Domain 1
安全與風險管理

1、理解并應用機密性、完整性，和可用性的概念
2、應用安全治理原則
3、符合性
4、理解全球范圍內屬于信息安全的法律法規(guī)問題
5、理解職業(yè)道德
6、制定并實施文檔化的安全策略，標準，過程，和指南

7、理解業(yè)務連續(xù)性需求
8、促成人員安全策略
9、理解并應用風險管理概念
10、理解并應用威脅建模
11、將安全風險考慮整合到采購策略并實踐之
12、建立并管理安全教育，培訓，和意識

Domain 2
資產安全

1、信息資產分級
2、信息資產所有權
3、隱私保護

4、確定合適的保存
5、確定數(shù)據(jù)安全控制
6、確定數(shù)據(jù)處理的需求

Domain 3
安全工程

1、依照安全設計原則執(zhí)行和管理工程生命周期。
2、了解安全模型的基本概念。
3、依照信息系統(tǒng)安全標準挑選控制和對策。
4、了解信息系統(tǒng)的安全能力。
5、評價和抑制安全架構、設計和解決方案元素的脆弱性。

6、評價和抑制Web系統(tǒng)的脆弱性。
7、評價和抑制移動系統(tǒng)的脆弱性。
8、評價和抑制嵌入式設備和網(wǎng)絡化物理系統(tǒng)的脆弱性。
9、應用密碼技術。
10、把安全原則應用到場地和設施設計。
11、設計和執(zhí)行設施安全。

Domain 4
通信和網(wǎng)絡安全

1、將安全設計原理應用到網(wǎng)絡架構
2、網(wǎng)絡組件安全

3、設計和建立安全通信通道
4、預防或減輕網(wǎng)絡攻擊

Domain 5
身份與訪問管理

1、資產的物理和邏輯訪問控制
2、人員和設備的身份標識、認證和管理
3、身份作為服務(IDaaS)

4、集成的第三方身份認證服務
5、實施和管理授權機制
6、預防或減少訪問控制攻擊
7、管理身份和配置訪問生命周期

Domain 6
安全評估和測試

1、設計和驗證評估和測試戰(zhàn)略
2、執(zhí)行安全控制測試

3、收集安全過程數(shù)據(jù)
4、執(zhí)行或支持內部和第三方審計

Domain 7
安全運營

1、理解和支持研究
2、理解研究類型的需求
3、行為記錄和監(jiān)控活動
4、通過配置管理安全的提供資源
5、理解和應用基本的安全操作概念

6、使用資源保護技術
7、實施事件響應
8、操作和維護防范措施
9、實施和支持補丁和漏洞管理
10、參與并了解變更管理流程

11、實施恢復策略
12、實施災難恢復流程
13、測試災難恢復計劃
14、參與業(yè)務連續(xù)性規(guī)劃工作
15、實施和管理物理安全
16、參與人員安全

Domain 8
軟件開發(fā)

1、理解安全并將其應用于軟件開發(fā)生命周期
2、在開發(fā)環(huán)境中實施安全控制

3、評估軟件安全的有效性
4、評估軟件采購安全