前    言  

我已经从事安全业务39年了，其中26年专注于信息安全。这些年我们已经看到了这个行业前所未有的变化：原来的计算机有一间屋子那么大，而且必须用水冷。到现在手机的计算能力已经超过了美国宇航局用于登陆月球所用的计算机。

我们敬畏地看着这一切，技术在发展，我们的生活质量也在不断提升。例如，我们可以通过手机来支付，我们的汽车也是计算机控制的，计算机控制带来了性能的优化和燃料的经济性，我们可以在酒店的房间办理登记手续并且得到登机牌。

但遗憾的是，一些人却通过技术和自己的优势找到漏洞，把这些进步变成了他们个人或其组织谋取政治利益和经济利益的工具。

为了应对这些对手，信息安全专业出现了。第一个认识到信息安全专业的组织是(ISC)2，它成立于1988年。1994年(ISC)2创建了注册信息系统安全专家(Certified Information System Security Professional，CISSP)认证并举行了第一次考试。这样就可以给经理和雇主(和潜在的雇主)一个保证，证实证书持有人对组成公共知识体(Common Body of Knowledge，CBK)中的10个领域都有基本的理解。

Shon Harris撰著的《CISSP认证考试指南》(CISSP All-in-One Exam Guide)是为应考者准备CISSP考试的指导书籍。我看到过许多类似的考试指南，Shon的书和别人的区别是她的书并不教人们如何通过考试，而是教你要通过考试所需的知识和材料。这意味着，虽然可能已经通过考试并获得证书，但是Shon的书仍然会在你的书架上(或平板电脑中)作为一个有价值的参考指南。

我认识Shon已经将近15年了，感动我的是她的奉献精神、道德和荣誉。她是我们这个行业里我遇到的最专业的人。她不断工作来改进她的书以便所有水平的读者都能理解各个主题。她开发了一种学习模式，帮助确保一个组织从底层到最高管理层的每个人都知道对他们负责的数据尽职尽责是明智的选择。

很荣幸有机会帮助介绍CISSP。我是Shon的忠实读者，我认为学习完这本书之后，你也会成为Shon的忠实读者。享受这段学习经历，为了这个证书而付出努力将物有所值。

                                       Tom Madden, MPA, CISSP, CISM

疾病控制中心首席信息安全官

当今，网络安全环境不断变化，我们在很多正常活动时，比如收发电子邮件、上网冲浪等，都会遭受攻击。敌人可能会一直通过手机应用、电子邮件(钓鱼、垃圾邮件)、网站(重定向)或者其他工具对我们的日常活动发起攻击，来获得知识产权、个人信息或其他敏感数据。黑客行动主义者、罪犯和恐怖分子通过使用上述信息实现未经授权地访问系统和敏感数据。黑客行动主义者通常使用攻击期间收集的信息来传递他们的消息，达到他们的目标。据赛门铁克的报告，在2010年，发现163个与移动计算相关联的新漏洞，286亿个恶意软件变种，网络攻击数量增加了93%，260 000个身份信息泄漏。据迈克菲的报告，在2011年的前两个季度出现了16 200个恶意网站，平均每天有2600个钓鱼网站出现。

我们也看到了在我们的日常活动中新技术在不断发展。新的智能手机和平板电脑已经成为常见的家用电脑。但是新工具往往意味着新的漏洞，网络安全专家必须处理。信息技术实施人员需要快速设计和实施。其中关于新技术讨论最多的很可能对整个系统或组织造成风险。CSO/ CISO会与技术部门一起寻找运用新技术的最佳方法，但物理安全和网络安全是部署策略中非常重要的部分。

培训是非常重要的，可以帮助最终用户、网络安全从业者，高级管理层明白他们的行为对组织内部有什么影响。甚至技术人员在家远程办公，连接到企业网络或将数据带回家都可能产生严重的后果。安全策略的推行将帮助建立一个更强的安全基线。组织已经意识到这个问题，很多组织已经开始编写可实现可接受的网络使用策略。这些策略如果执行得当，将有助于减少网络安全事件的发生。

一个解决方案是不可能解决网络安全问题的。深度防御、最佳业务实践、培训和意识教育、及时的信息共享等技术可以使网络攻击的影响降到最低。网络安全专家们需要使领导层及时了解最新的威胁和减少这些威胁影响的方法。由首席财务官、首席执行官、首席运营官做出的许多日常行为和决定，将会对任务实现产生影响；安全决策也应该成为这个流程的一部分。

在我获得证书后，《CISSP认证考试指南》一直是我的一本重要参考资料。Shon Harris创作并继续完善着这本全面的学习指南。组织机构各个层面的人，特别是网络安全人员，应该努力获得CISSP认证。这本学习指南是成功获得这个认证的关键，是网络专家准备和获得CISSP的工具包。CISSP的10个相关领域将协助个人从许多角度来认识信息安全。我们不再仅仅关注信息安全领域的一个方面，它为我们提供了多个视角，提供了专业的、总体的网络安全。从策略领域到技术领域，CISSP和这个学习指南涉及了网络安全的方方面面。即使这不属于你目前的培训计划，这本书将帮助任何人成为一个更好的安全从业者并且改善他们的组织安全状况。

Randy Vickers

Alexa Strategies, Inc.

网络安全分析师和顾问

CERT美国的前总裁，国防部CERT(JTF-GNO)前首席