第 1 章记忆候选池：安全治理、原则与政策

这一页不是最终记忆法，而是先把“哪些东西值得背”摊开。

后面每个 P1 知识点都要继续走完整流程：候选池 -> 一个个筛 -> 淘汰理由 -> 选主记法 -> 写故事 -> 回到考题检查。

本章抽取结果

• 候选知识点：72 个。
• P1：44 个。
• P2：18 个。
• P3：10 个。
• 章节术语：70 个。
• 学习单元：60 个。
• 官方练习：219 道。

先做哪些

优先顺序不是看名字酷不酷，而是看它是否同时被章节、题库、官方练习反复推到眼前。

已经开始写卡：第 1 章 P1 记忆卡（持续更新）。

• integrity / 完整性：P1 先做成完整记忆卡，题库命中 189 次。
• confidentiality / 机密性：P1 先做成完整记忆卡，题库命中 105 次。
• availability / 可用性：P1 先做成完整记忆卡，题库命中 110 次。
• risk assessment / 风险评估：P1 先做成完整记忆卡，题库命中 55 次。
• due diligence / 尽职调查：P1 先做成完整记忆卡，题库命中 12 次。
• PCI DSS：P1 先做成完整记忆卡，题库命中 8 次。
• Defense in Depth / 纵深防御：P1 先做成完整记忆卡，题库命中 11 次。
• Nonrepudiation / 不可否认性：P1 先做成完整记忆卡，题库命中 24 次。
• RTO / 恢复时间目标 RTO：P1 先做成完整记忆卡，题库命中 36 次。
• NIST：P1 先做成完整记忆卡，题库命中 54 次。
• standard / 标准：P1 先做成完整记忆卡，题库命中 60 次。
• vulnerability assessment / 漏洞评估：P1 先做成完整记忆卡，题库命中 28 次。
• BCP / 业务连续性计划 BCP：P1 先做成完整记忆卡，题库命中 48 次。
• RPO / 恢复点目标 RPO：P1 先做成完整记忆卡，题库命中 26 次。
• CISO / 首席信息安全官：P1 先做成完整记忆卡，题库命中 25 次。
• ISO：P1 先做成完整记忆卡，题库命中 27 次。
• STRIDE：P1 先做成完整记忆卡，题库命中 11 次。
• threat modeling / 威胁建模：P1 先做成完整记忆卡，题库命中 20 次。
• DRP / 灾难恢复计划 DRP：P1 先做成完整记忆卡，题库命中 30 次。
• Authenticity / 真实性：P1 先做成完整记忆卡，题库命中 18 次。

P1 候选

CH01-M001 integrity / 完整性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：integrity、完整性。
• 来源：章节术语 1；章节学习单元 1；官方练习题 14；补充资料 2；题库反推 189；官方练习 14；题库命中 189。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 14 次，说明它会被题目改写成场景。
• 全局题库命中 189 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 完整性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 integr...
• 标题：《软件、应用与供应链》 这页在讲什么： 这页在讲：风险是从需求、设计、代码、输入、测试、部署、第三方组件还是供应商交付进入系统。 现实里怎么发生： 假设公司有登录框、搜索框、留言板、转账按钮、API、第三方库和供应商交付的软件。用户输入可能被当成数据库命令，网页内容可能变成脚本，登录状态可能被借用，供应商组件也可能带来漏洞。 有几件事可能发生： -...

考题信号：

• 看到 integrity，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 integrity，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：完整性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料...
• 学习单元：软件、应用与供应链 - 风险是从需求、设计、代码、输入、测试、部署、第三方组件还是供应商交付进入系统。
• 官方题：以下哪类人员通常负责履行由高级管理层委托的运营数据保护职责，例如验证数据完整性、测试备份和管理安全政策？
• 官方题：贝丝是某公立学区的安全管理员。她正在实施一个新的学生信息系统，并正在测试代码，以确保学生无法更改自己的成绩。贝丝正在执行信息安全的哪项原则？
• 官方题：最后，服务器上存储的历史记录对业务极为重要，绝不能被修改。你希望添加一种完整性控制，使你能够定期验证文件未被修改。你可以添加哪种控制？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M002 confidentiality / 机密性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：confidentiality、机密性。
• 来源：章节术语 1；章节学习单元 10；题库反推 105；官方练习 0；题库命中 105。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 10 次，说明它有上下文。
• 全局题库命中 105 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 机密性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 confid...
• 标题：《法律、隐私与合规》 这页在讲什么： 这页在讲：公司做安全动作时，法律、合同、隐私和证据边界在哪里。 现实里怎么发生： 假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 有几件事可能发生： - 客户要求删除个...

考题信号：

• 看到 confidentiality，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 confidentiality，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：机密性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料...
• 学习单元：法律、隐私与合规 - 公司做安全动作时，法律、合同、隐私和证据边界在哪里。
• 学习单元：人员安全：入职、在职、离职 - 员工、外包人员和访客在进入公司、使用系统、离开公司时，权限和责任怎么处理。
• 学习单元：安全为什么是业务问题 - 安全不是 IT 部门自己修电脑、装工具的问题，而是公司能不能正常运营的问题。
• 题库：Non-Discretionary Access Control. A central authority determines what subjects can have access to certain objects based on the organizational securit...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M003 availability / 可用性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：availability、可用性。
• 来源：章节术语 1；章节学习单元 1；官方练习题 6；补充资料 2；题库反推 110；官方练习 6；题库命中 110。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 6 次，说明它会被题目改写成场景。
• 全局题库命中 110 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 可用性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 availa...
• 小林的网店同一天遇到三件事：客户资料被发到外部邮箱，订单金额被人从 1000 元改成 10 元，网站下午 2 点到 5 点一直打不开。 三件事都叫“出安全问题”太粗了。因为第一件伤到资料保密，第二件伤到数据正确，第三件伤到系统能不能用，所以安全领域先给它们分名字。 客户资料被不该看的人看到，叫 confidentiality 受损。换句话说：机密性关心的是...

考题信号：

• 看到 availability，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 availability，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：可用性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料...
• 学习单元：五大支柱与 CIA 三元组：先判断坏在哪里 - 机密性看资料有没有被不该看的人看到；完整性看数据有没有被乱改；可用性看系统能不能用；真实性和不可否认性分别处理冒名和抵赖。
• 官方题：A. 可用性攻击B. 保密性攻击C. 信息泄露D. 分布式攻击
• 官方题：你还担心每个办公室服务器上存储的数据的可用性。你希望添加一种技术，即使服务器中的一个硬盘发生故障，也能继续访问服务器上的文件。哪种控制可以让你在不添加额外服务器的情况下提高稳健性？
• 官方题：苏珊正在与公司的管理团队一起对数据进行分类，试图应用额外的安全控制措施，以降低数据泄露的可能性。苏珊试图执行的信息安全原则是什么？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M004 risk assessment / 风险评估

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、缩写/英文题眼、题库高频。
• 别名/题眼：risk assessment、风险评估。
• 来源：章节术语 1；官方练习题 8；题库反推 55；官方练习 8；题库命中 55。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 8 次，说明它会被题目改写成场景。
• 全局题库命中 55 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 风险评估不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 risk assessment，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 risk assessment，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control revie...
• 看到 risk assessment，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：风险评估不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 risk assessment，先问它是在解决哪件...
• 官方题：加文正在为管理层撰写一份关于他最近风险评估结果的报告。在他的报告中，他希望确定采用安全控制措施后组织剩余的风险水平。哪个术语最能描述当前的这种风险水平？
• 官方题：在对其组织进行定性风险评估后，萨莉建议购买网络安全漏洞保险。她建议的是哪种类型的风险应对行为？
• 官方题：托尼正在制定业务连续性计划，由于难以综合有形资产和无形资产的信息，他在资源优先级排序方面遇到了困难。他最有效的风险评估方法是什么？
• 官方题：詹姆斯正在为其组织进行风险评估，并正试图为其数据中心的服务器分配资产价值。该组织的主要关注点是确保在数据中心受损或被毁的情况下，有足够的资金来重建数据中心。在这种情况下，哪种资产估值方法最合适？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M005 due diligence / 尽职调查

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：due diligence、尽职调查。
• 来源：章节术语 1；章节学习单元 4；官方练习题 2；题库反推 12；官方练习 2；题库命中 12。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 4 次，说明它有上下文。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 12 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 尽职调查不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 due diligence，先问它是在解决哪件事，再按题目最后一句判断。
• 想象公司发生客户资料泄露。技术人员可能负责修系统、关漏洞、查日志，但外界不会只问“哪个工程师没修好”。 客户、监管方、董事会会问：公司有没有正式安全政策？高管有没有批准？风险有没有分析？员工有没有培训？控制有没有测试过？ 所以原文说：security management is a responsibility of upper management, n...

考题信号：

• 看到 due diligence，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 due diligence，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：尽职调查不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 due diligence，先问它是在解决哪件事，再按题目最...
• 学习单元：安全角色与高管责任：最终责任在管理层，不在 IT 员工 - 安全管理是业务运营责任；InfoSec 团队应保持一定独立性，由 CISO 向高层汇报；高管批准和承诺政策，才能体现 due diligence 和 due care。
• 学习单元：ITIL、SWIFT 与 due diligence/due care 引入 - ITIL 用最佳实践优化 IT 服务并对齐业务；SWIFT 保护金融消息和交易；due diligence 是先建立计划政策流程，due care 是持续执行这些活动。
• 学习单元：due diligence、due care 与安全政策开头 - due diligence 也用于监督和留下记录；due care 是按计划做正确动作；安全政策定义保护范围、资产、责任、审计、执行、合规和可接受风险。
• 学习单元：复习题：COBIT、due diligence/due care 和文档匹配 - 这一段练习 COBIT 原则、due diligence/due care 的区别，以及 policy、standard、procedure、guideline 四类文档定义。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M006 PCI DSS

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、法律/合规、缩写/英文题眼、题库高频。
• 别名/题眼：PCI DSS。
• 来源：章节术语 1；章节学习单元 1；官方练习题 10；题库反推 8；官方练习 10；题库命中 8。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 10 次，说明它会被题目改写成场景。
• 全局题库命中 8 次，后面要拿题目反推记忆卡。

小白先看：

• PCI DSS不要只背中文名。放回现实里看：假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 比如：客户要求删除个人资料，要看适用隐私法和保留义务。 所以考试看到 PCI DSS，先问它是在解决哪件事，再按题目最后...
• 小林继续做题：支付卡标准、谁写政策并实施、COBIT 原则都混在同一页。 因为框架题和角色题都喜欢用长定义，所以要抓最特别的词。 Sensitive credit card and debit card information 对应 PCI DSS。换句话说：看到支付卡数据保护标准，就先想到 PCI DSS。 Functional responsibili...

考题信号：

• 看到 PCI DSS，不要先套通用模板。先按“法律、隐私与合规”判断：题目问法规或隐私权，先看数据类型和地区。 题目问证据，先看完整性、保管链和授权。 题目问知识产权，先分版权、商标、专利和商业秘密。
• 看到 PCI DSS，不要先套通用模板
• 先按“法律、隐私与合规”判断：题目问法规或隐私权，先看数据类型和地区
• 题目问证据，先看完整性、保管链和授权

来源证据：

• 术语表：PCI DSS不要只背中文名。放回现实里看：假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 比如：客户要求删除个人资料，要看适用隐私法和保留义务。 所以...
• 学习单元：复习题：并购风险、PCI DSS、安全专业人员和 COBIT - 这一段练习 PCI DSS、功能性安全责任、COBIT 原则和并购风险：支付卡看 PCI DSS，写政策并实施看 security professional，COBIT 看利益相关者、整体、动态和端到端治理。
• 官方题：蒂姆的组织最近收到了一份作为政府承包商进行赞助研究的合同。现在可能适用于该合同所涉及的信息系统的是什么法律？
• 官方题：罗伯特负责保护用于处理信用卡信息的系统。哪个安全控制框架应该指导他的行动？
• 官方题：罗杰的组织遭遇了客户信用卡记录泄露事件。根据 PCI DSS 的条款，哪个组织可能会选择对此事展开调查？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M007 Defense in Depth / 纵深防御

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：Defense in Depth、纵深防御。
• 来源：章节术语 1；章节学习单元 3；官方练习题 4；题库反推 11；官方练习 4；题库命中 11。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 3 次，说明它有上下文。
• 官方练习碰到 4 次，说明它会被题目改写成场景。
• 全局题库命中 11 次，后面要拿题目反推记忆卡。

小白先看：

• 纵深防御不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 Defense in Depth，先问它是在解决哪件事，再按题目最后一句判断。
• 标题：《法律、隐私与合规》 这页在讲什么： 这页在讲：公司做安全动作时，法律、合同、隐私和证据边界在哪里。 现实里怎么发生： 假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 有几件事可能发生： - 客户要求删除个...

考题信号：

• 看到 Defense in Depth，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control revi...
• 看到 Defense in Depth，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：纵深防御不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 Defense in Depth，先问它是在解决哪...
• 学习单元：法律、隐私与合规 - 公司做安全动作时，法律、合同、隐私和证据边界在哪里。
• 学习单元：Defense in Depth 续：串行层次、广度防御与抽象 - 安全分层要让攻击依次经过多道控制；并行控制宽但浅；多厂商和不同产品可减少同一漏洞同时打穿多层；抽象把相似对象、角色或权限分组管理。
• 学习单元：复习题：分解组件与 defense in depth 相关术语 - 这一段练习 reduction analysis 的关键组件，以及 defense in depth 相关术语：layering、zones、realms、compartments、segmentations、lattice struct...
• 官方题：哪项信息安全原则指出，组织应尽可能实施重叠的安全控制措施？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M008 Nonrepudiation / 不可否认性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：Nonrepudiation、不可否认性。
• 来源：章节术语 1；章节学习单元 1；官方练习题 2；补充资料 1；题库反推 24；官方练习 2；题库命中 24。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 24 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 不可否认性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 Nonr...
• 标题：《法律、隐私与合规》 这页在讲什么： 这页在讲：公司做安全动作时，法律、合同、隐私和证据边界在哪里。 现实里怎么发生： 假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 有几件事可能发生： - 客户要求删除个...

考题信号：

• 看到 Nonrepudiation，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 Nonrepudiation，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：不可否认性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：...
• 学习单元：法律、隐私与合规 - 公司做安全动作时，法律、合同、隐私和证据边界在哪里。
• 官方题：B. 虚拟专用网络（VPN）使用加密在原本不安全的网络（如互联网）上提供安全通信通道。如果在两个办公室之间建立 VPN 连接，一个办公室的用户可以通过互联网安全访问另一个办公室服务器上的内容。数字签名用于提供不可否认性，而非保密性。虚拟局域网（VLAN）在本地网络上提供网络分段，但无法跨越互联网。...
• 官方题：D. 不可否认性使接收者能够向第三方证明消息来自声称的来源。认证可以向本证明发送者是真实的，但本无法向第三方证明这一点。
• 补充资料：Nonrepudiation - CISSP All-in-One Exam Guide 6 All-In-One / CISSP® All-in-One Exam Guide, Ninth Edition / Maymí / 737-6 / Chapter 1 should be rest...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M009 RTO / 恢复时间目标 RTO

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：公式/数值、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：RTO、恢复时间目标 RTO。
• 来源：章节术语 1；官方练习题 2；题库反推 36；官方练习 2；题库命中 36。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 36 次，后面要拿题目反推记忆卡。
• 它带公式、指标或数字，不能只凭感觉背。

小白先看：

• 恢复时间目标 RTO不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 RTO，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 RTO，不要先套通用模板。先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA。 问业务怎么撑住看 BCP。 问技术怎么恢复看 DRP。 问时间看 RTO，问数据丢失看 RPO。
• 看到 RTO，不要先套通用模板
• 先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA
• 问业务怎么撑住看 BCP

来源证据：

• 术语表：恢复时间目标 RTO不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 RTO，先问它是在解...
• 官方题：以下哪项协议通常要求供应商不得披露在参与项目过程中获悉的机密信息？
• 官方题：C. 保密协议（NDA）通常要求在业务关系中进行单向或双向保密。服务级别协议规定服务正常运行时间和其他性能指标。竞业禁止协议（NCA）限制员工未来的就业可能性。恢复时间目标（RTO）用于业务连续性规划。
• 题库：Which of the following steps should be performed first in a business impact analysis (BIA)?下列哪一步，是执行业务影响分析的第一步？
• 题库：What is the Maximum Tolerable Downtime (MTD)? 什么是可承受的最长停机时间(MTD)

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M010 NIST

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、法律/合规、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：NIST。
• 来源：章节术语 1；章节学习单元 1；官方练习题 3；题库反推 54；官方练习 3；题库命中 54。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 3 次，说明它会被题目改写成场景。
• 全局题库命中 54 次，后面要拿题目反推记忆卡。

小白先看：

• NIST不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 NIST，先问它是在解决哪件事，再按题目最后一句判断。
• 小林的公司想建设安全管理体系，但不想自己从零发明所有要求。 因为很多行业已经把成熟做法写成标准，所以公司可以参考 ISO、ISO/IEC 27000 和 NIST。 ISO 是 worldwide standards-setting group。换句话说：它不是只管安全，而是发布工业、商业、软件、协议和管理等多类标准。 ISO/IEC 27000 fami...

考题信号：

• 看到 NIST，不要先套通用模板。先按“安全框架与标准”判断：看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。
• 看到 NIST，不要先套通用模板
• 先按“安全框架与标准”判断：看到 COBIT 想 IT 治理
• 看到 SABSA 想业务驱动安全架构

来源证据：

• 术语表：NIST不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 NIST，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：ISO、ISO/IEC 27000 与 NIST：安全框架从哪里来 - ISO 提供国际标准；ISO/IEC 27000 可作为组织安全管理基础；NIST 是美国标准机构，SP 800-53、RMF 和 CSF 常用于安全控制和风险管理。
• 官方题：以下图表显示了美国国家标准与技术研究院（NIST）风险管理框架，其中缺少一个步骤。缺少的步骤是什么？
• 官方题：A. 首先必须意识到，商标是保护徽标的正确知识产权保护机制。因此，吉娜应联系美国专利商标局（USPTO），该局负责商标注册。国会图书馆版权局管理版权项目。国家安全局（NSA）和美国国家标准与技术研究院（NIST）在知识产权保护中没有作用。
• 官方题：A. 美国国家标准与技术研究院（NIST）风险管理框架中缺失的步骤是评估安全控制。这是流程的重要组成部分。组织已经准备、对系统进行分类、选择适当的控制并实施这些控制。在授权系统使用之前，必须评估这些控制的有效性，确保它们满足安全要求。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M011 standard / 标准

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：standard、标准。
• 来源：章节术语 1；章节学习单元 2；题库反推 60；官方练习 0；题库命中 60。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 全局题库命中 60 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 标准不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 standard，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司既要设计企业安全架构，也要处理客户刷卡付款。 因为企业架构要服务业务风险，而支付卡数据有行业强制要求，所以 SABSA 和 PCI DSS 解决的是不同问题。 SABSA risk-focused，强调在 business context 中识别和管理安全风险。换句话说：安全措施要和组织具体风险和目标对齐。 SABSA 还 business-dri...

考题信号：

• 看到 standard，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 standard，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：标准不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 standard，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：SABSA 与 PCI DSS：业务驱动架构和支付卡保护 - SABSA 从业务风险出发做分层安全架构；PCI DSS 是保护信用卡和借记卡数据的安全标准，覆盖持卡人数据、网络安全、加密和访问控制。
• 学习单元：分解系统：信任边界、数据流、输入点、特权操作和安全假设 - decomposition 把系统拆小，识别信任边界、数据流、输入点、特权操作和安全假设；威胁要记录手段、目标、后果和对策，再进入排序。
• 题库：For an application security program to be effective within an organization, it is critical to对于应用程序安全计划在组织内是有效的，最关键的是：
• 题库：What is the length of an MD5 message digest? 信息MD5的长度是？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M012 vulnerability assessment / 漏洞评估

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、缩写/英文题眼、题库高频。
• 别名/题眼：vulnerability assessment、漏洞评估。
• 来源：章节术语 1；章节学习单元 1；官方练习题 1；补充资料 2；题库反推 28；官方练习 1；题库命中 28。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 官方练习碰到 1 次，说明它会被题目改写成场景。
• 全局题库命中 28 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 漏洞评估不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 vulnerability assessment，先问它是在解决哪件事，再按题目最后一句判断。
• 小林的网店做完第一次风险评估后，发现客户数据库、支付接口和后台管理员账号最重要。 问题来了：知道“哪里风险高”以后，下一步不能只把报告放进抽屉。因为风险已经被看见，所以它要指导公司改进现有安全基础设施，比如加防护、改配置、补流程。 工程师接着用自动化工具扫服务器。工具发现后台管理页有旧版本组件、弱密码策略和几个已知漏洞。这个动作叫 vulnerabilit...

考题信号：

• 看到 vulnerability assessment，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/cont...
• 看到 vulnerability assessment，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：漏洞评估不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 vulnerability assessment，...
• 学习单元：评估、花钱、法律和持续改进：安全为什么不是一次性工程 - 风险评估指导改进方向；漏洞评估用工具找已知弱点；渗透测试让可信团队模拟攻击；控制要成本有效、法律上站得住，并且持续复查。
• 官方题：艾伦正在进行威胁建模，并决定将系统分解为如图所示的核心元素会很有帮助。他使用的是什么工具？
• 补充资料：1.1 安全101 - CISSP 官方学习手册（第 9 版） 1.1 安全 101 安全的重要性经常被提及，但我们并非总能理解其中的缘由。安全很重要，是因为当有 人试图窃取组织的数据或破坏其物理或逻辑元素时，它有助千确保组织继续存在与运营。安 全应被视为业务管理的一个要素，而不仅...
• 补充资料：1.2 理解和应用安全概念 - CISSP 官方学习手册（第 9 版） 1.1 安全 101 安全的重要性经常被提及，但我们并非总能理解其中的缘由。安全很重要，是因为当有 人试图窃取组织的数据或破坏其物理或逻辑元素时，它有助千确保组织继续存在与运营。安 全应被视为业务管理的一个要素，而不仅...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M013 BCP / 业务连续性计划 BCP

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：公式/数值、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：BCP、业务连续性计划 BCP。
• 来源：章节术语 1；官方练习题 1；题库反推 48；官方练习 1；题库命中 48。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 1 次，说明它会被题目改写成场景。
• 全局题库命中 48 次，后面要拿题目反推记忆卡。
• 它带公式、指标或数字，不能只凭感觉背。

小白先看：

• 业务连续性计划 BCP不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 BCP，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 BCP，不要先套通用模板。先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA。 问业务怎么撑住看 BCP。 问技术怎么恢复看 DRP。 问时间看 RTO，问数据丢失看 RPO。
• 看到 BCP，不要先套通用模板
• 先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA
• 问业务怎么撑住看 BCP

来源证据：

• 术语表：业务连续性计划 BCP不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 BCP，先问它是在...
• 官方题：以下哪项行动通常不属于业务连续性规划的项目范围和规划阶段？
• 题库：Which of the following rules pertaining to a Business Continuity Plan/Disaster Recovery Plan is incorrect?关于业务连续性计划/灾难恢复计划，下列哪项规则是不正确的？
• 题库：Which one of the following is NOT one of the outcomes of a vulnerability assessment?以下哪项不是漏洞评估的结果？
• 题库：Which of the following statements BEST describes the extent to which an organization should address business continuity or disaster recovery planning...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M014 RPO / 恢复点目标 RPO

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：公式/数值、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：RPO、恢复点目标 RPO。
• 来源：章节术语 1；官方练习题 1；题库反推 26；官方练习 1；题库命中 26。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 1 次，说明它会被题目改写成场景。
• 全局题库命中 26 次，后面要拿题目反推记忆卡。
• 它带公式、指标或数字，不能只凭感觉背。

小白先看：

• 恢复点目标 RPO不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 RPO，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 RPO，不要先套通用模板。先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA。 问业务怎么撑住看 BCP。 问技术怎么恢复看 DRP。 问时间看 RTO，问数据丢失看 RPO。
• 看到 RPO，不要先套通用模板
• 先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA
• 问业务怎么撑住看 BCP

来源证据：

• 术语表：恢复点目标 RPO不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 RPO，先问它是在解决...
• 官方题：D. 安装阻止攻击的设备，是试图通过降低应用程序攻击成功的可能性来降低风险。添加防火墙不会解决风险影响、恢复点目标（RPO）或最大可容忍中断时间（MTO）。
• 题库：What is the Maximum Tolerable Downtime (MTD)? 什么是可承受的最长停机时间(MTD)
• 题库：Which objective defines the most recent point in time to which data must be recovered or synchronized without unacceptable business impact? 哪个目标表示：数据...
• 题库：When designing a business continuity plan (BCP), what is the formula to determine the Maximum Tolerable Downtime (MTD)?在设计业务连续性计划(BCP)时，确定最大容许停机时间(MT...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M015 CISO / 首席信息安全官

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：CISO、首席信息安全官。
• 来源：章节术语 1；官方练习题 2；题库反推 25；官方练习 2；题库命中 25。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 25 次，后面要拿题目反推记忆卡。

小白先看：

• 首席信息安全官不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 CISO，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 CISO，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 CISO，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 题目问法规或隐私权，先看数据类型和地区。 题目问证据，先看完整性、保管链和授权。 题目问知识产权，先分版权、商标、专利和商业秘密。

来源证据：

• 术语表：首席信息安全官不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 CISO，先问它是在解决哪件事，再按题目最后一句判断。
• 官方题：你是一家大型医院系统的首席信息安全官，正准备与一家软件即服务（SaaS）电子邮件供应商签订合同。你希望进行控制评估，以确保其业务连续性规划措施是合理的。你可能会要求进行哪种类型的审计来实现这一目标？
• 官方题：查斯最近完成了其组织的业务连续性计划（BCP）的制定。谁是批准组织业务连续性计划的理想人选？
• 题库：A Chief Information Security Officer (CISO) of a firm which decided to migrate to cloud has been tasked with ensuring an optimal level of security. W...
• 题库：The Chief Information Security Officer (CISO) of a small organization is making a case for building a security operations center (SOC). While debatin...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M016 ISO

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：ISO。
• 来源：章节术语 1；官方练习题 2；题库反推 27；官方练习 2；题库命中 27。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 27 次，后面要拿题目反推记忆卡。

小白先看：

• ISO不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 ISO，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 ISO，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 ISO，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。

来源证据：

• 术语表：ISO不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 ISO，先问它是在解决哪件事，再按题目最后一句判断。
• 官方题：本正在寻找一个在全球范围内被广泛接受且专门关注信息安全控制的控制目标框架。以下哪个框架最能满足他的需求？
• 官方题：B. ISO 27002 是一项国际标准，专门聚焦于信息安全，标题为 “信息安全、网络安全和隐私保护：信息安全控制”。ITIL 确实包含安全管理实践，但它并非文档的唯一重点，且 ITIL 的安全部分源自 ISO 27002。能力成熟度模型（CMM）聚焦于软件开发，《项目管理知识体系指南》（PMBO...
• 题库：Encryption is applicable to all of the following OSI/ISO layers except: 加密适用于以下所有OSI/ISO层，除了：
• 题库：The ISO/IEC 27001:2013 is a standard for: ISO/IEC 27001:2013版是什么标准？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M017 STRIDE

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：STRIDE。
• 来源：章节术语 1；官方练习题 3；题库反推 11；官方练习 3；题库命中 11。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 3 次，说明它会被题目改写成场景。
• 全局题库命中 11 次，后面要拿题目反推记忆卡。

小白先看：

• STRIDE不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 STRIDE，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 STRIDE，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 STRIDE，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。

来源证据：

• 术语表：STRIDE不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 STRIDE，先问它是在解决哪件事，再按题目最后一句判断。
• 官方题：博比正在调查一起安全事件，发现攻击者从一个普通用户账户开始，但设法利用系统漏洞为该账户获取了管理员权限。在 STRIDE 威胁模型下，这属于哪种类型的攻击？
• 官方题：加里正在分析一起安全事件，在调查过程中，他遇到一名用户否认执行过他认为该用户执行过的操作。在 STRIDE 模型下，这属于哪种类型的威胁？
• 官方题：约翰正在分析针对其公司的一次攻击，攻击者通过 HTML 代码中嵌入的注释找到了利用软件漏洞的线索。根据 STRIDE 模型，他发现的是哪种类型的攻击？
• 题库：Gary正在分析一个安全事件。在调查期间，他发现有一个用户否认他曾做的事，但Gary相信这个用户做过。根据STRIDE模型，发生了什么类型的威胁？Gary is analyzing a security incident and, during his investigation, encount...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M018 threat modeling / 威胁建模

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：threat modeling、威胁建模。
• 来源：章节术语 1；章节学习单元 2；官方练习题 1；题库反推 20；官方练习 1；题库命中 20。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 官方练习碰到 1 次，说明它会被题目改写成场景。
• 全局题库命中 20 次，后面要拿题目反推记忆卡。

小白先看：

• 威胁建模不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 threat modeling，先问它是在解决哪件事，再按题目最后一句判断。
• 小林团队要开发新系统。有人说先上线，出了问题再补丁；安全人员说设计阶段就要想威胁。 因为上线后补安全常常要重写代码、影响功能和用户体验，所以越早建模越划算。 Threat modeling 不是 single event。换句话说：它从设计早期启动，并在系统 life cycle 中持续进行。 Microsoft SDL 是例子，它用一系列程序提升 sec...

考题信号：

• 看到 threat modeling，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control revie...
• 看到 threat modeling，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：威胁建模不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 threat modeling，先问它是在解决哪件...
• 学习单元：威胁建模不是一次事件：早期设计中的主动防御 - 威胁建模要从设计早期开始并贯穿生命周期；SDL 帮开发者减少漏洞；把安全内建进设计通常比上线后硬塞补丁更便宜、更有效。
• 学习单元：攻击图与 reduction analysis：先画数据流，再拆系统 - 威胁建模会画出组件、安全区边界和数据流；再对系统做 reduction analysis，也叫 decomposition，理解内部组件和外部交互。
• 官方题：艾伦正在进行威胁建模，并决定将系统分解为如图所示的核心元素会很有帮助。他使用的是什么工具？
• 题库：The major benefit of information classification is to信息分类的主要好处

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M019 DRP / 灾难恢复计划 DRP

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：公式/数值、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：DRP、灾难恢复计划 DRP。
• 来源：章节术语 1；题库反推 30；官方练习 0；题库命中 30。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 30 次，后面要拿题目反推记忆卡。
• 它带公式、指标或数字，不能只凭感觉背。

小白先看：

• 灾难恢复计划 DRP不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 DRP，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 DRP，不要先套通用模板。先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA。 问业务怎么撑住看 BCP。 问技术怎么恢复看 DRP。 问时间看 RTO，问数据丢失看 RPO。
• 看到 DRP，不要先套通用模板
• 先按“业务连续性与灾难恢复”判断：问 first/priority 常先看 BIA
• 问业务怎么撑住看 BCP

来源证据：

• 术语表：灾难恢复计划 DRP不要只背中文名。放回现实里看：假设主机房断电，网站打不开，客服系统也不能用。业务部门看到客户不能下单、客服接不了电话、订单没人处理、收款对不上；技术人员看到服务器、数据库、网络和账号都要恢复。 比如：BIA 比较哪项业务停了最痛，决定优先级。 所以考试看到 DRP，先问它是在解...
• 题库：Which type of disaster recovery plan (DRP) testing carries the MOST operational risk?哪种类型的灾难恢复计划(DRP)测试带来的运营风险最大？
• 题库：An organization's retail website provides its only source of revenue, so the disaster recovery plan (DRP) must document an estimated time for each st...
• 题库：Which of the following events prompts a review of the disaster recovery plan (DRP)?以下哪一个事件促使对灾难恢复计划(DRP)进行审查？
• 题库：What is the FIRST step prior to executing a test of an organisation's disaster recovery (DR) or business continuity plan (BCP)?在对一个组织的灾难恢复(DR)或业务连续性计...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M020 Authenticity / 真实性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、题库高频。
• 别名/题眼：Authenticity、真实性。
• 来源：章节术语 1；题库反推 18；官方练习 0；题库命中 18。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 18 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 真实性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 Authen...

考题信号：

• 看到 Authenticity，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 Authenticity，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：真实性不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料...
• 题库：What is a commercial application of steganography that is used to identify pictures or verify their authenticity?用于标识图片或验证其真实性的隐写术的商业应用是？
• 题库：What are suitable protocols for securing VPN connections?以下哪一协议适合保护VPN连接？
• 题库：Which of the following best provides e-mail message authenticity and confidentiality?下列哪个最好地提供了电子邮件的真实性和机密性？
• 题库：Within the OSI Reference Model, authentication addresses the need for a network entity to verify both of the following: 在 OSI 参考模型中，认证要让网络实体同时验证哪两件事？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M021 firewall / 防火墙

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：firewall、防火墙。
• 来源：章节术语 1；官方练习题 2；题库反推 136；官方练习 2；题库命中 136。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 136 次，后面要拿题目反推记忆卡。

小白先看：

• 防火墙不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 firewall，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 firewall，不要先套通用模板。先按“网络、通信与边界”判断：先找源头、目标、协议、端口和边界。 再看题目问过滤、隧道、加密、认证、分段还是检测。 最后选最贴路径的控制。
• 看到 firewall，不要先套通用模板
• 再看题目问过滤、隧道、加密、认证、分段还是检测
• 最后选最贴路径的控制

来源证据：

• 术语表：防火墙不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 firewall，先问它是在解决哪件事，再按题目最...
• 官方题：汤姆启用了其云基础设施即服务提供商提供的应用防火墙，该防火墙旨在阻止多种类型的应用攻击。从风险管理的角度来看，汤姆实施这种对策试图降低的指标是什么？
• 官方题：请根据以下场景回答 47-49 题：Juniper Content 是一家网络内容开发公司，有 40 名员工，分布在两个办公室：一个在纽约，一个在旧金山湾区（规模较小）。每个办公室都有一个受边界防火墙保护的局域网。局域网包含连接到有线和无线网络的现代交换设备。每个办公室都有自己的文件服务器，信息技...
• 题库：Which one of these is a basic firewall? 哪一个是基本的防火墙?
• 题库：A packet filtering firewall looks at source and destination addresses, the session protocol (TCP, UDP, or ICMP), and the source/destination applicati...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M022 penetration testing / 渗透测试

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、缩写/英文题眼、题库高频。
• 别名/题眼：penetration testing、渗透测试。
• 来源：章节术语 1；章节学习单元 1；题库反推 109；官方练习 0；题库命中 109。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 109 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 渗透测试不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 penetration testing，先问它是在解决哪件事，再按题目最后一句判断。
• 小林的新系统已经上线。后来监控发现一台服务器出现奇怪连接，这时不能回到设计阶段假装没事。 因为不是所有威胁都能在设计阶段预测，所以还需要 reactive approach。 Threat hunting 是根据 symptoms 或 IoC 寻找 compromise 证据。换句话说：它不是猜未来可能怎么被打，而是找现在或过去是不是已经被打。 Threa...

考题信号：

• 看到 penetration testing，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control r...
• 看到 penetration testing，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：渗透测试不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 penetration testing，先问它是在...
• 学习单元：威胁狩猎：上线后根据 IoC 找已经发生的伤害 - 设计期不可能预测所有威胁，所以还要 threat hunting；它根据 IoC 查找已有妥协，常见形式包括 ethical hacking、penetration testing、source code review 和 fuzz te...
• 题库：At what Trusted Computer Security Evaluation Criteria (TCSEC) or Information Technology Security Evaluation Criteria (ITSEC) security level are datab...
• 题库：Management can expect penetration tests to provide all of the following EXCEPT管理人员可以预期渗透测试提供以下所有选项，除了：
• 题库：The Trusted Computer Security Evaluation Criteria (TCSEC) provides: 可信计算机安全评估准则（TCSEC）提供什么？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M023 identity / 身份

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：identity、身份。
• 来源：章节术语 1；章节学习单元 1；补充资料 1；题库反推 76；官方练习 0；题库命中 76。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 76 次，后面要拿题目反推记忆卡。

小白先看：

• 身份不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 identity，先问它是在解决哪件事，再按题目最后一句判断。
• 小林团队开发软件时，不能只说系统可能被攻击，还要说攻击属于哪类、会利用哪个漏洞、会伤到哪个资产。 因为威胁数量几乎无限，所以需要结构化分类方法。 Focused on Software 是从软件角度考虑潜在威胁。常见做法是把 threats 和 vulnerabilities 配对，找出能利用资产并造成显著风险的组合。 STRIDE 是 Microsoft...

考题信号：

• 看到 identity，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 identity，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：身份不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 identity，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：威胁识别、STRIDE 与 PASTA 开头 - 威胁可以从软件、漏洞和资产关系出发识别；STRIDE 帮助分类攻击类型；PASTA 是风险中心的七阶段威胁建模方法。
• 补充资料：Domain 1—Security and Risk Management Domain 2—Asset Security Domain 3—Security Architecture and E - OVERVIEW OF CONTENTS Why This Book About the Exam Mindset About the Autho...
• 题库：The guarantee that the message sent is the message received, and that the message was not intentionally or unintentionally altered is? 保证发送的消息正是被接收的消...
• 题库：A reference monitor is a system component that enforces access controls on an object. Specifically, the reference monitor concept is an abstract mach...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M024 Accountability / 问责性

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：Accountability、问责性。
• 来源：章节术语 1；章节学习单元 1；题库反推 15；官方练习 0；题库命中 15。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 15 次，后面要拿题目反推记忆卡。

小白先看：

• 问责性不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Accountability，先问它是在解决哪件事，再按题目最后一句判断。
• 标题：《法律、隐私与合规》 这页在讲什么： 这页在讲：公司做安全动作时，法律、合同、隐私和证据边界在哪里。 现实里怎么发生： 假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 有几件事可能发生： - 客户要求删除个...

考题信号：

• 看到 Accountability，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 Accountability，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：问责性不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Accountability，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：法律、隐私与合规 - 公司做安全动作时，法律、合同、隐私和证据边界在哪里。
• 题库：Non-Discretionary Access Control. A central authority determines what subjects can have access to certain objects based on the organizational securit...
• 题库：Which choice is the BEST description of authentication as opposed to authorization?与授权相反，以下哪一选项最能描述身份验证?
• 题库：Which of the following is needed for System Accountability?如果要实现系统的可问责性，下面哪条是需要的？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M025 Authentication / 认证

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：Authentication、认证。
• 来源：章节术语 1；章节学习单元 1；题库反推 113；官方练习 0；题库命中 113。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 113 次，后面要拿题目反推记忆卡。

小白先看：

• 认证不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authentication，先问它是在解决哪件事，再按题目最后一句判断。
• 标题：《软件、应用与供应链》 这页在讲什么： 这页在讲：风险是从需求、设计、代码、输入、测试、部署、第三方组件还是供应商交付进入系统。 现实里怎么发生： 假设公司有登录框、搜索框、留言板、转账按钮、API、第三方库和供应商交付的软件。用户输入可能被当成数据库命令，网页内容可能变成脚本，登录状态可能被借用，供应商组件也可能带来漏洞。 有几件事可能发生： -...

考题信号：

• 看到 Authentication，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 Authentication，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：认证不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authentication，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：软件、应用与供应链 - 风险是从需求、设计、代码、输入、测试、部署、第三方组件还是供应商交付进入系统。
• 题库：A type of preventive/physical access control is: 预防/物理访问控制类型是：
• 题库：During which phase of an IT system life cycle are security requirements developed? 在 IT 系统生命周期的哪一阶段开发安全需求?
• 题库：The definition of CHAP is: CHAP的定义是：

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M026 COBIT

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：模型/框架、法律/合规、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：COBIT。
• 来源：章节术语 1；官方练习题 1；题库反推 12；官方练习 1；题库命中 12。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 1 次，说明它会被题目改写成场景。
• 全局题库命中 12 次，后面要拿题目反推记忆卡。

小白先看：

• COBIT不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 COBIT，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 COBIT，不要先套通用模板。先按“安全框架与标准”判断：看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。
• 看到 COBIT，不要先套通用模板
• 先按“安全框架与标准”判断：看到 COBIT 想 IT 治理
• 看到 SABSA 想业务驱动安全架构

来源证据：

• 术语表：COBIT不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 COBIT，先问它是在解决哪件事，再按题目最后一句判断。
• 官方题：C. 风险成熟度模型（RMM）专为评估企业风险管理计划而设计。杰夫理论上可以使用更通用的能力成熟度模型（CMM），但它并非最佳选择。软件能力成熟度模型（SW-CMM）用于评估开发项目，而非风险管理工作。信息技术控制目标（COBIT）是一组安全控制目标，而非成熟度模型。
• 题库：Aaron想要验证他是否符合PCI-DSS的合规性。他的公司是一家大型商业组织，每年的交易额达数百万美元。对大型组织进行此类测试的最常用方法是什么？ Aaron wants to validate his compliance with PCI-DSS. His company is a larg...
• 题库：Nicole希望对她的组织进行基于标准的审计。以下哪项常用于描述信息系统的常见需求？ Nicole wants to conduct a standards-based audit of her organization. Which of the following is commonly us...
• 题库：Jeff 希望采用行业标准方法来评估其组织用于管理风险的流程。哪种成熟度模型最适合他的使用？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M027 incident response / 事件响应

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：incident response、事件响应。
• 来源：章节术语 1；题库反推 34；官方练习 0；题库命中 34。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 34 次，后面要拿题目反推记忆卡。

小白先看：

• 事件响应不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 incident response，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 incident response，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 incident response，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 题目问 incident response program 为了取证必须怎么做，就选 treat every incident as though it may be a crime。 做题时只问一件事：哪个选项能解释“To ensure proper forensics action when needed, an incident response p...

来源证据：

• 术语表：事件响应不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 incident response，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：To ensure proper forensics action when needed, an incident response program must:为了确保在需要时正确的取证活动，一个事件响应程序必须：
• 题库：Triage encompasses which of the following incident response sub-phases? 分类着重于以下哪个事件响应子阶段呢？
• 题库：Computer forensics requires which of the following MAIN steps?计算机取证需要以下哪个主要步骤？
• 题库：What is the PRIMARY objective of the post-incident phase of the incident response process in the security operations center (SOC)?安全运营中心(SOC)事故响应流程的事...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M028 penetration test / 渗透测试

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、缩写/英文题眼、题库高频。
• 别名/题眼：penetration test、渗透测试。
• 来源：章节术语 1；题库反推 110；官方练习 0；题库命中 110。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 110 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 渗透测试不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 penetration test，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 penetration test，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control revi...
• 看到 penetration test，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：渗透测试不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 penetration test，先问它是在解决哪...
• 题库：At what Trusted Computer Security Evaluation Criteria (TCSEC) or Information Technology Security Evaluation Criteria (ITSEC) security level are datab...
• 题库：Management can expect penetration tests to provide all of the following EXCEPT管理人员可以预期渗透测试提供以下所有选项，除了：
• 题库：The Trusted Computer Security Evaluation Criteria (TCSEC) provides: 可信计算机安全评估准则（TCSEC）提供什么？
• 题库：Which penetration testing type gives the analyst only partial knowledge of the target network? 哪种渗透测试让分析人员只掌握目标网络的部分信息？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M029 Auditing / 审计

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：缩写/英文题眼、题库高频。
• 别名/题眼：Auditing、审计。
• 来源：章节术语 1；题库反推 13；官方练习 0；题库命中 13。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 13 次，后面要拿题目反推记忆卡。

小白先看：

• 审计不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 Auditing，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Auditing，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control review 看审计。
• 看到 Auditing，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：审计不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 Auditing，先问它是在解决哪件事，再按题目最后一...
• 题库：What Distributed Computing Environment (DCE) component provides a mechanism to ensure that services are made available only to properly designated pa...
• 题库：Which choice below would NOT be considered an element of proper user account management? 以下哪一选项不是合适用户账户管理的元素？
• 题库：A reference monitor is a system component that enforces access controls on an object. Specifically, the reference monitor concept is an abstract mach...
• 题库：Which of the following is NOT an example of an operational control? 下列哪项不是操作类控制的例子？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M030 Authorization / 授权

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：Authorization、授权。
• 来源：章节术语 1；题库反推 23；官方练习 0；题库命中 23。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 23 次，后面要拿题目反推记忆卡。

小白先看：

• 授权不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authorization，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Authorization，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 Authorization，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：授权不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authorization，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：Non-Discretionary Access Control. A central authority determines what subjects can have access to certain objects based on the organizational securit...
• 题库：In what security mode can a system be operating if all users have the clearance or authorization and need-to-know to all data processed within the sy...
• 题库：A reference monitor is a system component that enforces access controls on an object. Specifically, the reference monitor concept is an abstract mach...
• 题库：Which choice is the BEST description of authentication as opposed to authorization?与授权相反，以下哪一选项最能描述身份验证?

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M031 Encryption / 加密

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、缩写/英文题眼、题库高频。
• 别名/题眼：Encryption、加密。
• 来源：章节术语 1；题库反推 68；官方练习 0；题库命中 68。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 68 次，后面要拿题目反推记忆卡。

小白先看：

• 加密不要只背中文名。放回现实里看：假设公司要保存用户密码、传输客户资料、确认合同有没有被改、证明消息是谁发的、确认网站证书是否可信。每个目标都不一样，不能看到算法名就直接选。 比如：加密主要让别人看不懂内容。 所以考试看到 Encryption，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Encryption，不要先套通用模板。先按“密码、哈希、签名与证书”判断：问保密看加密。 问验改动看哈希或消息摘要。 问来源和不可否认看数字签名。 问身份和公钥绑定看证书/PKI。
• 看到 Encryption，不要先套通用模板
• 先按“密码、哈希、签名与证书”判断：问保密看加密
• 问验改动看哈希或消息摘要

来源证据：

• 术语表：加密不要只背中文名。放回现实里看：假设公司要保存用户密码、传输客户资料、确认合同有没有被改、证明消息是谁发的、确认网站证书是否可信。每个目标都不一样，不能看到算法名就直接选。 比如：加密主要让别人看不懂内容。 所以考试看到 Encryption，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：Making sure that the data is accessible when and where it is needed is which of the following?确保在何时何地都能访问数据是下列哪一项？
• 题库：The primary purpose for using one-way hashing of user passwords within a password file is which of the following?在密码文件中使用用户密码的单向散列的主要目的是以下哪个？
• 题库：Encryption is applicable to all of the following OSI/ISO layers except: 加密适用于以下所有OSI/ISO层，除了：
• 题库：Which of the following elements is not included in a Public Key Infrastructure (PKI)?下列哪个元素不包括在公钥基础设施(PKI)中?

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M032 IDS / 入侵检测系统 IDS

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：IDS、入侵检测系统 IDS。
• 来源：章节术语 1；题库反推 47；官方练习 0；题库命中 47。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 47 次，后面要拿题目反推记忆卡。

小白先看：

• 入侵检测系统 IDS不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 IDS，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 IDS，不要先套通用模板。先按“网络、通信与边界”判断：先找源头、目标、协议、端口和边界。 再看题目问过滤、隧道、加密、认证、分段还是检测。 最后选最贴路径的控制。
• 看到 IDS，不要先套通用模板
• 再看题目问过滤、隧道、加密、认证、分段还是检测
• 最后选最贴路径的控制

来源证据：

• 术语表：入侵检测系统 IDS不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 IDS，先问它是在解决哪件事，再按题...
• 题库：Which of the following questions is less likely to help in assessing identification and authentication controls?以下哪一问题不太可能对评估鉴定和认证控制有帮助？
• 题库：Intrusion detection has which of the following sets of characteristics?入侵检测具有下列哪组特征？
• 题库：Which of the following best describes the Secure Electronic Transaction (SET) protocol?以下哪项最能描述安全电子交易(SET)协议?
• 题库：What is a Land attack and what type of IDS can identify it based on its pattern and not behavior?什么是Land攻击，什么类型的入侵检测系统可以基于样本而不是行为去识别它？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M033 IPS / 入侵防御系统 IPS

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：IPS、入侵防御系统 IPS。
• 来源：章节术语 1；题库反推 34；官方练习 0；题库命中 34。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 34 次，后面要拿题目反推记忆卡。

小白先看：

• 入侵防御系统 IPS不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 IPS，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 IPS，不要先套通用模板。先按“网络、通信与边界”判断：先找源头、目标、协议、端口和边界。 再看题目问过滤、隧道、加密、认证、分段还是检测。 最后选最贴路径的控制。
• 看到 IPS，不要先套通用模板
• 再看题目问过滤、隧道、加密、认证、分段还是检测
• 最后选最贴路径的控制

来源证据：

• 术语表：入侵防御系统 IPS不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 IPS，先问它是在解决哪件事，再按题...
• 题库：A new employee is given a laptop computer with full administrator access. This employee does not have a personal computer at home and has a child tha...
• 题库：A recent information security risk assessment identified weak system access controls on mobile devices as a high risk. In order to address this risk...
• 题库：To comply with industry requirements, a security assessment on the cloud server should identify which protocols and weaknesses are being exposed to a...
• 题库：he security organization is loading for a solution that could help them determine with a strong level of confident that attackers have breached their...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M034 MFA / 多因素认证

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：MFA、多因素认证。
• 来源：章节术语 1；题库反推 17；官方练习 0；题库命中 17。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 17 次，后面要拿题目反推记忆卡。

小白先看：

• 多因素认证不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 MFA，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 MFA，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 MFA，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：多因素认证不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 MFA，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：Which of the following measures serves as the BEST means for protecting data on computers, smartphones, and external storage devices when traveling t...
• 题库：A hospital has allowed virtual private networking (VPN) access to remote database developers. Upon auditing the internal firewall configuration, the...
• 题库：A recent information security risk assessment identified weak system access controls on mobile devices as a high risk. In order to address this risk...
• 题库：An information security professional is reviewing user access controls on a customer-facing application. The application must have multi-factor authe...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M035 OSI / OSI 模型

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、题库高频。
• 别名/题眼：OSI、OSI 模型。
• 来源：章节术语 1；题库反推 52；官方练习 0；题库命中 52。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 52 次，后面要拿题目反推记忆卡。

小白先看：

• OSI 模型把网络通信拆成七层，方便定位问题发生在哪里。比如网线信号是物理层，MAC 和交换是数据链路层，IP 路由是网络层，端口和 TCP/UDP 是传输层，网页和 DNS 更靠应用层。它是定位语言，不是某个设备本身。

考题信号：

• 网络题看到 protocol、device、attack layer，先判断它在哪一层，再选答案。
• 网络题看到 protocol、device、attack layer，先判断它在哪一层，再选答案
• 题目问 not a defined layer in TCP/IP，就选 Session layer。 做题时只问一件事：哪个选项能解释“Which of the following is not a defined layer in the TCP/IP protocol model? 下列哪一选项不是 TCP / IP 协议模型定义的层?”。
• 题目问 encryption applicable to OSI layers EXCEPT，就选 Physical layer。 做题时只问一件事：哪个选项能解释“Encryption is applicable to all of the following OSI/ISO layers except: 加密适用于以下所有 OSI/ISO 层，除了：”。

来源证据：

• 术语表：OSI 模型把网络通信拆成七层，方便定位问题发生在哪里。比如网线信号是物理层，MAC 和交换是数据链路层，IP 路由是网络层，端口和 TCP/UDP 是传输层，网页和 DNS 更靠应用层。它是定位语言，不是某个设备本身。
• 题库：Which of the following is not a defined layer in the TCP/IP protocol model? 下列哪一选项不是TCP / IP协议模型定义的层?
• 题库：Encryption is applicable to all of the following OSI/ISO layers except: 加密适用于以下所有OSI/ISO层，除了：
• 题库：Which of the choices below is NOT an OSI reference model Session Layer protocol, standard, or interface? 以下哪一选项不是OSI参考模型会话层协议，标准或接口？
• 题库：Which of the following best describes the Secure Electronic Transaction (SET) protocol?以下哪项最能描述安全电子交易(SET)协议?

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M036 Security Boundary / 安全边界

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：Security Boundary、安全边界。
• 来源：章节术语 1；章节学习单元 1；题库反推 10；官方练习 0；题库命中 10。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 10 次，后面要拿题目反推记忆卡。

小白先看：

• 安全边界不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Security Boundary，先问它是在解决哪件事，再按题目最后一句判断。
• 小林的程序员发现系统里有一个漏洞，却决定先发布产品，心里想：“只要没人发现这个洞，就没事。” 这听起来像保护，其实不是。因为一旦别人发现漏洞，就可以利用；系统并没有真正阻止访问或攻击。 这种做法叫 security through obscurity。换句话说：它是 digital hide and seek，只是把知识藏起来，希望别人找不到，并没有真正实...

考题信号：

• 看到 Security Boundary，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Security Boundary，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目是在问靠隐藏侥幸、加密内容，还是不同安全区域之间的边界

来源证据：

• 术语表：安全边界不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Security Boundary，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：不要靠侥幸隐藏：Obscurity、Encryption 与 Security Boundaries - security through obscurity 只是希望别人发现不了，并不是真保护；encryption 隐藏通信含义；security boundary 是不同安全需求区域的交界线，必须控制跨边界信息流。
• 题库：One reason an organization would consider a distributed application is:一个组织会考虑分布式应用的原因之一是：
• 题库：The existence of physical barriers, card and personal identification number (PIN) access systems, cameras, alarms, and security guards BEST describes...
• 题库：Which of the following is a correct feature of a virtual local area network (VLAN)?以下哪一项是虚拟局域网(VLAN)的正确特征？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M037 VPN / 虚拟专用网络 VPN

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：VPN、虚拟专用网络 VPN。
• 来源：章节术语 1；题库反推 66；官方练习 0；题库命中 66。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 66 次，后面要拿题目反推记忆卡。

小白先看：

• 虚拟专用网络 VPN不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 VPN，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 VPN，不要先套通用模板。先按“网络、通信与边界”判断：先找源头、目标、协议、端口和边界。 再看题目问过滤、隧道、加密、认证、分段还是检测。 最后选最贴路径的控制。
• 看到 VPN，不要先套通用模板
• 再看题目问过滤、隧道、加密、认证、分段还是检测
• 最后选最贴路径的控制

来源证据：

• 术语表：虚拟专用网络 VPN不要只背中文名。放回现实里看：假设客户访问网站，远程员工连 VPN，分支机构连总部数据库，服务器访问云服务。流量可能经过公网、无线、DMZ、防火墙、代理、路由器、交换机、内网和云边界。 比如：VPN 是公共网络上的受保护通道。 所以考试看到 VPN，先问它是在解决哪件事，再按题...
• 题库：Which of the following statements pertaining to VPN protocol standards is false?下列有关虚拟专用网VPN协议标准的陈述，哪个是错误的?
• 题库：In a wireless General Packet Radio Services (GPRS) Virtual Private Network (VPN) application, which of the following security protocols is commonly u...
• 题库：Which of the following is NOT a VPN remote computing protocol?下列哪一项不是VPN远程计算协议?
• 题库：A company must support legacy applications that use risky protocols such as plain-text passwords. Which option can reduce this network risk? 公司必须继续支持...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M038 audit / 审计

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：缩写/英文题眼、题库高频。
• 别名/题眼：audit、审计。
• 来源：章节术语 1；题库反推 75；官方练习 0；题库命中 75。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 75 次，后面要拿题目反推记忆卡。

小白先看：

• 审计不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 audit，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 audit，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control review 看审计。
• 看到 audit，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：审计不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 audit，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：What Distributed Computing Environment (DCE) component provides a mechanism to ensure that services are made available only to properly designated pa...
• 题库：Which choice below would NOT be considered an element of proper user account management? 以下哪一选项不是合适用户账户管理的元素？
• 题库：Which question is NOT true concerning Application Control?关于应用程序控制，哪一问题不是正确的?
• 题库：Which of the following is needed for System Accountability?如果要实现系统的可问责性，下面哪条是需要的？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M039 vulnerability scan / 漏洞扫描

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：缩写/英文题眼、题库高频。
• 别名/题眼：vulnerability scan、漏洞扫描。
• 来源：章节术语 1；题库反推 45；官方练习 0；题库命中 45。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 45 次，后面要拿题目反推记忆卡。

小白先看：

• 漏洞扫描不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 vulnerability scan，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 vulnerability scan，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control re...
• 看到 vulnerability scan，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：漏洞扫描不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 vulnerability scan，先问它是在解...
• 题库：The major benefit of information classification is to信息分类的主要好处
• 题库：An establish information technology (IT) consulting firm is considering acquiring a successful local startup. To gain a comprehensive understanding o...
• 题库：To minimize the vulnerabilities of a web-based application, which of the following FIRST actions will lock down the system and minimize the risk of a...
• 题库：在第三方漏洞扫描和安全测试期间，Danielle的雇主最近发现，为管理公司新部署和安装的嵌入式系统存在严重的远程访问漏洞。制造商已经停业，并且没有针对这类设备的补丁或更新。Danielle应该建议她的雇主如何处理这些数以百计且易受攻击的设备？During a third-party vulnera...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M040 Security Governance / 安全治理

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、容易混淆、缩写/英文题眼、责任边界。
• 别名/题眼：Security Governance、安全治理。
• 来源：章节术语 1；章节学习单元 6；补充资料 5；题库反推 2；官方练习 0；题库命中 2。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 6 次，说明它有上下文。
• 全局题库命中 2 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 想象公司不是只买几台防火墙，而是先决定安全到底谁负责、钱花在哪里、出了事谁批准处理。安全治理就是把这些责任、规则、监督方式写清楚。它回答的是公司层面的“谁拍板、谁负责、怎么检查”，不是某个工程师今天装什么工具。
• 想象小林的公司有官网、员工内网、办公室、机房和园区围栏。客户从 Internet 访问官网，员工在办公室处理订单，服务器放在机房里。 现在问题来了：公司到底要保护到哪里？是保护网站入口，还是保护内网，还是保护办公室大门和机房门禁？ 这就是 security perimeter 或 security boundary 要回答的问题。换句话说：先画出一条线，线...

考题信号：

• 题目出现 governance、senior management、policy、oversight、accountability 时，先想到高层责任和管理监督。不要直接跳到防火墙、扫描器或某个技术配置。
• 题目出现 governance、senior management、policy、oversight、accountability 时，先想到高层责任和管理监督
• 不要直接跳到防火墙、扫描器或某个技术配置
• 先看题目是在问边界在哪里、控制值不值得，还是谁从高层监督安全

来源证据：

• 术语表：想象公司不是只买几台防火墙，而是先决定安全到底谁负责、钱花在哪里、出了事谁批准处理。安全治理就是把这些责任、规则、监督方式写清楚。它回答的是公司层面的“谁拍板、谁负责、怎么检查”，不是某个工程师今天装什么工具。
• 学习单元：安全边界与治理开头：先划清哪里归公司负责 - 安全边界告诉公司对哪些网络、系统和场地负责；跨边界要有控制和警示，控制成本还要和被保护对象的价值相称；治理把安全责任提升到董事会或高管层面。
• 学习单元：安全治理：为什么不是 IT 自己管，而是全公司一起管 - 法律、监管、行业要求和框架会推动公司治理安全；安全治理给全公司方向、监督和管理方法，目标是减少停机和损失，也包括对第三方的外部监督。
• 学习单元：安全计划要持续使用：并购、剥离和裁撤时风险会升高 - 安全是持续过程，计划要具体、清楚、被维护并真正使用；治理要覆盖并购、剥离和治理委员会等组织流程，因为转型期容易出现泄露、丢数据、停机和 ROI 不足。
• 学习单元：离职收尾、收购成本与第三方评估 - 离职时要复查 NDA 和仍然有效的协议；收购硬件、软件、服务或供应商时，要把安全缺陷的长期修补成本算进 TCO，并用现场评估、文档交换和持续监控检查第三方。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M041 cost-effective / 成本效益

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：缩写/英文题眼、题库高频。
• 别名/题眼：cost-effective、成本效益。
• 来源：章节术语 1；题库反推 11；官方练习 0；题库命中 11。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 11 次，后面要拿题目反推记忆卡。

小白先看：

• 成本效益不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 cost-effective，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 cost-effective，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control review...
• 看到 cost-effective，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：成本效益不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 cost-effective，先问它是在解决哪件事...
• 题库：A small office is running WiFi 4 APs, and neighboring offices do not want to increase the throughput to associated devices. Which of the following is...
• 题库：An organization outgrew its internal data center and is evaluating third-party hosting facilities. In this evaluation, which of the following is a PR...
• 题库：A firm within the defense industry has been directed to comply with contractual requirements for encryption of a government client's Controlled Uncla...
• 题库：What does the result of Cost-Benefit Analysis (CBA) on new security initiatives provide? 新的安全计划的成本效益分析 (CBA) 的结果提供了什么？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M042 procedure / 程序

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：procedure、程序。
• 来源：章节术语 1；章节学习单元 1；题库反推 8；官方练习 0；题库命中 8。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 8 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 程序不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 procedure，先问它是在解决哪件事，再按题目最后一句判断。
• 小林要部署一台服务器。政策说要安全，标准说必须统一配置，基线说最低要求，但工程师还需要一步一步怎么做。 因为执行时不能靠猜，所以 procedure 或 SOP 要写 exact actions。 Procedure 是 detailed, step-by-step how-to document。换句话说：它告诉你实施某个机制、控制或方案时每一步怎么做。...

考题信号：

• 看到 procedure，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 procedure，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：程序不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 procedure，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：程序、文档分离与威胁建模引入 - 程序是一步一步的操作文档；文档分层便于按需分发和局部更新；威胁建模用来识别、分类和分析潜在威胁。
• 题库：A backup of all files that are new or modified since the last full backup is自从最后一次完全备份以后，备份所有新的或被修改过的文件是
• 题库：Which of the choices below is NOT an OSI reference model Session Layer protocol, standard, or interface? 以下哪一选项不是OSI参考模型会话层协议，标准或接口？
• 题库：Which integrity model defines a constrained data item, an integrity verification procedure and a transformation procedure?哪种完整性模型定义受约束的数据项、完整性验证程序和转换...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M043 due care / 应有谨慎

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：due care、应有谨慎。
• 来源：章节术语 1；题库反推 8；官方练习 0；题库命中 8。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 8 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 应有谨慎不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 due care，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 due care，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 due care，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：应有谨慎不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 due care，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：Due is not related to:“应有”与以下哪项不相关:
• 题库：The continual effort of making sure that the correct policies, procedures and standards are in place and being followed is described as what?不断努力确保有且...
• 题库：When an organization takes reasonable measures to ensure that it took precautions to protect its network and resources is called组织采取合理措施，以确保它采取预防措施来保...
• 题库：Jared plays a role in his company’s data classification system. In this role, he must practice due care when accessing data and ensure that the data...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M044 AAA / AAA 服务

• 优先级：P1 先做成完整记忆卡。
• 分类：章节术语。
• 知识类型：协议/技术名词、流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：AAA、AAA 服务。
• 来源：章节术语 1；题库反推 7；官方练习 0；题库命中 7。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 7 次，后面要拿题目反推记忆卡。

小白先看：

• AAA 服务不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 AAA，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 AAA，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 AAA，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 答案必须正面回答题干最后一句；只讲同一章另一个知识点的解释不合格。 做题时只问一件事：哪个选项能解释“以下哪种 AAA 协议是最常用的？ Which of the following AAA protocols is the most commonly used?”。

来源证据：

• 术语表：AAA 服务不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 AAA，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：以下哪种AAA协议是最常用的？Which of the following AAA protocols is the most commonly used?
• 题库：以下哪项是客户端服务器协议，旨在允许网络访问服务器，通过向中央服务器发送访问请求消息来验证远程用户？Which of the following is a client/server protocol designed to allow network access servers to auth...
• 题库：存储和生成密码、 提供日志记录和审计功能以及支持密码检入和检出都是什么类型系统的特征？
• 题库：Sally 的任务是为她的组织中的无线网络服务部署身份验证、授权和计费服务器，需要避免使用专有技术。她应该选择什么技术？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

P2 候选

CH01-M045 CIA Triad / CIA 三元组

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：容易混淆、模型/框架、流程/顺序、缩写/英文题眼。
• 别名/题眼：CIA Triad、CIA 三元组。
• 来源：章节术语 1；补充资料 1；题库反推 4；官方练习 0；题库命中 4。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 4 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• CIA 三元组不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比如：资料被不该看的人看到，叫机密性受损。 所以考试看到 CI...

考题信号：

• 看到 CIA Triad，不要先套通用模板。先按“安全目标：CIA 与扩展目标”判断：先把事故说成人话：泄露、被改、打不开、冒名，还是抵赖。 再看最后一句问的是安全目标，还是问控制措施。 问目标就选目标名；问办法才选对应工具或流程。
• 看到 CIA Triad，不要先套通用模板
• 再看最后一句问的是安全目标，还是问控制措施
• 问目标就选目标名

来源证据：

• 术语表：CIA 三元组不要只背中文名。放回现实里看：假设你开了一家公司，靠网站接订单。客户资料被别人拿走，是不该看的人看到了资料；订单金额从 1000 元被改成 10 元，是内容不可信了；网站打不开，是客户需要下单时用不了；别人冒充员工登录，是身份不真；员工批准过付款后说不是自己点的，是事后难以追责。 比...
• 补充资料：1.2.1 保密性 - 第 1 章实现安全治理的原则和策略 保密性 完整性 可用性 图 1.1 CIA 二元组 安全控制评估通常用千评价这三个核心信息安全原则的符合清况。对脆弱性和风险的评 估也基千它们对一个或多个 CIA 三元组原则的威胁。 1.2.1 保密性 CIA 三元组的第...
• 题库：Which of the following are objectives of an information systems security program?下列哪个是信息系统安全计划的目标?
• 题库：Business Continuity and Disaster Recovery Planning primarily addresses the: 业务连续性和灾难恢复计划主要解决的是
• 题库：What BEST describes the confidentiality, integrity, availability triad?哪一项最恰当地描述了机密性、完整性和可用性三要素？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M046 PASTA

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：模型/框架、流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：PASTA。
• 来源：章节术语 1；章节学习单元 2；题库反推 3；官方练习 0；题库命中 3。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 全局题库命中 3 次，后面要拿题目反推记忆卡。

小白先看：

• PASTA不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 PASTA，先问它是在解决哪件事，再按题目最后一句判断。
• 小林团队选择 PASTA 后，需要一步步走完目标、范围、分解、威胁、漏洞、攻击模拟和风险管理。 因为每一阶段都有交付物，所以 PASTA 不是随口讨论威胁，而是分阶段推进。 PASTA 阶段包括 DO、DTS、ADA、TA、WVA、AMS、RAM。换句话说：先明确目标和技术范围，再分解应用、分析威胁和漏洞，最后做攻击模拟与风险管理。 VAST 把 thre...

考题信号：

• 看到 PASTA，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 PASTA，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目是在问方法阶段、Agile 集成，还是威胁来源

来源证据：

• 术语表：PASTA不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 PASTA，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：PASTA 阶段、VAST、个人威胁与攻击图 - PASTA 分七阶段推进；VAST 把威胁和风险管理放入 Agile；个人、承包商、员工和伙伴关系恶化也可能成为威胁；下一步要画图分析攻击。
• 学习单元：复习题：第三方最低要求、PASTA 和系统分解 - 这一段练习第三方最低安全要求应基于现有安全政策；风险中心威胁建模是 PASTA；分解系统要找信任边界、数据流、输入点和特权操作。
• 题库：What should be used to determine the risks associated with using Software as a Service (SaaS) for collaboration and email?应使用什么来确定将软件即服务(SaaS)用于协作和电子...
• 题库：What is the threat modeling order using process for Attack simulation and threat analysis (PASTA)? 使用攻击模拟和威胁分析(PASTA)流程的威胁建模顺序是什么？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M047 Strategic Plan / 战略计划

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界、题库高频。
• 别名/题眼：Strategic Plan、战略计划。
• 来源：章节术语 1；题库反推 5；官方练习 0；题库命中 5。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 5 次，后面要拿题目反推记忆卡。

小白先看：

• 战略计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Strategic Plan，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Strategic Plan，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Strategic Plan，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 题目问 tactical security plans 最适合做什么，就选 Deploy new security technology。 做题时只问一件事：哪个选项能解释“What are tactical security plans BEST used for? 战术安全计划最适合用来做什么？”。

来源证据：

• 术语表：战略计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Strategic Plan，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：What are tactical security plans BEST used for? 战术安全计划最适合用来做什么？
• 题库：When MUST an organization's information security strategic plan be reviewed?何时必须审查组织的信息安全战略计划？
• 题库：Renee正在为她的组织设计长期安全计划，而且已经设计了一个三至五年的计划展望。她的主要目标是使安全功能与更广泛的业务计划和目标保持一致。她正在制定什么类型的计划？Renee is designing the long-term security plan for her organization...
• 题库：An organization's information security strategic plan MUST be reviewed 必须审查组织的信息安全战略计划

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M048 Data Hiding / 数据隐藏

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Data Hiding、数据隐藏。
• 来源：章节术语 1；章节学习单元 1；题库反推 3；官方练习 0；题库命中 3。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 3 次，后面要拿题目反推记忆卡。

小白先看：

• 数据隐藏不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Data Hiding，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司的普通应用需要读取一段管理员级数据，但他不想让普通应用直接碰管理员区域。 于是应用只能通过 system calls 请求 administrator-mode 服务。系统再根据请求者的 credentials 和 permissions 决定准不准。 这就是 abstraction 在安全里的一个样子。换句话说：主体不直接碰底层对象，而是通过受控...

考题信号：

• 看到 Data Hiding，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Data Hiding，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目是在问通过中介访问，还是在问把数据放到主体看不见、访问不到的位置

来源证据：

• 术语表：数据隐藏不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Data Hiding，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：抽象与数据隐藏：通过中介访问、分组授权和安全容器减少暴露 - 抽象让应用通过 system calls 请求服务，也让管理员给对象组分配权限；数据隐藏把对象放进主体看不见、访问不到的逻辑隔间，不等于单纯藏着不说。
• 题库：什么技术确保操作系统能给系统上每个应用程序分配单独使用的存储空间？
• 题库：什么进程为OSI模型的每一层接收到的数据添加一个头和尾？
• 题库：进行系统数据隐私保护第一步？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M049 SABSA

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：模型/框架、法律/合规、缩写/英文题眼、责任边界。
• 别名/题眼：SABSA。
• 来源：章节术语 1；章节学习单元 1；题库反推 4；官方练习 0；题库命中 4。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 4 次，后面要拿题目反推记忆卡。

小白先看：

• SABSA不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 SABSA，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司一边要配置服务器，一边要让 IT 安全支持业务目标，还要设计长期安全架构。 因为这三个问题层次不同，所以不能把 CIS、COBIT 和 SABSA 当成同一个东西。 CIS 提供 OS、application 和 hardware security configuration guides。换句话说：它更像具体配置基准，常和控制框架配合使用，但本段...

考题信号：

• 看到 SABSA，不要先套通用模板。先按“安全框架与标准”判断：看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。
• 看到 SABSA，不要先套通用模板
• 先按“安全框架与标准”判断：看到 COBIT 想 IT 治理
• 看到 SABSA 想业务驱动安全架构

来源证据：

• 术语表：SABSA不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 SABSA，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：CIS、COBIT 与 SABSA：配置基线、IT 治理和业务安全架构 - CIS Benchmarks 常和控制框架配合使用；COBIT 把 IT 安全目标映射到业务目标；SABSA 用风险驱动方式设计企业安全架构。
• 题库：能力成熟度模型集成(CMMI)方法在安全程序和企业发展中被频繁使用。以下哪一项不是该模型的特性?
• 题库：以下哪个是企业安全框架？ Which of the following is an enterprise security framework?
• 题库：Henry's organization wants to meet federal security standards for the cloud services it provides. What program should he investigate to meet this goa...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M050 Tactical Plan / 战术计划

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Tactical Plan、战术计划。
• 来源：章节术语 1；官方练习题 2；题库反推 2；官方练习 2；题库命中 2。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 官方练习碰到 2 次，说明它会被题目改写成场景。
• 全局题库命中 2 次，后面要拿题目反推记忆卡。

小白先看：

• 战术计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Tactical Plan，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Tactical Plan，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Tactical Plan，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。

来源证据：

• 术语表：战术计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Tactical Plan，先问它是在解决哪件事，再按题目最后一句判断。
• 官方题：蕾妮正在为其组织设计一项长期安全计划，规划周期为 3 到 5 年。她的主要目标是使安全职能与企业更广泛的计划和目标保持一致。她正在制定的是哪种类型的计划？
• 官方题：D. 战略计划的长期规划周期通常长达五年。其目的是使安全职能与业务目标在战略上保持一致。运营和战术计划的周期较短，为一年或更短。
• 题库：What are tactical security plans BEST used for? 战术安全计划最适合用来做什么？
• 题库：Renee正在为她的组织设计长期安全计划，而且已经设计了一个三至五年的计划展望。她的主要目标是使安全功能与更广泛的业务计划和目标保持一致。她正在制定什么类型的计划？Renee is designing the long-term security plan for her organization...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M051 guideline / 指南

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：guideline、指南。
• 来源：章节术语 1；章节学习单元 1；题库反推 2；官方练习 0；题库命中 2。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 2 次，后面要拿题目反推记忆卡。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 指南不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 guideline，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司想规定所有系统怎么安全配置。如果只写一句“系统要安全”，工程师不知道具体怎么做。 因为不同文档回答不同层次的问题，所以要把 policy、standard、baseline、guideline 分开。 Organizational security policy 管整个组织；issue-specific policy 管某个网络服务、部门或功能；s...

考题信号：

• 看到 guideline，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 guideline，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：指南不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 guideline，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：政策、标准、基线和指南：从大方向到具体要求 - 组织政策管全公司，专项政策管特定服务或部门，系统政策管具体系统；标准是强制统一要求，基线是最低安全水平，指南是灵活建议。
• 题库：Which of the following would be the BEST guideline to follow when attempting to avoid the exposure of sensitive data?在试图避免暴露敏感数据时，应遵循以下哪条最佳准则？
• 题库：准则（guideline）和规程（procedure）的特点是?

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M052 SCRM / 供应链风险管理

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：缩写/英文题眼。
• 别名/题眼：SCRM、供应链风险管理。
• 来源：章节术语 1；章节学习单元 2；补充资料 1；题库反推 2；官方练习 0；题库命中 2。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 全局题库命中 2 次，后面要拿题目反推记忆卡。

小白先看：

• 供应链风险管理不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 SCRM，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司选择云服务商和硬件供应商时，不能只问价格和功能。 因为供应商如果连自己内部运营都不安全，就很难给你的供应链提供可靠安全管理。 SCRM 要尽可能给 supply chain 每个实体建立 minimum security requirements。换句话说：新硬件、软件或服务的安全要求应该 meet or exceed 最终产品期望的安全。 这通常...

考题信号：

• 看到 SCRM，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control review 看审计。
• 看到 SCRM，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：供应链风险管理不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 SCRM，先问它是在解决哪件事，再按题目最后...
• 学习单元：SCRM 要求、SLA/SLR 与 silicon root of trust - 供应链每个实体都要有最低安全要求，合同和 SLA 要写明安全；SLR 先写客户期望；silicon root of trust 给系统启动和信任建立一个硬件基础。
• 学习单元：软件、应用与供应链 - 风险是从需求、设计、代码、输入、测试、部署、第三方组件还是供应商交付进入系统。
• 补充资料：第1章 实现安全治理的原则和策略 - 巅＿＿＿ 汰人== 芯心一心、心===-==立＾， 一 =、===== ＿＿、芯还配 实现安全治理的原则和策略 本章涵盖的 CISSP 认证考试主题包括： ✓ 域 1 安全与风险管理 • 1.2 理解和应用安全概念 • 1.2.1 保密性、完整性、可用性、真...
• 题库：What is the BEST reason to include supply chain risks in a corporate risk register?将供应链风险纳入企业风险登记册的最佳理由是什么？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M053 DREAD

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：模型/框架、流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：DREAD。
• 来源：章节术语 1；章节学习单元 2；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• DREAD不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 DREAD，先问它是在解决哪件事，再按题目最后一句判断。
• 小林团队想比较两个威胁哪个更严重。只说“很危险”太模糊，所以他们用一组问题来打分。 因为威胁严重度不只看伤害，还要看攻击是否容易重复、是否容易执行，所以 DREAD 把问题拆开。 DREAD 是 Damage、Reproducibility、Exploitability、Affected Users、Discoverability。换句话说：它从五个角度评...

考题信号：

• 看到 DREAD，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 DREAD，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目问的是 DREAD 的哪个问题

来源证据：

• 术语表：DREAD不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 DREAD，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：DREAD 上半：用五个问题给威胁打分 - DREAD 用 Damage、Reproducibility、Exploitability、Affected Users、Discoverability 五个问题衡量威胁；本段先解释伤害、复现难度和利用难度。
• 学习单元：云与共享责任 - 上云以后，云商负责什么，公司自己还要负责什么。
• 题库：应用程序威胁建模中使用什么类型图表来描述恶意用户、缓解和威胁等？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M054 Operational Plan / 运营计划

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Operational Plan、运营计划。
• 来源：章节术语 1；章节学习单元 2；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• 运营计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Operational Plan，先问它是在解决哪件事，再按题目最后一句判断。
• 想象小林的公司要在几年内把线上业务做大。安全团队不能只写一句“保护系统安全”，也不能只写今天谁去改配置。 公司既需要长期方向，也需要一年内的项目安排，还需要这个月具体谁做什么。 这就是 strategic plan、tactical plan、operational plan 三类安全计划。换句话说：战略计划回答往哪里走，战术计划回答这一年怎么推进，运营计...

考题信号：

• 看到 Operational Plan，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Operational Plan，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目给的是时间尺度、细节程度，还是例子类型

来源证据：

• 术语表：运营计划不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Operational Plan，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：三类安全计划：长期定方向，中期排项目，短期写步骤 - 战略计划长期稳定，定义安全目的并对齐组织目标；战术计划把战略目标拆成一年左右的项目、预算、招聘和维护安排；运营计划短期详细到资源、人员、时间表和步骤。
• 学习单元：学习要点：业务案例、三类计划、文档结构、谨慎、威胁建模和 SCRM - 这一段复习安全规划如何对齐业务，business case 为什么存在，三类计划怎么分，文档层级怎么分，due diligence/due care、威胁建模和 SCRM 怎么判断。
• 题库：Which plan focuses on sustaining an organization's business functions during and after a disruption? 哪种计划关注在中断期间和中断之后维持组织的业务功能？

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M055 third-party governance / 第三方治理

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：third-party governance、第三方治理。
• 来源：章节术语 1；章节学习单元 2；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 2 次，说明它有上下文。

小白先看：

• 第三方治理不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 third-party governance，先问它是在解决哪件事，再按题目最后一句判断。
• 小林的公司把几件事外包了：保安公司看大门，维修公司维护设备，技术支持公司远程排障，会计公司处理账务。 这些人不是公司员工，但他们可能接触办公室、设备、系统、账号、账务资料或客户资料。 为什么外包会变成安全问题？因为工作可以外包，风险不会自动消失。第三方如果不按你的安全规则做，它就会给你的公司带来 additional risks and vulnerabi...

考题信号：

• 看到 third-party governance，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 third-party governance，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：第三方治理不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 third-party governance，先问它是在解...
• 学习单元：第三方治理：外包可以，责任和证据不能外包 - 公司依赖保安、维修、技术支持、会计等第三方时，要验证它们是否满足安全目标、法规、合同和要求；文档交换、文档审查和现场评估是为了减少未知要求和不现实期待。
• 学习单元：云与共享责任 - 上云以后，云商负责什么，公司自己还要负责什么。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M056 threat hunting / 威胁狩猎

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：缩写/英文题眼。
• 别名/题眼：threat hunting、威胁狩猎。
• 来源：章节术语 1；章节学习单元 1；题库反推 2；官方练习 0；题库命中 2。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 2 次，后面要拿题目反推记忆卡。

小白先看：

• 威胁狩猎不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 threat hunting，先问它是在解决哪件事，再按题目最后一句判断。
• 小林做到 STRIDE 题：confidential documents exposed to unauthorized entities。 因为这是机密文件被未授权实体看到，所以在 STRIDE 里不是 spoofing，也不是 tampering，而是 Information disclosure。 Information disclosure 的字母...

考题信号：

• 看到 threat hunting，不要先套通用模板。先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估。 问 known weakness/missing patch 看漏洞评估。 问 simulate attacker/exploit 看渗透测试。 问 evidence/control review...
• 看到 threat hunting，不要先套通用模板
• 先按“风险、评估与审计”判断：问 impact/likelihood/asset value 看风险评估
• 问 known weakness/missing patch 看漏洞评估

来源证据：

• 术语表：威胁狩猎不要只背中文名。放回现实里看：假设公司有支付系统、客户数据库、员工后台和供应商接口。老板关心哪个坏了最痛，工程师关心哪里没打补丁，安全团队关心能不能真的进后台，审计员关心有没有审批、日志和证据。 比如：风险评估支持管理决策。 所以考试看到 threat hunting，先问它是在解决哪件事...
• 学习单元：复习题：政策文档、STRIDE 信息泄露和主动威胁建模 - 这一段练习文档匹配、STRIDE 中信息泄露对应 I，以及开发早期分析漏洞威胁风险属于 proactive threat modeling。
• 题库：Patrick负责为其组织实施威胁追踪计划。以下哪项是他在计划工作时应该使用的威胁追踪计划的基本假设？Patrick was charged with implementing a threat hunting program for his organization. Which one of...
• 题库：Darren正在进行威胁猎猎训练，并希望寻找僵户网络入侵的迹象。以下哪些是攻击者利用僵尸网络的常见方式？(选择所有适用的选项）Darren is conducting a threat hunting exercise and would like to look for botnet indic...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M057 Layering / 分层

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Layering、分层。
• 来源：章节术语 1；补充资料 1；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• 分层不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Layering，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Layering，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Layering，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 看到 more than two execution domains or privilege levels，就选 Ring Architecture。 做题时只问一件事：哪个选项能解释“Which of the following is the PRIMARY mechanism used to limit the range of objects av...

来源证据：

• 术语表：分层不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Layering，先问它是在解决哪件事，再按题目最后一句判断。
• 补充资料：1.2.5 保护机制 - CISSP 官方学习手册（第 9 版） 们的行为负责时，才能保持安全性。有效的问责制依赖千检验主体身份及追踪其活动的能力。 通过安全服务和审计、身份认证、授权和身份标识等机制，将人员与在线身份的活动联系起 来，进而建立问责制。因此，人员的问责制最终取决千身份...
• 题库：Which of the following is the PRIMARY mechanism used to limit the range of objects available to a given subject within different execution domains? 以...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M058 Abstraction / 抽象

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Abstraction、抽象。
• 来源：章节术语 1；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• 抽象不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Abstraction，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 Abstraction，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Abstraction，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 看到 northbound API 和 application developers，就选 familiar syntax、abstraction of network topology、abstraction of network protocols。 做题时只问一件事：哪个选项能解释“What are the three key benefits th...

来源证据：

• 术语表：抽象不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Abstraction，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：What are the three key benefits that application developers should derive from the northbound application programming interface (API) of software def...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M059 Senior Manager / 高级管理者

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：Senior Manager、高级管理者。
• 来源：章节术语 1；章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 高级管理者不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Senior Manager，先问它是在解决哪件事，再按题目最后一句判断。
• 小林公司要发布安全政策。工程师能配置系统，安全团队能写控制，但最终谁为安全成功或失败负责？ 因为安全会影响资产、财务和法律责任，所以最终负责人是 senior manager，不是具体配置系统的人。 Senior Manager 是 organizational owner。换句话说：他要批准所有安全政策问题，并对安全方案的整体成败负责。 Security...

考题信号：

• 看到 Senior Manager，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 Senior Manager，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目问最终批准、功能执行、分类要求，还是具体保护任务

来源证据：

• 术语表：高级管理者不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 Senior Manager，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：六类安全角色上半：高管、专业人员、资产所有者、保管人 - 高管最终负责并批准政策；安全专业人员按高管指令写和实施政策；资产所有者决定分类和保护；保管人执行具体保护任务。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M060 business strategy / 业务战略对齐

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：business strategy、业务战略对齐。
• 来源：章节术语 1；章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 业务战略对齐不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 business strategy，先问它是在解决哪件事，再按题目最后一句判断。
• 想象小林的公司今年目标是扩大线上销售，同时预算很紧，人手也不够。 安全团队想做很多事：买新工具、做培训、改登录、加强监控、重写政策。每件事听起来都对，但公司不可能同时做完。 这就是 security management planning 要处理的问题。换句话说：它负责正确创建、实施和执行 security policy，并把 security funct...

考题信号：

• 看到 business strategy，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 business strategy，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法
• 先看题目是在问安全计划为什么要做、资源怎么取舍，还是谁从上往下定政策

来源证据：

• 术语表：业务战略对齐不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 business strategy，先问它是在解决哪件事，再按题目最后一句判断。
• 学习单元：安全职能与业务战略对齐：安全计划要服务公司目标 - 安全管理规划负责创建、实施和执行安全政策；它要把安全职能对齐公司的战略、目标、使命和资源限制，并用自上而下方式让高层定方向、各层执行。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M061 policy / 政策

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：容易混淆、流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：政策。
• 来源：章节术语 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• 政策不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 policy，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 policy，不要先套通用模板。先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险。 问文件层级，就分政策、标准、程序、指南。 问 first/best，通常先定范围、责任、管理支持或风险评估，再选工具。
• 看到 policy，不要先套通用模板
• 先按“治理、责任与政策”判断：问谁负责，就看谁拥有业务、数据或风险
• 问文件层级，就分政策、标准、程序、指南

来源证据：

• 术语表：政策不要只背中文名。放回现实里看：假设公司要保护客户资料、支付系统、供应商访问和员工账号。技术人员可以执行控制，但风险能不能接受、预算怎么给、规则怎么写，不能只由技术人员自己决定。 比如：管理层批准安全目标和风险接受。 所以考试看到 policy，先问它是在解决哪件事，再按题目最后一句判断。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M062 security control frameworks / 安全控制框架

• 优先级：P2 第二批打磨。
• 分类：章节术语。
• 知识类型：模型/框架、法律/合规、缩写/英文题眼、责任边界。
• 别名/题眼：security control frameworks、安全控制框架。
• 来源：章节术语 1；章节学习单元 1；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• 安全控制框架不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 security control frameworks，先问它是在解决哪件事，再按题目最后一句判断。
• 标题：《人员安全：入职、在职、离职》 这页在讲什么： 这页在讲：员工、外包人员和访客在进入公司、使用系统、离开公司时，权限和责任怎么处理。 现实里怎么发生： 假设公司招聘客服、开发人员和系统管理员。入职前要做背景调查，看岗位是否适合；在职时要培训、签署保密协议、按岗位给权限；离职时要收回门禁卡、设备、账号、令牌和密钥，避免离职人员继续访问系统或带走资料。...

考题信号：

• 看到 security control frameworks，不要先套通用模板。先按“安全框架与标准”判断：看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。
• 看到 security control frameworks，不要先套通用模板
• 先按“安全框架与标准”判断：看到 COBIT 想 IT 治理
• 看到 SABSA 想业务驱动安全架构

来源证据：

• 术语表：安全控制框架不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 security control frameworks，先问它是在解决...
• 学习单元：人员安全：入职、在职、离职 - 员工、外包人员和访客在进入公司、使用系统、离开公司时，权限和责任怎么处理。
• 题库：Robert负责保护处理信用卡信息的系统安全。以下哪个安全控制框架可以指导他的行动？Robert is responsible for securing systems used to process credit card information. What security control f...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

P3 候选

CH01-M063 DAD Triad / DAD 三元组

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：容易混淆、模型/框架、缩写/英文题眼。
• 别名/题眼：DAD Triad、DAD 三元组。
• 来源：章节术语 1；补充资料 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 文本里出现区分、不要、不是、而是这类信号，容易和相邻概念混。

小白先看：

• DAD 是 CIA 的反面，表示安全坏掉的三种结果。Disclosure 是秘密被看见，Alteration 是内容被改，Destruction 是系统或数据被破坏到不能用。先看坏事，再反推它伤到了 CIA 哪一项。

考题信号：

• 题目用 DAD 说事故时，披露对应机密性，篡改对应完整性，破坏对应可用性。
• 题目用 DAD 说事故时，披露对应机密性，篡改对应完整性，破坏对应可用性

来源证据：

• 术语表：DAD 是 CIA 的反面，表示安全坏掉的三种结果。Disclosure 是秘密被看见，Alteration 是内容被改，Destruction 是系统或数据被破坏到不能用。先看坏事，再反推它伤到了 CIA 哪一项。
• 补充资料：1.2.4 DAD、过度保护、真实性、不可否认性和AAA服务 - 第 1 章实现安全治理的原则和策略 要在系统上维护可用性，就必须有适当的控制措施以确保授权的访问和可接受的性能水 平，以快速处理通信的中断，提供冗余，维护可靠的备份，并防止数据丢失或受损。 可用性面临的威胁有很多。这些威胁包括设备故障、软件错误和环境问题（过...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M064 Authorization to Operate / 运行授权 ATO

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：协议/技术名词、模型/框架、缩写/英文题眼、责任边界。
• 别名/题眼：Authorization to Operate、运行授权 ATO。
• 来源：章节术语 1；章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 运行授权 ATO不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authorization to Operate，先问它是在解决哪件事，再按题目最后一句判断。
• 标题：《人员安全：入职、在职、离职》 这页在讲什么： 这页在讲：员工、外包人员和访客在进入公司、使用系统、离开公司时，权限和责任怎么处理。 现实里怎么发生： 假设公司招聘客服、开发人员和系统管理员。入职前要做背景调查，看岗位是否适合；在职时要培训、签署保密协议、按岗位给权限；离职时要收回门禁卡、设备、账号、令牌和密钥，避免离职人员继续访问系统或带走资料。...

考题信号：

• 看到 Authorization to Operate，不要先套通用模板。先按“身份、认证、授权与访问控制”判断：问证明身份看认证。 问能访问什么看授权。 问权限模型看 RBAC、ABAC、DAC、MAC。 问事后追责看日志、审计和记账。
• 看到 Authorization to Operate，不要先套通用模板
• 先按“身份、认证、授权与访问控制”判断：问证明身份看认证
• 问能访问什么看授权

来源证据：

• 术语表：运行授权 ATO不要只背中文名。放回现实里看：假设员工要进入订单后台。系统先知道他声称自己是谁，再用密码、MFA、证书或生物特征证明身份，然后决定他能不能看客户资料、改订单或管理账号，最后留下日志。 比如：识别是报名字。 所以考试看到 Authorization to Operate，先问它是在解...
• 学习单元：人员安全：入职、在职、离职 - 员工、外包人员和访客在进入公司、使用系统、离开公司时，权限和责任怎么处理。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M065 FedRAMP

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：模型/框架、法律/合规、缩写/英文题眼、责任边界。
• 别名/题眼：FedRAMP。
• 来源：章节术语 1；题库反推 1；官方练习 0；题库命中 1。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 全局题库命中 1 次，后面要拿题目反推记忆卡。

小白先看：

• FedRAMP不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 FedRAMP，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 FedRAMP，不要先套通用模板。先按“安全框架与标准”判断：看到 COBIT 想 IT 治理。 看到 SABSA 想业务驱动安全架构。 看到 PCI DSS 想支付卡。 看到 FedRAMP 想联邦云。 看到 ISO/NIST/ITIL 分别看管理体系、指南和服务管理。
• 看到 FedRAMP，不要先套通用模板
• 先按“安全框架与标准”判断：看到 COBIT 想 IT 治理
• 看到 SABSA 想业务驱动安全架构

来源证据：

• 术语表：FedRAMP不要只背中文名。放回现实里看：假设公司要建设安全体系、管理 IT、设计安全架构、处理支付卡、给政府云服务做授权或改进 IT 服务。每个框架回答的问题不同。 比如：COBIT 偏 IT 治理和控制目标。 所以考试看到 FedRAMP，先问它是在解决哪件事，再按题目最后一句判断。
• 题库：Henry's organization wants to meet federal security standards for the cloud services it provides. What program should he investigate to meet this goa...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M066 Security 101 / 安全是什么

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：缩写/英文题眼。
• 别名/题眼：Security 101、安全是什么。
• 来源：章节术语 1；章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。
• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 先把安全理解成公司正常运转的保护办法。网站要能接订单，客户资料不能乱给别人，收款金额不能被改，员工账号不能被冒用。安全不是让电脑看起来专业，而是让业务不会因为系统出事而停摆、亏钱、违法或丢客户。
• 小林开了一家网店，网站负责接订单，库存系统负责扣库存，支付系统负责收钱，客户资料负责售后。 这些系统看起来都是电脑和软件，所以小林一开始以为：安全就是 IT 同事装防火墙、修电脑、买工具。 后来有人偷走客户资料，又有人尝试破坏网站。因为网站停了就没有订单，因为客户资料丢了就可能被投诉、罚款、丢客户，所以这已经不是“电脑好不好用”的问题，而是公司还能不能继续...

考题信号：

• 管理类题问安全为什么重要时，先看业务后果：停业、赔钱、罚款、丢客户、合同违约。只讲工具通常太窄。
• 管理类题问安全为什么重要时，先看业务后果：停业、赔钱、罚款、丢客户、合同违约
• 先把题目翻译成一个业务问题：系统出事会不会影响组织继续存在、继续运营、完成目标
• 题目说 security is a business management issue -> 想到安全保护组织运营，不只是 IT 工具 -> 选 business management

来源证据：

• 术语表：先把安全理解成公司正常运转的保护办法。网站要能接订单，客户资料不能乱给别人，收款金额不能被改，员工账号不能被冒用。安全不是让电脑看起来专业，而是让业务不会因为系统出事而停摆、亏钱、违法或丢客户。
• 学习单元：安全是什么：为什么安全是业务管理问题 - IT/IS 让业务系统能跑，Security 让这些系统在被偷数据、被破坏或被攻击时仍然可靠、受保护地支持公司目标。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M067 asset / 资产

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：待补别名。
• 来源：章节术语 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。

小白先看：

• 资产不要只背中文名。放回现实里看：假设公司有客户资料、订单记录、源代码、备份磁带、旧硬盘、纸质合同和系统账号。这些都可能带来业务价值、法律责任或泄露风险。 比如：数据所有者决定分类和保护要求。 所以考试看到 asset，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 asset，不要先套通用模板。先按“资产、数据与生命周期”判断：先看这是哪类资产或数据。 再看 owner/custodian/steward 谁负责什么。 最后看创建、使用、传输、保存、归档、清除或销毁。
• 看到 asset，不要先套通用模板

来源证据：

• 术语表：资产不要只背中文名。放回现实里看：假设公司有客户资料、订单记录、源代码、备份磁带、旧硬盘、纸质合同和系统账号。这些都可能带来业务价值、法律责任或泄露风险。 比如：数据所有者决定分类和保护要求。 所以考试看到 asset，先问它是在解决哪件事，再按题目最后一句判断。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M068 containment / 遏制

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：containment、遏制。
• 来源：章节术语 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。

小白先看：

• 遏制不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 containment，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 containment，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 containment，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法

来源证据：

• 术语表：遏制不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 containment，先问它是在解决哪件事，再按题目最后一句判断。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M069 log / 日志

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：流程/顺序、缩写/英文题眼、责任边界。
• 别名/题眼：日志。
• 来源：章节术语 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。

小白先看：

• 日志不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 log，先问它是在解决哪件事，再按题目最后一句判断。

考题信号：

• 看到 log，不要先套通用模板。先按“当前知识点”判断：先看标题。 再看题干里谁做了什么。 最后看问定义、目的、顺序、责任还是办法。
• 看到 log，不要先套通用模板
• 最后看问定义、目的、顺序、责任还是办法

来源证据：

• 术语表：日志不要只背中文名。放回现实里看：假设你看到一个新安全词。先不要急着背定义，先问它在保护什么，怕什么坏事，谁负责，坏了会造成什么损失，题目最后一句要你回答什么。 比如：它可能在讲事故类型。 所以考试看到 log，先问它是在解决哪件事，再按题目最后一句判断。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M070 legally defensible / 法律可辩护

• 优先级：P3 候选保留，后面再筛。
• 分类：章节术语。
• 知识类型：协议/技术名词、法律/合规、缩写/英文题眼。
• 别名/题眼：legally defensible、法律可辩护。
• 来源：章节术语 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节术语表单独列出，说明它不是路过的词。

小白先看：

• 法律可辩护不要只背中文名。放回现实里看：假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 比如：客户要求删除个人资料，要看适用隐私法和保留义务。 所以考试看到 legally defensible，先问它是在解决哪...

考题信号：

• 看到 legally defensible，不要先套通用模板。先按“法律、隐私与合规”判断：题目问法规或隐私权，先看数据类型和地区。 题目问证据，先看完整性、保管链和授权。 题目问知识产权，先分版权、商标、专利和商业秘密。
• 看到 legally defensible，不要先套通用模板
• 先按“法律、隐私与合规”判断：题目问法规或隐私权，先看数据类型和地区
• 题目问证据，先看完整性、保管链和授权

来源证据：

• 术语表：法律可辩护不要只背中文名。放回现实里看：假设公司保存客户资料、员工记录、支付卡信息和调查日志。技术上可能能导出、查看、删除或交给别人，但能做到不等于能合法这样做。要先看法律依据、客户同意、合同要求、数据保留期限、取证要求和跨境限制。 比如：客户要求删除个人资料，要看适用隐私法和保留义务。 所以考试...

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M071 威胁排序：概率乘伤害与高/中/低热力图

• 优先级：P3 候选保留，后面再筛。
• 分类：章节学习单元。
• 知识类型：流程/顺序、缩写/英文题眼。
• 别名/题眼：威胁排序：概率乘伤害与高/中/低热力图。
• 来源：章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 小林团队列出十几个威胁：有的很可能发生但伤害小，有的不常发生但伤害大。 因为安全资源有限，所以团队要先知道哪个 threat 最该优先处理。 Probability x Damage Potential 是一种排序办法。换句话说：给发生概率和伤害潜力各打 1 到 10 分，相乘得到 1 到 100 的 severity number。 这些分数会有主观性，...

考题信号：

• 先看题目是在问数字评分，还是高/中/低矩阵
• 题目说 probability times damage potential -> 想到风险严重度数字 -> 选 Probability x Damage Potential
• 题目说 1 to 100 scale -> 想到相乘评分 -> 选 相乘评分
• 题目说 green/yellow/red or nine squares -> 想到 risk matrix/heat map -> 选 risk matrix/heat map

来源证据：

• 学习单元：威胁排序：概率乘伤害与高/中/低热力图 - 威胁记录完后要排序；Probability x Damage Potential 用数字比较严重度；高/中/低矩阵用概率和伤害把威胁放进优先级格子。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。

CH01-M072 安全供应链：最终产品为什么可能被上游污染

• 优先级：P3 候选保留，后面再筛。
• 分类：章节学习单元。
• 知识类型：模型/框架、缩写/英文题眼。
• 别名/题眼：安全供应链：最终产品为什么可能被上游污染。
• 来源：章节学习单元 1；官方练习 0；题库命中 0。

为什么值得背：

• 章节学习单元讲了 1 次，说明它有上下文。

小白先看：

• 小林公司采购一批网络设备。设备能开机、功能也正常，但这不代表里面没有被动过手脚。 因为最终产品由很多上游材料、硬件、固件、软件和服务组成，所以任何一个环节被污染，最终产品都可能受影响。 Secure supply chain 的目标是 finished product 质量足够、满足性能和运营目标，并提供声明的安全机制。换句话说：整个过程中不能有 unau...

考题信号：

• 先看题目是在问最终产品质量、供应链污染，还是交付延迟
• 题目说 finished product meets security mechanisms -> 想到 secure supply chain -> 选 secure supply chain
• 题目说 trusted source but asset poisoned -> 想到 supply chain threat vector -> 选 supply chain threat vector
• 题目说 just-in-time and no surplus -> 想到供应链中断风险 -> 选 供应链中断风险

来源证据：

• 学习单元：安全供应链：最终产品为什么可能被上游污染 - 供应链目标是最终产品质量、性能和安全机制都可信；供应链可能被篡改、造假、植入或延迟，甚至在硬件、固件、软件里留下远程访问或监听机制。

后续记忆卡怎么写：

• 真正要背什么：从上面证据里提 2 到 5 个点，不把整段教材搬进来。
• 关键词拆解：先拆英文题眼，再拆中文场景，再拆容易错选的干扰项。
• 谐音候选池：先列多个候选，写淘汰理由，不能直接拍一个词。
• 小白故事：用一个现实场景把关键词串起来，最后能回到题目。