对章节知识做加强，梳理考点笔记等。本课程针对CISA®备考。建议搭配班级主课程一同学习。
输入控制是预防性控制
单元测试
集成测试做什么 谁来做
自上而下 自下而上
压力测试
黑盒测试
beta测试
钓鱼 信息安全意识培训
DOS 耗尽计算机资源
检查点针对的是数据备份 还有一个是版本更新
voip 服务连续性
错误的优先级 ITIL U+I=P
事故具有响应性。
数据恢复 RPO
RTO
重放攻击 时间戳
界面错误 自上而下
文本错误 自下而上
47题 原题
51原题？？？ 看看书
抽样技术
56题需要确认
第五章 证据保管 不能篡改，不能关机，必须要有数据监管链 证据
集成审计和综合审计一个意思。
66 后面是否有重复
37: 第3章考点 招投标
4.1.2考点： 打印服务器、文件服务器
4.1.3： USB风险：病毒和恶意软件、数据外传、敏感数据泄露、数据损坏
对文件加密防止文件丢失
4.1.4 无线射频风险： 业务流程风险、商业智能风险、隐私风险、外部性风险
无线射频最大的风险是隐私风险
4.1.5.硬件维护程序： 停机问题
可用性报告和利用率报告的作用
容量管理
4.2 IT资产管理：
4.3 作业调度和生产流程自动化：
4.4： 系统接口--简单了解
EUC没有IT统一管理，组织需要管理和控制EUC，审计师需要确保制定有关EUC的使用政策
EUC有没有统一的使用政策? 是否有审计日志和活动？
磁带需要放到专用的保管箱里，确保磁带数据的可恢复性
磁盘阵列： RAID
软件许可： Lan中安全计量软件、集中控制分发和安装软件
源代码管理： 控制源代码访问、及时备份、跟踪变更、如果购买需要签署第3方托管协议
容量管理： 监控
可用性：强调系统全年可用时间的占比。通常用几个9表示。（4个9：99.99%）
硬件、软件、系统都有相应的可用性要求。
利用率：生成明年资源的预测。（同容量管理相关）。
IT资产管理的第一步是对软件和硬件IT资产进行识别并创建一份清单。
电子证据监管链是审计师审查安全事故管理系统最总要的考虑因素。
第一类错误： 错误拒绝率FRR；
第二类错误：错误接受率FAR；
软件开发的外包合同：1、确保代码的托管；
2、数据的所有权；3、知识产权；
审查规则定义库能够提供证明防火墙配置与公司安全政策相一致的最佳审计证据。
敏感数据的应用用户问责制，审计轨迹是应当实施的最有效的控制。问责看轨迹。
优先图示法：关键路径；
绩效：关键性IT表现指标（先）——BSC平衡积分卡（后）；
不收集是对隐私的最大保护，故限制信息的收集；
软件成熟度模型的最高级别是持续改进；
哈希与数字签名有关；
IPS可以预防服务器被安装了rootkit恶意软件（未经授权的）；
PIN和智能卡可为服务器机房提供双因素保护；
审计风险是指审计师在审计实施过程中，风险确实存在，但是审计师未发现的风险。
QA人员最不该从事改动程序业务功能；
IT项目组合分析对战略IT举止决策流程最有价值；
界面（interface，接口）；
接受组织政策和标准知识培训有助于信息所有者对数据进行适当分类；
审查数据中心的灭火系统应考虑维护措施；
停走抽样和发现抽样属于属性抽样，属性抽样用于符合性测试。
降级模式：非正常下的，冗余的方式；容错硬件可使业务操作在降级模式下继续执行。
交易监测控制能最有效地减小欺诈性在线付款请求造成损失的风险。
决策支持系统DSS根据数据分析和互动模型做出决策。
信息系统质量保证小组负责：确保程序变更符合制定的标准
VBF（BIA）
数据库管理系统软件包不可能提供下面哪一种访问控制功能：用户在网络层的登录。
冷备：有水、有点、有空调、有基础设施，其他都没有。
ROI投资回报率：分配财务资源的基础。
校验数字位控制在跨网络传输中可以有效地检测数据意外损坏。
信息的退还或销毁在云服务下最重要。
特定业务流程相关的控制风险指内控，内控最重要的就是职责分离。
highlevel：能否满足业务需求；
midlevel：能否满足项目要求；
lowlevel：满足特定功能的要求；
IDS系统应安装在DMZ区；
检测型控制：HASH哈希函数
重新计算指的是输出；
极限检查是输入的检查，预防性控制；
运行汇总：输入之后执行的；
对账是在输出之后；
EDI必须完成实施消息标准；
数据的分类核心是业务用途；
业务优先性；
在项目的问题管理过程中，将出现影响评估工作。
项目管理中会涉及问题和风险。
远程连接最好的是VPN。Telnet通过使用点对点租用线缆。
原型法的好处有：增加了客户满意度、减少项目风险。
证书过期访问不了网站；自签名是没有经过机构的授权许可，风险最大。易造成中间人攻击，钓鱼网站。
笔记本载入新软件和数据的时候进行病毒扫描检测最有效防止病毒在公司内网传播。
哈希是保证完整性的（身份认证）。
PERT计划评审技术：为计划和控制项目考虑不同的场景。
带时间戳的数据加密可防止互联网嗅探器进行重放攻击（Internet sniffer）。
秘钥型加密的优势是增强验证功能。
数据分类的好处就是成本效益原则。
能力管理就是容量管理；
业务案例等同可行性分析；
促成合规性的现有IT机制对促进政策实施后的合规性最重要。
RSA加密为非对称的加密，所以私钥的泄露最严重。
所有的质量管理和项目管理都是以持续改进为目标。
成熟度模型最高级：以持续改进为目标。
和主要业务相关者面谈是进行业务影响分析的最好方法。
防止尾随最好的是双门，其次是安全教育。
软件能力成熟度模型CMM的最高级是持续改进。
SDLC软件开发生命周期
数据库重组的目的是提高效率；
互联网环境中的缓冲溢出，可能导致对某系统的非法访问权。
注意：考试当中出现行业的良好实践都是错误的，因为每家组织的实际情况都是不一样的。
服务器选型时，高峰期的预计交易量最重要。
吞吐量索引表示系统在一段时间内完成的工作量。
项目与组织战略相一致是最重要的。
电子商务发展的业务案例：提高公司竞争力。
散列总计有助于确保文件转移的完整性。
审计电子商务环境时，最重要的是理解应用系统所支持的业务流程的性质和重要性。
第一章 信息系统审计流程
BPR业务流程再造主要关注效率。
何时进行外部审计：缺乏能力、综合审计（涉及的范围较多）。
业务约定书（外部审计）
审计师没有义务向监管机构汇报，仅向高级管理层、审计委员会汇报。
电子商务：在公共网络（互联网）和组织内部网络之间设立防火墙机制。
交易授权是最大的EDI风险。
电子邮件如何防范泄露公司敏感信息：
1、加密；2、分类并安装DLP；3、安全教育培训
IT审计师审查电子商务网站的安全性，第一步是物理安全再逻辑安全
审查电子商务的安全体系架构时第一步审查防火墙的配置。
使用其他审计师和专家的服务（外部审计）：
外部审计不能与受审方有利益冲突。审计报告的发现和结论需经过管理层的批准。
无论是什么控制类型目标都是满足业务目标。
检测性控制：哈希汇总（散列总计）；定期报告、内部审计功能。
审计章程-审计规划（短期规划是基于风险的、长期规划是基于组织的战略目标、业务发展、IT目标和组织的业务目标关联起来）
审计规划：企业业务蓝图中的所有相关流程均应包含在审计范围之内。要参考业务流程所有者的意见。
根据审计规划的长短，首先要确定审计范围和要纳入的业务流程。
风险评估不能忽略业务流程所有者的风险意见。
总体审计风险：存在固有风险、检测风险、控制风险和残余风险的组合。审计师应重点关注固有，检测和控制风险。
检测风险是针对审计师而言的。
审计目标通常侧重于证实存在能使业务风险降至最低的内部控制，并且这些控制按预期发挥作用。IT资源的机密性、完整性、可靠性和可用性。
符合性测试（是否遵循了控制程序、可确定控制措施的应用方式是否符合管理政策和程序、是否落实了定义的流程及其有效性；有没有符合一致性）
实质性测试（评估单个交易、数据或其他信息的完整性，可用于证实实际处理的完整性。）
符合性测试基于属性抽样，停-走抽样，发现抽样。
实质性测试（数量、数字的大小、完整性、分层）
抽样旨在根据样本的特征推断出整体的特征。
统计抽样（比较客观）；非统计抽样（判断抽样，主观性较大）；都需要审计师在定义总体特征时进行判断，因此具有一定的风险，即审计师可能会从样本中得出错误的结论（抽样风险）。
属性抽样（估计一个或一组相关控制属性的发生概率，主要是用来测试控制的；用于估算总体中特定性质的发生率、百分比；一般用于合格性测试）
发现抽样（找出可能存在的欺诈和违规行为）
分层单位均值（样本量大，如市场调查统计，区间）
计算机辅助审计技术（CAAT）提高审计效率、检测非法行为。
持续性审计成功的前提：高度自动化的业务处理、一旦控制失败，自动触发报警。实施高度自动化的审计工具、要求IS审计师参与设置工具参数和配置。
第二章 IT治理与管理
IT治理是董事会和高级管理层的责任。IT向业务交付价值，由IT与业务的战略一致驱动。问责制。
信息安全治理：满足业务目标及发展要求最核心。
IT指导委员会：高等级目标、监督重大项目的进度和资源分配、不决定具体技术细节、存在是企业IT治理的重要措施、对信息系统项目进行审查，一般不设计日常运营。
补偿控制措施：审计轨迹、对账、异常报告、审查交易日志。
要实现有效地风险管理，首先要清楚了解组织的风险偏好。
风险管理流程：1、识别资产（分类、确定相应的保护措施），2、评估威胁和漏洞，3、影响的评估，4、风险计算，5、风险评估和响应。
IT组合管理：与战略、投资、优先级相关必须与业务目标保持一致、持续改进；调整投资方面的灵活性。
平衡积分卡：向董事会汇报；先有KPI再有BSC。实现IT与业务保持一致的最有效方法。就IT战略目标在关键利益相关方之间达成一致，证实IT的效果与价值，沟通IT绩效、风险和能力。
不管什么项目在外包之前必须进行业务案例，就是商业论证。
云计算外包最大的风险是数据泄露。
IT战略发展规划（容量）：此活动必须反映长期和短期业务计划，必须在预算流程中予以考虑。容量变化应当反映底层基础设施以及可支持组织的员工数量的变化。
长期的容量规划：业务容量（长期）、服务容量（中期考虑人）、组件容量（基础设施）。
评估安全政策有效性：表现为报告信息安全事件的数量增加。
IT指导委员会：落实公司IT战略；
IT战略委员会：确保IT目标与业务战略/目标/需求一致；
财务部门如不能指责分离，应该采取的补偿控制为个人ID并进行监督。
SaaS合同，公司应该保留访问控制权。
BSC可以实现IT目标和业务目标的一致性。
项目组合管理的目的：优化投资组合，确保IT项目的投资最有效。
第三章 信息系统的购置、开发和实施
一、输入输出
二、项目管理
三、实施后审查
项目指导委员会：对所有的交付成果、项目成本和时间表负最终责任。
SDLC软件开发生命周期。
关键路径法CPM：必须的最长路径。
挣值管理EVM
PERT项目评审技术：贝塔分布、三角分布
时间盒管理（敏捷）：一种项目管理新技术；应用前提是一个不可变更的短期开发时间（时间不可变）；适合于原型法或快速应用开发，但不适合传统的SDLC；可以防止时间和经费的超支。
功能点分析FPA：广泛应用于大型业务应用程序开发的复杂程度；有助于评估软件规模和系统开发任务量。
传统SDLC（瀑布开发）阶段分为：可行性分析（业务案例）-需求定义（用户必须参与）-软件选择与购置-开发（重点是测试）-最终测试和实施-实施后审查（系统是否满足用户要求、是否实现业务目标）
RFP要求建议书：评估条件和方法的描述。
自下而上测试：单元测试-集成测试-系统测试-验收测试；能及早发现模块错误。
自上而下测试：提早发现界面（借口）错误，可以确保主要功能的测试及早执行。
软件开发方法：原型法（也称为启发式或进化式开发，通过受控制的反复试错程序创建系统，从而降低系统开发的风险等级）、快速应用开发（严格限制开发时间框架并重复使用现有组件）、敏捷开发（自组织自管理、项目经理发生了变化）。
BPR业务流程再造：消除业务流程中不必要的控制，提高效率、消除浪费（等待时间）、增值活动。主要关切问题在于关键控制可能是在业务流程之外再造的。IS审计师的任务是识别现有的关键控制并评估撤销这些控制的影响，评估是否满足业务目标。
输入/来源控制：输入的信息必须经过授权、准确的、完整的。
数据对账：控制是否正确记录和处理接受的所有数据。
数据验证和编辑：是一种预防性控制，在处理数据前在程序中使用。
有效性检查、重复检查（不会重复付款）
单元测试：测试单个程序或模块；
集中测试：硬件与软件的测试；
系统测试：一系列的测试，旨在确保新系统或改良系统中经修改的程序、对象、数据库模式等运行正常。在非生产测试/开发环境中执行此类测试程序。
用户验收测试UAT：由用户小组来执行；用虚拟数据进行测试（脱敏数据）。
回归测试：以确保相关改进或纠正措施未引入新的错误。因此系统修改常常使用回归测试。
并行测试：结果反映了能否满足用户的需求。
社交性测试：新系统能否在目标环境下运行，且不会对现有系统产生不利影响。
并行转换：风险最小
分阶段转换：
一次性转换：风险最大
实施后审查：
虚拟化和云计算环境：根据标准对管理程序和客户机镜像进行安全配置。镜像问题要有统一模板，安全配置要相同，安全基线。虚拟管理服务器存在较高的风险，物理机单点故障。
控制台可以操作所有的模拟机，所以控制台须有相应的权限管理。
电子邮件安全问题：只有通过安全意识培训才能解决，社会工程学问题。
DLP数据防泄漏保护软件。
变更管理流程概述：从出现授权变更开始。开发环境、测试环境、生产环境需要隔离。开发人员不应具有写入、修改或删除访问生产数据的权限。
如果是小公司的话：临时ID、特权ID并监控
紧急变更：专门的ID、记录ID、日志审核；仍需要授权；自动记录的更改日志是最重要的控制措施。
配置管理：所有的变更都是配置项的变更。为问题管理，变更管理和发布管理奠定基础。识别受拟议变更影响的项目，以协助进行影响评估（功能、运营和安全性）
在线审计技术：审计钩（可以在应用程序系统中嵌入钩，以起到危险警示的作用。从而促使信息系统安全和审计师及早采取行动，防范错误或违规情况失控；监控工具）
第四章 信息系统的操作、维护与服务管理
RFID 主要关注隐私泄露。
最终用户计算EUC：最终用户，利用计算机软件产品来设计并实施自己的应用程序或信息系统的能力。组织需要管理和控制EUC，IS审计师应确保制定有关的政策以及此类应用程序的清单，并对那些被认定足够关键的应用程序实施与任何其他应用程序相同的控制。
信息系统硬件信息的保护：首选物理损坏、然后消磁，化学销毁不环保。
公司如果没有针对私人设备的可接受使用政策将成为审计师的最大担忧。
容量管理：可以确保能以更具经济效益的方式提供相关业务要求所有当前和未来容量以及性能水平。（业务容量、组件容量）
事故和问题管理：尽快恢复服务并将影响降低最低；找出事故的根本原因root cause；
支持和服务部门：
变更管理流程：减少变更可能带来的负面影响。应用程序访问建立可靠的用户授权过程最能够确保该系统已存在有效地变更管理。变更管理是缓解未经授权的代码跨环境相关风险的最佳方式。
补丁管理：本质为变更管理；
IT服务管理：ITIL、ISO20000必须通过SLA去约束。OLA是统一组织内，不同部门签署。
服务等级管理：信息系统审计师应确保管理层如何保证第三方的控制设计适当并且运行有效。目的是保持和提高客户的满意度以及改进交付给客户的服务。
质量保证QA：QA人员根据公司的变更和发布管理政策验证系统变更在引入生产环境之前是否受控的方式进行授权、测试和实施。
数据库管理系统：正规化（减少数据冗余）；参照完整性（任何外键都应有一个空值，或者拥有一个可链接到其他表的现有值）；充足数据库为了提高访问和检索效率；正规化减少了冗余，逆正规化破坏数据完整性。
软件许可问题：
共享license；计量软件，在LAN中安装计量软件；执行明文规定的政策和程序，要求用户签署不会再未经管理层授权以及未获得软件许可协议的情况下安装软件的协议。
审计师发现用户下载若干个未经允许的软件，第一步先查看总体的软件许可清单有没有。
没有license容易引入病毒、恶意代码、恶意软件。
操作审查：在执行当中，所有的操作需符合要求，要确保安全参数、参数设置，例如新服务器的安装，防火墙的配置、路由器等。
信息系统的基础设施：
调制解调器可绕过防火墙。WPA2提供最佳的无线安全性。
FTP协议不安全，匿名FTP服务器的缺陷：未经认证的用户对所有主机系统文件具有完全的访问权限。
瘦身客户机：thin client，无硬盘，有ROM，所有的工作都保护在服务器上。
BCP业务连续性计划：
核心是组织为避免关键业务功能中断，减少业务风险而建立的一个控制过程。它包括了对支持组织关键功能的人力、物理需求和关键功能所需的最小级别服务水平的连续性保证。执行必要的测试，才能保证业务连续性计划的有效性。
BCP生命周期（顺序）：风险评估与分析---BIA---策略制定---计划制定---意识培训---计划测试、监控维护和更新。
业务影响分析BIA：重要输出有关键业务功能清单、业务恢复的优先级、RTO和RPO。根据其中断的影响来判断是否为关键业务。
应从组织中负责关键流程/应用程序的人员处收集BIA的相关信息，OWNER说了算。
制定BCP：基于BIA的结果，制定BCP或DRP。需要业务人员积极参与。
BCP的更新和维护：公司合并时，维护与更新关键资源的持续运营计划尤为重要。
业务连续性的审计：评审BCP并与相关的标准或法规进行比较，以确定BCP的充分性和是否及时更新；
准备情况测试：通常是完整测试的本地版本，测试时会模拟系统崩溃以及耗费的实际资源。
全面运行测试：模拟真实的服务中断，在进行全面运行测试之前，组织必须做好充分的纸上测试和准备情况测试，直接进行全面运行测试可能发生灾难。
灾难恢复——BIA：进行业务影响分析时，将使用运行当前业务的成本收益分析数据。
灾难恢复计划：DRP；如果灾难恢复计划没有定期更新和审查时最大的风险，但是还得看场景。需要关注有没有确定宣布灾难的职责。
恢复策略：热战没有测试是最严重的问题；镜像是实时性业务的最佳选择，如7*24；冷备中心，很难再备份中心测试关键应用程序；集群，重要的应用Clust；
互惠协议：软硬件不兼容问题最大。
紧急事件的响应团队：整个BCM的6R模型；reduce、respond、recover、resume、restore、return。
数据备份：在审查数据备份流程时，未进行恢复测试是最大的审计发现。电子异地链接能够降低运输过程中介质意外丢失的风险；备份资料的存储环境需要考虑温湿物理安全；完全备份；增量备份；差异备份。
第五章 信息资产的保护
信息安全管理的角色和职责
流程负责人确保相应的安全措施符合组织政策并得到维护。
资产所有者或数据所有者承担所有权责任，为数据指定重要级别。
信息资产的分类
创建资产清单——分类；应根据组织的数据分类和处理政策确定适当的分类。
数据分类
数据分类是根据按需执行和按需知密原则来定义访问规则。数据所有者负责定义访问规则。
信息资产所有者和数据所有者决定信息资产的数据分类标准，并提供相应级别的控制措施来保护数据机密性、完整性与可用性。
系统访问权限
1、所知必须、最小授权原则、职责分离要确保。
2、基于角色的访问控制；
3、在信息系统审计期间，审计师发现，在向新员工授予计算机访问权限方面出现明显延迟，应首先审查当前工作流模型来确定根本原因。
4、执行权限是最大的风险。
基于角色的访问控制
如果很多员工需要访问不同级别的若干类型数据，将分类和用户角色映射是信息系统维护数据访问权限控制的最佳方法。
隐私保护
需要对云供应商进行隐私泄露和数据可能不当使用的审计。
安全意识培训和教育
时刻都需要
安全事故处理和响应
将安全事故的危害降低到最小并尽快从事故中恢复过来。
用户识别和身份认证
生物识别
错误拒绝率FRR：第一类错误；
错误接受率FAR：第二类错误；
相等错误率EER：生物识别系统中速度和精度的平衡称为相等错误率。
精确是生物特征识别系统的最主要的特征。
FAR最重要；其次是EER。
生物识别最大的风险在于生物特征没有妥善保管。
指纹：存的是特征点。虹膜：最安全。
授权问题
读取、查询和复制；写入、创建、更新或删除；执行。VPN远程访问；
互联网威胁和安全
防火墙：屏蔽子网防火墙最安全；防火墙最近考得比较多。
审计的独立性
审计章程有高级管理层或者审计委员会 制定，
规定了权利和职能 一般不会更改
审计师的发现不以客户的意志为转移
审计师向高级管理层或审计委员会汇报
----------------
电子商务：
容量和发展规划
容量管理此活动必须反映长期和
1、审计部门的独立性
2、审计部门是第三道防线
3、审计师应保证在度量、测试和报告结果时保持一致
5、电子邮件防范泄密：
加密
对公司信息进行分类，然后安装DLP
针对网络钓鱼，信息安全意识教育
6、审查电子商务网站的安全性，第一步：查看路由器物理安全
7、 审查电子商务网站的安全体系架构，防火墙的配置重要
8、传输安全加密
9、外部审计和受审方不能有利益冲突
10、审查其他信息系统审计师或专家的工作底稿，以证实工作经过适当规划、监督、记录和审查，并考虑所提供审计证据的适宜性和充分性。
11、审查其他信息系统审计师或专家的报告，以证实是否符合审计章程、职权范围或审计业务约定书中指定的范围，是否确认了其他信息系统审计师或专家使用的所有重大假设，以及报告的发现和结论是否经过管理层的批准。
12、控制类型：预防性、检测性、纠正性
13、 内部控制的目的是向管理层提供合理保证，确保实现组织的业务目标以及防止/检测和纠正风险事件
14、预防性：事先（首选），如：建立适当的交易授权程序，考试时预防性控制永远是最好的，关键字“阻止问题或错误发生”
15、检测性：事中，如：采用可检测和报告错误，疏漏或恶意行为发生的控制。如：审查活动日志以检测未经授权的访问尝试、安全代码审核、软件质量保证，关键字“发现问题或错误”
16、纠正性：事后，如：灾难恢复规划、事故响应规划、备份程序，发生以后才起作用的，都是纠正性的，关键字“事后矫正或修复”
17、第一章审计规划是重点，47分钟
18、审计过程第一步先确定范围、目标，即根据审计规划的长短，确定审计范围和要纳入的业务流程
19、信息系统审计是基于风险的审计，先进行风险分析和评估，然后根据风险评估的结果制定 审计计划
20、基于风险的审计关注组织中“高风险领域”。这样才能合理分配审计资源。达成审计目标。
21、符合性测试：是否遵循控制程序
22、实质性测试：评估单个交易、数据或其他信息的完整性
23、抽样旨在根据样本的特征推断整体的特征
24、抽样都会有风险
25、发现抽样的目的是找出可能存在的欺诈和违规行为。
26、第二章：1小时29分钟
27、信息安全政策高级管理层开发和批准；
28、风险降到可接收水平，成本效益原则
29、1小时51分，云计算介绍
30、评估信息安全政策的有效性：报告信息安全事件的数量
31、有效的辅助IT治理委员会，IT指导委员会该做什么？落实公司IT战略
32、IT战略委员会的职责：确保IT目标与业务战略/目标/需求一致
33、财务部门如果不能职责分离，应该采取的补偿控制？分配个人ID并进行监督
34、第三
审计章程是董事会和审计委员会批准的（大公司）
审计章程是最高管理层批准的（小公司）
审计师的职责权利在审计章程中有明确定义。
内部审计职能部门应独立运作，直接向审计委员会或最高管理层（董事会）报告。不向监管机构汇报。
内部或外部审计：都应确保审计独立性
审计的职能目标：1 2确保在实现信息系统高效管理和达成业务目标方面，为高级管理层创造附加价值。 关注效率：审计关注 信息系统管理和运行是否高效（如：1、容量管理 2、业务流程改造或再造） ，关注效果：审计关注业务目标是否达成和实现。（如1、项目管理、2、实务审查）
容量管理：（关于 效率）用于规划和监控计算机和网络资源，以确保有效且高效的使用可用资源。这要求随着总体业务的增长或降低而相应的增加或减少资源。容量计划应根据用户和信息系统管理的输入来制定，以确保能够以最有效和最高效的方法来实现业务目标。该计划应该至少每年审查和更新一次。容量计划从业务和技术两方面定义了业务对IT容量的要求，并反映通过IT基础设施和应用程序在适当的时间以最优成本交付所需活动容量的结果。容量管理能确保以更具有经济效益的方式提供相关业务要求的所有当前和未来容量以及性能水平。容量管理旨在始终如一的在正确的时间以适当的成本提供所需的IT资源，以满足业务的当前和未来的需求。容量管理通过尽量延后新增容量的成本，优化业务需求的容量
项目管理（关于 效果）：项目具有特定的目标、交付成果。项目管理是项目导向型组织中的一个业务流程。项目管理流程以制定项目章程为起点，以项目完工为终点。项目管理需要在项目活动中运用组织、技能、工具和技术达到项目目标。
业务流程改造或再造：（关于效率）空
实务审查：（关于效果）空
审计师的独立性：审计师应保证在度量、测试和报告结果时保持一致；自己开发、涉及过的东西不能自己审计；审计师直接参与被审计单位系统的开发、购置、设计等，会影响其独立性。
独立性的例外：与被审计对象无任何可能影响审计结果的冲突存在，避免在信息系统举措中承担需要执行管理职责的非审计角色。既管理又审计是违反独立性的。（承担信息系统管理角色同时负责信息系统审计，承担业务管理角色同时负责信息系统审计，是否违反独立性）
独立性收到损害，不应该直接拒绝，而是要向适当人员披露损害详情，进行沟通。
独立性要求审计师不能为被审计者做出任何决策。比如 审计师发现问题，做出推迟什么 取消什么 延迟什么的决策，是错误的。
审计师发现问题（重大欺诈、重大违规、）应该向高级管理层和审计委员会。
问题：哪种情况会削弱参与软件开发项目的信息系统审计师的独立性
A：确定实施的控制措施的性质，不影响独立性。这是指确定性质，不是指确定实施的控制措施。属于审计师职责内的事情
B：设计嵌入审计模块程序。属于审计师职责内的事情，不影响独立性
C: 定义最终用户需求。审计师负责审计发现问题，但不能帮用户做决策，用户做决策是用户自己的事情。影响独立性
D: 作为项目发起人的咨询专家，不影响独立性的话，可以提供咨询建议。不影响独立性的话，可以承担管理职能方面的责任。
三道防线：1、用户 2、监督 3、监督1、2道防线
最佳=最核心
聘用外部专家 最核心是考虑专家独立性
电子商务：由相关负责人监控的电子商务应用程序日志。这包括操作系统日志和控制台消息、网络管理消息、防火墙日志和警报、路由器管理消息、入侵检测报警、应用程序和服务器统计数据及系统完整性检查。
在公共网络（互联网）和组织私有网络之间设立的进行协调的防火墙机制。
操作系统日志：记录了系统中日常事件（记录系统运行的每一个细节）、软件、硬件的动态变化信息的准确日期和时间。系统日志对于我们监视系统事件，查找错误原因，确定错误根源，寻找收到攻击时攻击者留下的痕迹。系统日志包括系统日志、应用程序日志、安全日志。（系统日志可）
控制台消息：空
网络管理消息：
防火墙日志和警报：
路由器管理消息：
入侵检测报警：
应用程序和服务器统计数据：
系统完整性检查：
外部专家必须要保证独立性。（最核心的原则）
电子数据交换EDI：优势 1是取代传统的纸质文件交换，减少了信息的转录。2是可识别错误并迅速追踪错误，减少复核验证的时间。
EDI电子数据交换最大的风险是未经授权擅自访问电子交易。
EDI（Electronic data interchange，缩写EDI）是指按照同一规定的一套通用标准格式，将标准的经济信息，通过通信网络传输，在贸易伙伴的电子计算机系统之间进行数据交换和自动处理。由于使用EDI能有效地减少直到最终消除贸易过程中的纸面单证，因而EDI也被俗称为“无纸交易”。它是一种利用计算机进行商务处理的新方法。EDI是将贸易、运输、保险、银行和海关等行业的信息，用一种国际公认的标准格式，通过计算机通信网络，使各有关部门、公司与企业之间进行数据交换与处理，并完成以贸易为中心的全部业务过程。在国际、国内贸易活动中使用EDI业务，以电子文件交换取代了传统的纸面贸易文件（如订单、发货票、发票）双方使用统一的国际标准格式编制文件资料，利用电子方式将贸易资料准确迅速地由一方传递到另一方，是发达国家普遍采用的“无纸贸易手段”，也是世贸组织成员国将来必须使用和推广的标准贸易方式。
电子邮件：如何防范电子邮件泄露公司敏感信息。1、对信息进行加密能保护在电子邮件传输中发送信息的机密性。（即使截获邮件也打不开）2、对公司数据信息进行分类，然后安装数据防泄漏保护软件（哪些数据信息是机密，哪些核心机密，哪些敏感；如果通过电子邮件往外发，防泄漏软件可以自动识别或隔离） 3、针对网络钓鱼，进行信息安全意识教育培训。（属于社会工程学）
路由器：
IT审计师审查电子商务的网站的安全性 ，第一步是 物理安全，（查看路由器的物理安全）第二部 逻辑安全（查看路由器的访问规则等要根据场景）
审查电子商务的安全体系架构时，最重要的是防火墙的配置
为了保障电子邮件传输的安全性，最可靠的是加密（数字签名不保证机密，是保证）
防止笔记本电脑数据泄露，应该对硬盘进行加密。
对数据条目编辑检查属于预防性控制措施还是检测性控制措施还是纠正性控制措施？
审计规划： 企业业务蓝图中所有相关流程应包含在审计范围之内。是基于风险的审计，以风险为导向。进行风险评估要考虑业务流程所有者的意见。根据审计规划的长短，确定审计范围和要纳入的业务流程。
注意：
审计规划第一步应该是：确定审计目标、审计范围和要纳入的业务流程，不是先进行审计风险评估。
确定每个业务流程的总体风险。然后可以制定审计计划，将高风险的所有流程纳入审计计划。
信息系统审计是基于风险的审计，先进行风险分析和评估，然后根据风险评估的结果制定审计计划。基于风险的审计关注组织中的高风险领域。才能
推迟，取消，延迟基本是错误的，不能替代背身这做任何决策
