CISSP的成长之路（七）：复习信息安全管理

　　在51CTO安全频道特别策划的CISSP的成长之路系列的上一篇文章《复习流程和资源》里，J0ker给大家介绍了一般的复习流程和对复习比较有帮助的资源。从本文开始，J0ker将带大家进入CISSP考试的正式复习过程：2007年(ISC)2修改过CISSP考试的各CBK名称和内容，虽然新内容绝大部分和原来的CISSPCBK相同，但还是增加了一些新内容。J0ker手上只有比较老的CISSP Official Guide和CISSPAllin One3rd（J0ker准备考试时也是用这两本资料，对增加新内容的考试还可以应付），所以在本系列文章中依然沿用(ISC)2修改前的CBK名称和内容，J0ker会按照CISSP Official Guide的内容安排给大家介绍一下复习中的心得和要点，限于J0ker自己水平和各人的情况不同可能有所不足，请大家原谅。

　　CISSP复习的第一章Information Security Management

　　安全行业有句行话，“三分技术，七分管理”，意为安全技术应该从属于管理。不少安全厂商在推销自己的产品时，常常只顾鼓吹说自己的产品有多好，却没有向客户说明产品是否适用于目标企业的实际环境。CISSP需要明白，安全技术也好，安全产品也好，都是必须从属于安全管理，只能因管理而技术，从安全技术和产品的使用去推导安全管理应该怎么做，就是本末倒置了。因此CISSP CBK中引入了Information Security Management这一概念，假如把企业的信息安全计划比作一艘船，信息安全管理就如同灯塔，指挥着船往哪里走，怎么走，如果舵手（CISSP）不按照灯塔（Information Security Management）的指示走，船就很可能触礁沉没（安全项目失败，或达不到想要的效果）

　　信息安全管理，或者说所有的信息安全项目，都是围绕着实现信息资产的A-I-C三角而设计和实施的。所谓的A-I-C三角，也即信息资产的三个重要属性：