4.4 系统维护与变动的控制：程序变动控制：经管理层同意经全面测试并保管文档必需留下何人、何时、何事的线索修正软件的风险：运用未经审查、测试的修正软件，使被处置信息的可靠性减弱4.5 最终用户开发的风险系统分析功能被忽略难集成系统内产生公用信息系统缺乏规范和文档，运用和维护都依赖开发者缺乏监视，失去数据一致性4.6 降低最终用户开发的风险：成立信息中心集中系统开发专家对用户进展培训提个开发工具与指点，协助建立质量规范信息中心直接参与系统分析与设计对终端用户开发的审计确定终端用户开发的程序对运用程序进展风险排序对控制情况进展文件处置与测试4.7 软件答应问题：运

13、用盗版软件的危害违法/易感染病毒防止运用非法软件的方法建立制度/版权法教育/定期鉴别/保管购买软件的原始记录/专人保管安装盘非法软件的发现比较采购记录与可执行文件/比较序列号5.信息系统平安5.1 常见攻击手段：黑客/阻塞/窃听/重演/诈骗/中断/病毒5.2 不同层次的信息系统平安控制：普通控制/运用控制普通控制：管理控制：制定政策与程序/目的：职责分别系统实施控制：开发实施过程中建立控制点编制文档各个环节运转控制：数据存储、运转规范化要求，例如在对不需求的文件要在授权条件下及时删除，管理系统操作、性能监测、系统备份、审计日志软件控制：未经答应不得修正、在独立的计算机上测试一切的要进入消费环境

14、的软件硬件控制：保证正常运转：回拨检测、奇偶校验访问控制重点：标识/口令/授权/访问日志/自动注销登录/回拨/对工具软件的限制物理设备控制：防止对物理设备的非授权接触的控制普通控制更为根底，影响运用控制CIA在审查一个运用系统的运用控制时应首先确认该系统曾经建立完善的普通控制。5.3 访问控制的类型：标识独一确定用户身份口令弱控制授权建立访问控制表预防未经授权访问修正敏感信息，知必所需访问日志检测性控制措施回拨维护信息按指定途径传送自动注销登录防止经过无人看管的终端来访问主机警感信息对工具软件的限制5.4 加密和解密算法和密钥加密密钥和解密密钥公钥和私钥数字证书数字签名认证中心对称密码体制，DES非对称密码体制，RSA5.5 电子邮件的平安控制：制止用EMAIL发送高度敏感或信息加密限运用数量任务终端的商用电子邮件保管备查严密性电邮不能储存在邮件效力器中离任雇员的电邮应该保管备查在平安程度不同的地点有几个人同对担任管理的电邮平安性归档和分级管理。电子邮件不能够比它赖以运转的计算机环境更平安。5.6 防火墙：数据包过滤型/运用网关型5.7 运用软件控制：输入控制输入授权、数据转换、编辑检验处置控制运转总数、计算机匹配、并发控制、输出控制输出控制平衡总数、复核日志、审核报告、审核制度文件5.8 计算机的物理平安：保证传输线路的平安以防止非法访问