正版 信息系统中的风险管理 (美)Darril Gibson(达瑞尔?吉布森

第一部分 风险管理业务的挑战
第1 章 风险管理基础................................................................................... 1
1.1 什么是风险........................................................................................1
1.2 信息技术基础设施风险的主要组成................................................5
1.3 风险管理及其对组织机构的影响..................................................13
1.4 风险识别技术..................................................................................18
1.5 风险管理技术..................................................................................23
本章小结...................................................................................................27
第2 章 风险管理：威胁、漏洞及攻击...................................................... 29
2.1 对威胁的认识与管理......................................................................29
2.2 对漏洞的认识与管理......................................................................35
2.3 对漏洞攻击的认识与管理..............................................................41
2.4 美国联邦政府的信息系统风险管理实践......................................48
本章小结...................................................................................................54
第3 章 合规性的依据................................................................................. 55
3.1 美国合规性法规..............................................................................55
3.2 合规性的管理机构..........................................................................62
3.3 合规性的组织机构政策..................................................................66
3.4 合规性的标准与指南......................................................................67
本章小结...................................................................................................81
第4 章 风险管理计划的制定......................................................................82
4.1 风险管理计划的目标......................................................................82
4.2 风险管理计划的范围......................................................................85
4.3 风险管理计划中的职责分配..........................................................88
4.4 风险管理计划中系统实现步骤与进度的描述..............................92
4.5 需求报告..........................................................................................94
4.6 行动和里程碑计划........................................................................100
4.7 风险管理计划进展的图形表达....................................................103
本章小结.................................................................................................106
第二部分 风险缓解
第5 章 风险评估方法的概念....................................................................107
5.1 对风险评估的认识........................................................................107
5.2 风险评估的关键步骤....................................................................110
5.3 风险评估的类型............................................................................112
5.4 风险评估的挑战............................................................................124
5.5 风险评估的做法....................................................................130
本章小结.................................................................................................131
第6 章 风险评估的实施............................................................................132
6.1 风险评估方法的选择....................................................................132
6.2 管理结构的辨识............................................................................136
6.3 风险评估范围内资产与活动的辨识............................................137
6.4 关联威胁的辨识与评估................................................................142
6.5 关联漏洞的辨识与评估................................................................144
6.6 应对措施的辨识与评估................................................................146
6.7 基于评估需求的方法选择............................................................150
6.8 制定风险缓解建议........................................................................153
6.9 提交风险评估结果........................................................................156
6.10 实施风险评估的做法..........................................................156
本章小结.................................................................................................157
第7 章 受保护资源及活动的辨识.............................................................158
7.1 系统访问及可用性........................................................................158
7.2 系统的人工和自动功能................................................................161
7.3 硬件资产........................................................................................163
7.4 软件资产........................................................................................164
7.5 人力资源........................................................................................166
7.6 数据及信息资源............................................................................167
7.7 典型信息技术基础设施七个领域的资产和库存管理....................173
7.8 维持运营所需设施及供应的辨识................................................178
本章小结.................................................................................................184
第8 章 威胁、脆弱性及漏洞的辨识与分析.............................................185
8.1 威胁评估........................................................................................185
8.2 脆弱性评估....................................................................................193
8.3 漏洞评估........................................................................................205
本章小结.................................................................................................212
第9 章 风险缓解安全控制的辨识与分析.................................................213
9.1 现场控制........................................................................................213
9.2 计划控制........................................................................................214
9.3 控制类别........................................................................................214
9.4 程序控制范例................................................................................218
9.5 技术控制范例................................................................................226
9.6 物理控制范例................................................................................234
9.7 风险缓解安全控制的做法....................................................238
本章小结.................................................................................................239
第10 章 组织机构中的风险缓解计划.......................................................240
10.1 组织机构中风险缓解的起点......................................................240
10.2 组织机构中风险管理的范围......................................................241
10.3 合法性及合规性问题对组织机构影响的认识和评估....................252
10.4 合法性及合规性意义的诠释......................................................261
10.5 典型信息技术基础构架七个领域合法性及合规性意义
的影响评估..................................................................................261
10.6 安防措施对风险缓解助益的评估..............................................263
10.7 对合法性及合规性需求操作意义的认识..................................263
10.8 组织机构中风险缓解及风险降低的要素辨识..........................264
10.9 费用效益分析的实施.....

达瑞尔·吉布森（Darril Gibson），是YCDA有限责任公司的CEO，他创作或合著了超过35本书。Darril定期撰写、咨询和教授各种技术和安全问题，并持有多项认证。

徐一帆，海军工程大学电子工程学院副教授，主要负责信息网络安全方面的研究，目前已发表该专业领域论文数十篇，研究成果颇丰。

信息系统所面临的风险和挑战业已成为任何国家、组织和个人都无法回避的重大问题。达瑞尔·吉布森著的《信息系统中的风险管理(第2版)》则从综合、系统的视角探讨了信息系统中的风险管理问题，其中既包含了风险和风险管理的基本原理，又涉及了风险管理中各项子问题的细节，主要包括以下三个部分：风险管理业务的挑战；风险缓解；风险缓解计划。本书是信息系统、风险管理、信息安全等多学科领域的交叉融合之作，具有其独到的特色。它既可以作为信息安全、计算机科学与技术、管理科学与工程、信息系统管理、电子商务等专业本科和研究生教学使用，也可以作为信息系统建设与管理的工程技术人员、监管人员及管理者的参考用书。

达瑞尔·吉布森著的《信息系统中的风险管理(第2版)》为信息系统中的风险管理提供了一个广泛而综合的视角，既涵盖了风险和风险管理的基本原理，又包括了更为广泛的风险管理问题细节。 本书表达风格实用通俗，通过文字描述将信息安全概念和程序的相关案例清晰地呈现给读者。文中图表既能清晰简洁地表达内容，又丰富了内容的展现形式。每章小结为读者提供了内容要点，有助于读者了解相关概念的重要性。