CRISC®风险和信息系统控制认证培训

学习目标：掌握组织治理、风险治理及三道防线模型，建立IT风险管理的顶层框架。

A部分：组织治理

1.1 组织战略、目的和目标

• IT风险管理环境
• 主要风险概念（含风险示例）
• IT风险管理的重要性和价值
• 企业的IT风险战略（IT相关业务风险的类型）
• 与业务目的和目标相一致

1.2 组织结构、角色和职责

• RACI（执行人、责任人、咨询人、被通知人）
• 关键角色
• 组织结构和文化

1.3 组织文化

• 组织文化和行为以及对风险管理的影响
• 风险文化
• 风险驱动的经营方法
• 风险沟通的价值

1.4 政策和标准

• 政策、标准、程序
• 例外管理
• 风险管理标准和框架（ISO 31000:2018、COBIT、IEC 31010:2019、ISO/IEC 27001:2013、ISO/IEC 27005:2018、NIST特别出版物等）
• 基于ISO/IEC 27005的风险管理计划的示例

1.5 业务流程审查

• 风险管理原则、流程和控制
• 与其他业务功能相关的IT风险（风险和业务连续性、风险和审计、风险和信息安全、控制风险、项目风险、变化中的风险）

1.6 组织资产

• 人员、技术、数据、知识产权
• 资产估价（资产清单和文件）

B部分：风险治理

1.7 企业风险管理和风险管理框架

• IT风险管理良好实践
• 确定企业风险管理的方针（高层赞助、政策）

1.8 三道防线

• 第一道防线：运营管理
• 第二道防线：风险与合规职能部门
• 第三道防线：审计
• 风险从业人员在三道防线中的职责

1.9 风险概况

1.10 风险偏好、容忍度和能力

1.11 法律、法规和合同要求

1.12 风险管理的职业道德

学习目标：掌握IT风险识别、分析、评价与评估的系统方法，能够量化风险影响。

A部分：IT风险识别

2.1 风险事件

• 风险因素
• 风险识别方法
• 风险环境的变化（运营完整性、行业趋势、预测风险）

2.2 威胁建模和威胁环境

• 内部威胁、外部威胁、新兴威胁
• 威胁信息的其他来源（面谈、媒体报道、观察、日志、自我评估、第三方鉴证、用户反馈、供应商报告）
• 威胁、误用和滥用案例建模

2.3 漏洞和控制缺陷分析

• 漏洞来源（网络、物理访问、Web服务、实用程序、供应链、设备、云计算、大数据）
• 差距分析
• 漏洞评估和渗透测试（误报和零日漏洞）
• 根本原因分析

2.4 风险场景开发

• 风险场景开发工具和技术（自上而下、自下而上的方法）
• 使用风险场景的益处
• 开发IT风险场景、分析风险场景

B部分：IT风险分析、评价和评估

2.5 风险评估概念、标准和框架

• 风险评级（风险地图）
• 风险所有权和责任
• 记录风险评估
• 解决风险排除问题

2.6 风险登记表

2.7 风险分析方法

• 定量风险评估
• 定性风险评估
• 半定量/混合风险评估

2.8 业务影响分析

• 业务连续性和组织恢复能力
• 法规和合同义务
• 战略投资
• 不仅是业务影响
• 业务影响分析和风险评估

2.9 固有、残余和当前风险

• 固有风险、残余风险、当前风险

学习目标：掌握风险应对策略、控制设计与实施、风险监控与报告方法，有效降低IT风险。

A部分：风险应对

3.1 风险和控制所有权

• 所有权和责任

3.2 风险处置/风险应对方案

• 根据业务目标调整风险应对措施
• 风险应对方案（接受、缓解、转移/分担、规避）
• 选择风险应对措施

3.3 第三方风险管理

3.4 问题、发现和例外管理

• 配置管理、发行管理、例外管理、变更管理、问题和发现管理

3.5 新兴风险管理

• 与新控制关联的漏洞
• 新兴技术对控制设计和实施的影响

B部分：控制设计与实施

3.6 控制类型、标准与框架

• 控制标准与框架
• 行政、技术和物理控制
• 能力成熟度模型

3.7 控制设计、选择与分析

• 控制设计和选择

3.8 控制实施

• 转换（上线）技术（并行转换、分阶段转换、一次性转换、与数据迁移相关的挑战、回退）
• 实施后审查
• 控制文档

3.9 控制测试和有效性评估

• 测试良好实践（数据、单元测试和代码审查、质量、非技术性控制的测试）
• 更新风险登记表

C部分：风险监控和报告

3.10 风险处置计划

3.11 数据收集、汇总、分析和验证

• 数据收集及提取工具和技术（日志、SIEM、集成测试设备、外部信息来源）

3.12 风险与控制监控技术

• 控制监控
• 控制评估类型（自我评估、信息系统审计、漏洞评估、渗透测试、第三方鉴证）

3.13 风险与控制报告技术

• 热图、计分卡、仪表板

3.14 关键绩效指标（KPI）

3.15 关键风险指标（KRI）

• KRI的选择、有效性、优化、维护
• 结合使用KPI与KRI

3.16 关键控制指标（CCI）

学习目标：掌握企业架构、IT运营、信息安全与数据隐私保护的核心原则。

A部分：信息技术原则

4.1 企业架构

• 成熟度模型

4.2 IT操作管理

• 硬件（供应链管理）
• 软件（操作系统、应用程序、数据库、软件实用程序）
• 环境控制
• 网络（协议、电缆、中继器、交换机、路由器、防火墙、代理、IPS、DNS、无线接入点、网络架构、拓扑、类型、SDN、DMZ、VPN）
• 技术更新
• IT运营和管理评估（配置管理）
• 虚拟化和云计算

4.3 项目管理

• 项目风险、项目收尾

4.4 企业恢复能力

• 业务连续性（恢复目标）
• 灾难恢复

4.5 数据生命周期管理

• 数据管理、数据丢失防护

4.6 系统开发生命周期

4.7 新兴技术趋势

• 无处不在的连接（BYOD、物联网）
• 海量计算能力（解密、深度伪造、大数据）
• 区块链
• 人工智能

B部分：信息安全原则

4.8 信息安全概念、框架和标准

• 可能性和影响
• CIA三要素（机密性、完整性、可用性、不可否认性、系统授权）
• 职责分离、交叉培训和岗位轮换
• 访问控制（标识、身份认证、授权、问责）
• 加密（非对称算法、哈希、数字签名、证书、PKI、加密的劣势、核心概念摘要）

4.9 信息安全意识培训

4.10 数据隐私和数据保护原则

• 数据隐私的关键概念（知情同意、隐私影响评估、最小化、销毁）
• 隐私环境中的风险管理

学习目标：将CRISC风险管理框架应用于实际IT管理流程，掌握十大关键控制领域的风险管理实务。

本模块结合ISACA CRISC新旧版知识体系，系统讲解风险管理在IT战略、项目交付、变更控制、供应商管理、信息安全、配置管理、问题管理、数据管理、物理环境与运维管理中的落地方法。

1. IT战略制订（Determining the IT Strategy）

• 学习目标：理解IT战略与业务战略的协同关系，掌握在战略制定过程中嵌入风险管理的系统方法。
• 关键内容：
  • IT战略与业务战略的对齐：如何确保IT投资支持业务目标的实现
  • 战略制定中的风险考量：识别与IT战略相关的风险（技术过时、人才缺口、预算不足）
  • IT治理框架在战略制定中的应用（COBIT、ISO 38500）
  • 战略执行中的风险监控：KRI（关键风险指标）在战略层面的设计
  • IT战略的定期审查与调整机制
• CRISC视角：CRISC持证者应能够从风险治理角度参与IT战略制定，确保战略方向与企业风险偏好一致，并在战略执行中持续监测风险变化。

2. 项目与项目群交付（The Project and Program Management Process）

• 学习目标：掌握项目与项目群生命周期中的风险管理方法，确保项目交付不偏离预期的业务价值。
• 关键内容：
  • 项目组合、项目群、项目的风险分层管理
  • 项目启动阶段的风险识别（范围、资源、时间、成本、质量）
  • 项目实施中的持续风险评估与应对
  • 项目变更对风险状况的影响评估
  • 项目收尾的风险审查与经验教训沉淀
  • 项目群层面的风险聚合与协同管理
• CRISC视角：CRISC持证者应能够评估项目全生命周期的风险暴露，确保项目风险被识别、量化并制定有效的应对策略，同时将项目级风险与组织级风险关联。

3. 变更控制（The Change Management Process）

• 学习目标：掌握变更管理流程中的风险识别与控制方法，确保变更不引入新的脆弱性。
• 关键内容：
  • 变更管理流程的框架与角色职责
  • 变更请求的风险评估（紧急变更 vs. 标准变更）
  • 变更影响分析与回退计划
  • 变更审批流程中的风险决策
  • 变更实施后的验证与风险再评估
  • 变更管理中的常见控制缺陷与改进策略
• CRISC视角：CRISC持证者应能够设计变更风险控制矩阵，确保每一次变更都经过充分的风险评估，避免因变更引入不可接受的业务中断或安全漏洞。

4. 供应商控制（The 3rd Party Service Management Process）

• 学习目标：掌握第三方供应商的风险评估与管理方法，确保供应链安全与合规。
• 关键内容：
  • 供应商选择阶段的风险评估（财务健康、合规记录、技术能力）
  • 供应商合同中的风险条款设计（SLA、数据保护、审计权）
  • 供应商准入与持续监控机制
  • 供应商服务中断的风险预案与BCP
  • 供应商的合规审计与风险评级
  • 外包环境下的数据安全与隐私保护
• CRISC视角：CRISC持证者应能够建立供应商风险画像，持续监测供应商风险敞口，确保第三方服务不成为组织风险的薄弱环节。

5. 信息安全管理（The Information Security Management Process）

• 学习目标：理解信息安全管理的风险驱动方法，将风险评估融入安全策略制定与执行。
• 关键内容：
  • 信息安全策略与标准的制定（ISO 27001、NIST CSF）
  • 信息资产分类与风险评估
  • 安全控制的部署与有效性评估
  • 安全事件的监测、响应与上报
  • 安全意识培训的风险教育
  • 安全成熟度评估与持续改进
• CRISC视角：CRISC持证者应能够将信息安全管理目标与企业风险偏好对齐，设计基于风险的安全控制体系，并对安全控制的成本效益进行分析。

6. 配置控制（The Configuration Management Process）

• 学习目标：掌握配置管理中的风险控制方法，确保资产配置的可追踪性与合规性。
• 关键内容：
  • 配置管理数据库（CMDB）的建立与维护
  • 资产识别、分类与标记
  • 配置变更的风险影响评估
  • 配置审计与合规性检查
  • 配置漂移（Configuration Drift）的风险控制
  • 自动化工具有效性的风险验证
• CRISC视角：CRISC持证者应能够通过配置控制降低未授权变更的风险，确保资产配置的准确性是风险评估的基础。

7. 问题控制（The Problem Management Process）

• 学习目标：掌握问题管理的风险预防方法，通过根本原因分析消除风险的根源。
• 关键内容：
  • 问题与事件的区别：问题管理的战略价值
  • 根本原因分析（RCA）的方法论与实践
  • 问题趋势分析与风险预测
  • 问题解决中的风险优先级排序
  • 已知错误（Known Error）的风险处置
  • 问题管理的持续改进与知识沉淀
• CRISC视角：CRISC持证者应能够将问题管理视为风险预防的核心机制，通过系统性的问题分析，从源头降低风险发生的概率。

8. 数据管理和控制（The Data Management Process）

• 学习目标：掌握数据全生命周期的风险管理方法，确保数据的机密性、完整性与可用性。
• 关键内容：
  • 数据分类与分级管控策略
  • 数据收集、存储、传输、使用、销毁各环节的风险控制
  • 数据泄露防护（DLP）的风险驱动设计
  • 数据隐私合规（GDPR、CCPA、个人信息保护法）
  • 数据质量风险与数据治理
  • 数据备份与恢复的风险保障
• CRISC视角：CRISC持证者应能够将数据风险纳入组织整体风险框架，评估数据泄露的财务与声誉影响，确保数据管理活动符合监管要求。

9. 物理/环境控制（The Physical Environment Management Process）

• 学习目标：掌握物理与环境安全的风险评估与控制方法，保护关键基础设施免受物理威胁。
• 关键内容：
  • 物理安全控制（门禁、监控、警报、安保人员）的风险评估
  • 环境风险（火灾、水灾、电力中断、自然灾害）的识别与应对
  • 数据中心与关键设施的物理安全管理
  • 物理安全与逻辑安全的集成风险
  • 物理安全审计与合规检查
  • 环境健康与安全（EHS）相关风险管理
• CRISC视角：CRISC持证者应能够将物理与环境风险纳入组织风险全景图，评估物理安全漏洞对业务连续性的潜在影响。

10. 运维管理和控制（The IT Operations Management Process）

• 学习目标：掌握IT运维中的风险监控与控制方法，确保系统运行的稳定性与可靠性。
• 关键内容：
  • IT运维成熟度与风险水平的关联
  • 运维监控体系中的风险指标设计（KPI与KRI的融合）
  • 事故响应与升级机制的风险驱动设计
  • 运维标准操作程序（SOP）的风险合规性审查
  • 容量管理与性能风险预测
  • 运维审计与持续改进
• CRISC视角：CRISC持证者应能够将运维风险与企业风险偏好对齐，通过持续监控优化运维流程，降低系统性故障的发生概率和影响范围。