2021年注冊(cè)信息安全開發(fā)人員（CISD）知識(shí)體系大綱

注冊(cè)信息安全開發(fā)人員(CISD)是對(duì)我國網(wǎng)絡(luò)基礎(chǔ)設(shè)施和重要信息系統(tǒng)的軟件開發(fā)人員安全開發(fā)能力實(shí)施的一種資質(zhì)評(píng)定。本大綱從我國國情出發(fā)，結(jié)合 我國網(wǎng)絡(luò)基礎(chǔ)設(shè)施和重要信息系統(tǒng)安全保障的實(shí)際需求和特點(diǎn)，以知識(shí)體系的全 面性和實(shí)用性為原則，明確規(guī)定了注冊(cè)信息安全開發(fā)人員應(yīng)當(dāng)掌握的知識(shí)要點(diǎn)， 是CISD教材編制，講師授課，學(xué)員學(xué)習(xí)，以及考試命題的重要依據(jù)。

注冊(cè)信息安全開發(fā)人員(CISD)知識(shí)體系概述

“注冊(cè)信息安全開發(fā)人員”，英文為Certified Information Security Developer，簡(jiǎn)稱CISD，系經(jīng)中國信息安全測(cè)評(píng)中心認(rèn)定的信息安全開發(fā)人員， 具備一定的軟件安全開發(fā)知識(shí)和技術(shù)，能為軟件全生命周期中提供安全保障。 CISD知識(shí)體系使用組件模塊化的結(jié)構(gòu)，包括知識(shí)類、知識(shí)體、知識(shí)域和知 識(shí)子域四個(gè)層次。

知識(shí)類：是對(duì)信息安全保障知識(shí)領(lǐng)域的總體劃分，包含信息安全專 業(yè)人員需要掌握的知識(shí)類別;

知識(shí)體：是知識(shí)類中由屬于同一技術(shù)領(lǐng)域的知識(shí)內(nèi)容構(gòu)成的相對(duì)獨(dú) 立、成體系的知識(shí)集合;

知識(shí)域：是對(duì)知識(shí)體進(jìn)一步分解細(xì)化形成的完整的知識(shí)組件;

知識(shí)子域：是構(gòu)成知識(shí)域的基本模塊，由一至多個(gè)具體知識(shí)要點(diǎn)構(gòu) 成。

本大綱規(guī)定了知識(shí)子域中每一個(gè)知識(shí)要點(diǎn)的內(nèi)容和深度要求，分為“了解”、 “理解”、和“掌握”三類。

了解：是最低深度要求，學(xué)員只需要正確認(rèn)識(shí)該知識(shí)要點(diǎn)的基本概 念和原理;

理解：是中等深度要求，學(xué)員需要在正確認(rèn)識(shí)該知識(shí)要點(diǎn)的基本概 念和原理的基礎(chǔ)上，深入理解其內(nèi)容，并可以進(jìn)行進(jìn)一步的判斷和 推理;

掌握：是較高深度要求，學(xué)員需要正確認(rèn)識(shí)該知識(shí)要點(diǎn)的概念、原 理，并在深入理解的基礎(chǔ)上靈活運(yùn)用。

圖11描述了CISD知識(shí)體系的結(jié)構(gòu)：

在整個(gè)注冊(cè)信息安全開發(fā)人員(CISD)的知識(shí)體系結(jié)構(gòu)中，共包括信息安 全保障和軟件安全開發(fā)兩大知識(shí)類，其中軟件安全開發(fā)知識(shí)類具體包括軟件安全 開發(fā)概述、軟件安全需求分析、軟件安全設(shè)計(jì)、軟件安全編碼、軟件安全測(cè)試、 軟件安全部署與安全開發(fā)項(xiàng)目管理六個(gè)知識(shí)體，每個(gè)知識(shí)體包含多個(gè)知識(shí)域，每 個(gè)知識(shí)域由一個(gè)或多個(gè)知識(shí)子域組成。

CISD知識(shí)體系結(jié)構(gòu)中，軟件安全開發(fā)知識(shí)類的六個(gè)知識(shí)體分別為： 軟件安全開發(fā)概述：介紹軟件安全保障的目標(biāo)和基本要素，以及軟 件開發(fā)生命周期安全的基本思想，它是注冊(cè)信息安全開發(fā)人員首先 需要掌握的基礎(chǔ)知識(shí)。

軟件安全需求分析:在軟件需求分析階段融入安全分析，闡述了常 用的安全需求分析方法及其在實(shí)際開發(fā)過程中的應(yīng)用。

軟件安全設(shè)計(jì)：介紹軟件設(shè)計(jì)過程中應(yīng)遵循的最小特權(quán)、職責(zé)分離、 縱深防御、默認(rèn)安全、減少攻擊面、心理可接受等基本安全原則及 其在實(shí)際開發(fā)過程中的應(yīng)用，并闡述軟件架構(gòu)安全性分析方法和基 于模式的軟件安全設(shè)計(jì)方法的基本思想。

軟件安全編碼：介紹通用安全編程準(zhǔn)則，以及信息泄露、加密漏洞、 溢出攻擊、代碼注入、跨站腳本等常見安全缺陷的形成原因與危害， 以其防御措施。

軟件安全測(cè)試：介紹基于風(fēng)險(xiǎn)的安全測(cè)試思想，白盒安全測(cè)試的原 理、特點(diǎn)及常用工具，模糊測(cè)試和滲透測(cè)試等黑盒安全測(cè)試的原理 及方法。

軟件安全部署與安全開發(fā)項(xiàng)目管理：介紹軟件安全加固、安裝和配 置評(píng)估，以及軟件安全開發(fā)項(xiàng)目管理生命周期中的主要活動(dòng)。

圖1-2描述了CISD知識(shí)體系結(jié)構(gòu)框架：

CISD考試題型均為單項(xiàng)選擇題，共100題，每題1分，得到70分以上(含 70分)為通過。

表1-1：CISD試題結(jié)構(gòu)

2021年CISD注冊(cè)信息安全開發(fā)人員知識(shí)體系大綱詳情

2021年CISD知識(shí)點(diǎn)：系統(tǒng)安全

2021年CISD知識(shí)點(diǎn)：信息安全標(biāo)準(zhǔn)

2021年CISD知識(shí)點(diǎn)：網(wǎng)絡(luò)安全

2021年CISD知識(shí)點(diǎn)：軟件安全開發(fā)基礎(chǔ)

2021年CISD知識(shí)點(diǎn)：安全需求分析

2021年CISD知識(shí)點(diǎn)：軟件安全編碼

2021年CISD知識(shí)點(diǎn)：信息安全法規(guī)與政策

2021年CISD知識(shí)點(diǎn)：信息安全保障基本知識(shí)

2021年CISD知識(shí)點(diǎn)：訪問控制技術(shù)

2021年CISD知識(shí)點(diǎn)：密碼學(xué)原理

2021年CISD知識(shí)點(diǎn)：信息安全風(fēng)險(xiǎn)管理

2021年CISD知識(shí)點(diǎn)：信息安全工程原理

2021年CISD知識(shí)點(diǎn)：軟件安全設(shè)計(jì)

2021年CISD知識(shí)點(diǎn)：軟件安全部署與安全開發(fā)項(xiàng)目管理

2021年CISD知識(shí)點(diǎn)：軟件安全測(cè)試