【新书速递】CSO进阶之路首次曝光

 

2014年2月27日，中央网络安全和信息化领导小组宣告成立。在这个小组的名字中， “网络安全”被放置在“信息化”的前面，标志着中国组织发展进入新时代，明确了以安全保发展、以发展促安全的新理念。

在这一新阶段，不同于以往一穷二白的创业期，中国企业在业务上激进开拓，需要通过制度和流程的保证，进行安全的驱动，像阿里巴巴的目标一样，要成为“经营101年”的企业。这不仅表现在经营利润上要能够支撑发展，更重要的是在面临危机和风险时不能突然死掉。

因此，未来CSO在公司中扮演的角色不可或缺。《CSO进阶之路：从安全工程师到首席安全官》应运而生，尝试解决以下四个问题：

 

第一，未来企业需要什么样的首席安全官？

第二，如何认识和处理企业面临的危机？

第三，在安全要求下，如何在组织中构建一个全面的安全体系？

第四，如何面对未知风险对企业经营的挑战？

 

编辑推荐

（1）众多资深专家的多年经验，着力描绘的是网络安全从业者的系统能力和全局视角，得到了行业专家的高度评价。

（2）内容涵盖了事件处置、危机应对、攻防对抗、调查溯源、运维管理、企业内控、公司治理、有效沟通、安全生态等多个维度的职业秘籍。

如何阅读本书

本书分为四篇，第一篇开宗明义地介绍了网络安全与信息化的内涵，让读者深刻理解信息技术对人们生产生活方式的影响、互联网对世界和社会基本面的改造，理解在新的格局和环境下安全与企业发展的关系，以及首席安全官的职业路径与技能图谱。

第二篇主要阐述CSO的一阶技能。对一个首席安全官新人来说，从组织内部安全事件和事故的处置方面入手是比较高效的。本篇介绍了网络安全事件处置的标准管理方法、安全事件分类分级机制的设定、安全事件的处理和回顾等内容，同时阐述了企业危机应对的机制设计、业务连续性管理和灾难恢复计划、应急与危机处理的实践案例等，从互联网企业到金融业务，从拒绝服务攻击到隐私泄露，运用实例加深读者对危机应对机制的理解。

第三篇则是面向进阶期的首席安全官来讲解的，重点阐述了贯穿企业业务生命周期的安全能力保障图谱，内容涉及风险管理和内控机制的设计和实施，帮助组织发现潜在的威胁和弱点，首席安全官如何取得企业经营者的支持并合理有效地分配资源，以及以网络安全能力体系为核心，构建全面的防护机制的方法和过程。

第四篇介绍成为首席安全官的高阶能力。不同于本书前面章节，本篇内容重点阐述首席安全官如何为处理未知的安全风险做准备，因为高阶的安全管理者时时面临的是非常规的网络安全问题。本篇内容主要涉及对未知风险的分类和描述，明确风险的来源与目标，以及应对未知风险的资源获取和分配原则；同时讨论了预警机制的建立—在第一时间得到未知风险的消息需要一整套过程和方法，还需要拓展网络安全的反制和威慑能力，最终实现对网络安全风险的可控可防。

作者简介

张威

网络安全老兵，(ISC)²第9届亚太信息安全领袖成就计划（ISLA）信息安全专家贡献奖获得者，复旦大学MBA客座讲师，国内最大的甲方网络安全从业者社群企业网络安全专家联盟（诸子云）发起人之一，致力于带领全国超过2000家诸子云会员企业探索出符合中国国情的网络安全建设与保障之路。

张耀疆

我国神舟系列载人飞船最早的开发团队成员之一，国内最早引进并转化ISO27001等国际标准的实践者之一，安言咨询与安在新媒体创始人。

赵锐

某跨国企业网络安全和合规负责人，诸子云上海分会会长，联合国ITU-T DevOps国际标准核心编写专家，CCSF优秀首席安全官。

徐正伟

金融安全专家，曾服务于解放军某部、思科研发中心、阿里巴巴集团安全部，参与处理过多起国家重点保障基础设施的网络攻击应急处置工作，赛车运动爱好者，两次自驾穿越川藏线，BMW汽车大赛业余赛亚军。

陈欣炜

招商银行招银云创信息安全合规负责人，近20年网络安全工作经验，挖过洞、创过业、护过网、管过人，持有20余项发明专利和实用新型专利。

何卓

中国电信翼支付安全管理负责人，中国信息通信研究院互联网新技术新业务安全评估中心评估专家，现任(ISC)²上海分会理事，诸子云上海分会理事。

张源

吉利汽车集团网络安全负责人，汽车行业技术专家，最早的TISAX标准研究及实践者，诸子云杭州分会理事。

 

目录

前言

第一篇　CSO必备认知：全面了解网络空间安全

第1章　从信息化到网络空间安全2

1.1　信息技术改变了人类生产生活的方式2

1.2　信息化与企业伴生4

1.3　从网络到网络空间6

1.4　理解信息安全、网络安全与网络空间安全7

第2章　网络空间安全的挑战11

2.1　网络安全关系国计民生11

2.1.1　网络虚假消息会重创实体经济11

2.1.2　棱镜门事件13

2.1.3　社交网络与信息茧房14

2.1.4　工控系统成为网络攻击练兵场15

2.1.5　网络攻击工具泛滥16

2.1.6　物联网安全引人忧17

2.1.7　我国网络安全战略危机18

2.2　网络安全关系企业生存20

2.2.1　系统遮蔽内部舞弊会置企业于死地20

2.2.2　网络可用性影响企业价值21

2.2.3　企业机密泄露防不胜防22

2.2.4　勒索攻击产业化威胁企业经营22

2.2.5　网络安全合规成挑战23

2.2.6　企业网络安全现状堪忧24

2.3　网络安全关系个人26

2.3.1　网络安全关系个人财产26

2.3.2　网络安全关系个人隐私27

2.3.3　全民网络安全意识薄弱29

第3章　首席安全官的职业路径与技能图谱31

3.1　定位首席安全官31

3.2　从网络安全新人到CSO的职业路径33

3.2.1　网络安全的职业路线33

3.2.2　对新人的网络安全从业建议34

3.2.3　教你如何成长为CSO35

3.3　找到你的首席安全官人设36

3.3.1　三个标准37

3.3.2　组织成熟度37

3.3.3　业务领域38

3.3.4　技能一致性39

3.4　首席安全官的技能树40

3.4.1　熟悉风险管理41

3.4.2　熟悉网络安全理念和技术41

3.4.3　了解信息化与商业模式的内在联系41

3.4.4　良好的沟通和管理能力42

第二篇　CSO一阶能力：日常安全危机应对

第4章　为去救火现场做好准备44

4.1　事件响应：CSO最好的朋友44

4.2　捍卫事件响应所需的资源45

4.3　定义组织的网络安全边界47

4.4　网络安全事件的分类与分级48

4.5　组建网络安全事件响应组织52

4.6　建立网络安全事件升级处理机制53

4.7　分场景的事件响应指南编写案例59

4.7.1　病毒传播事件59

4.7.2　网站页面被篡改61

4.7.3　常用系统故障或宕机62

4.7.4　外部网络入侵告警64

4.7.5　机房设备故障65

4.8　基线思维及事件管理工具的使用67

4.8.1　基线思维67

4.8.2　安全信息和事件管理系统67

4.8.3　安全编排和自动化响应系统68

4.9　网络安全事件管理实务69

4.9.1　避免外行领导内行69

4.9.2　事件响应指南的常见问题70

4.9.3　人员因素是事件响应的关键要素之一71

4.9.4　建立“吹哨人”机制72

4.9.5　合理的汇报升级机制72

4.9.6　不慎重的危机公关将是另一场危机73

4.9.7　重视网络安全事件的回顾工作74

第5章　灾难与业务连续性75

5.1　在灾难中恢复业务75

5.2　实现业务连续性的一般步骤76

5.3　业务影响分析实践要点78

5.3.1　确定业务影响分析的对象79

5.3.2　评价业务的重要性80

5.3.3　评估灾难对关键性业务的影响82

5.3.4　形成决议84

5.4　制定恢复策略84

5.4.1　业务流程恢复85

5.4.2　设施恢复86

5.4.3　供给和技术恢复87

5.4.4　用户环境恢复89

5.4.5　数据恢复90

5.4.6　保险91

5.4.7　云架构下的灾备策略92

5.5BCP的开发95

5.6BCP的演练与修订102

5.7　维护计划103

第6章　数字取证和事后调查的价值105

6.1　计算机取证105

6.2　网络取证106

6.3　网络证据分析107

6.4　针对网络数据流的取证108

6.5　网络取证实务108

第7章　企业危机应对实践111

7.1　抵御常见Web攻击111

7.1.1XSS攻击示例与防范111

7.1.2CSRF攻击示例与防范112

7.1.3SQL注入攻击示例与防范113

7.1.4　文件上传漏洞示例与防范113

7.1.5　其他攻击手段114

7.1.6Web攻击实例115

7.1.7　小贴士118

7.2App遭到攻击怎么办119

7.2.1　某金融公司App遭受攻击示例119

7.2.2App的应用安全解决方案119

7.2.3　小贴士122

7.3DDoS攻击来袭123

7.3.1　遭受攻击的特征124

7.3.2DDoS防护方法125

7.3.3　小贴士126

7.40day漏洞阻击战126

7.4.10day漏洞示例127

7.4.20day漏洞的防护128

7.4.3　小贴士128

7.5　电商平台的反欺诈与风险处置128

7.5.1　电商平台“薅羊毛”事件129

7.5.2　电商平台的风控实践129

7.5.3　小贴士133

7.6　逮捕内鬼133

7.6.1　内鬼动机及范围133

7.6.2　发现内鬼134

7.6.3　建设路线135

7.6.4　小贴士136

7.7　网络勒索应急处置136

7.7.1　勒索软件的传播136

7.7.2　企业如何防护137

7.7.3　企业中毒了应如何应急138

7.7.4　小贴士138

7.8　云服务业务连续性的思考139

7.8.1　某集团数据删除事件139

7.8.2　解决方案140

7.8.3　小贴士140

7.9　网络事件危机公关141

7.9.1　数据泄露引发舆论危机141

7.9.2　企业该如何回应网络事件141

7.9.3　小贴士142

7.10　应对终极断网下的灾备架构143

7.10.1　光纤挖断问题的应对143

7.10.2　常用灾备架构144

7.10.3　小贴士145

7.11　红蓝对抗145

7.11.1　护网行动145

7.11.2　企业如何备战146

7.11.3　小贴士150

第三篇　CSO二阶能力：全面保障企业网络安全

第8章　建立适合企业的网络安全组织154

8.1　寻找组织建立的依据154

8.2　设计网络安全组织结构156

8.3　通用网络安全组织结构159

8.4　大中型企业网络安全组织结构161

8.5　网络高风险企业网络安全组织结构164

8.6　网络安全岗位和角色的设置165

8.7　人员配置实务168

第9章　与企业管理层持续互动171

9.1　与管理层和董事会沟通171

9.2　网络安全治理175

9.2.1　什么是网络安全治理175

9.2.2　安全治理的一般过程175

9.2.3　从业务目标中分解安全目标177

9.2.4　为利益相关者提供价值179

9.2.5　有效控制风险180

9.3　网络安全意识教育180

第10章　保护企业的信息资产183

10.1　信息资产列表与分类183

10.1.1　找出全公司的信息资产183

10.1.2　挖出信息资产负责人184

10.1.3　评价信息资产的重要性186

10.2　评估重要信息资产风险190

10.2.1　信息资产风险管理模型190

10.2.2　风险评估的一般过程190

10.2.3　识别威胁192

10.2.4　弱点分析193

10.2.5　控制措施分析194

10.2.6　风险值计算194

10.2.7　风险处理196

10.2.8　风险评估报告与处置计划198

10.2.9　关于残余风险200

10.3　建设网络安全管理体系201

10.3.1　网络安全管理体系概述201

10.3.2　制定安全制度要考虑哪些要素202

10.3.3　安全制度的分类及编写要求204

10.3.4　建立符合法律法规的制度体系206

10.4　完善网络安全技术体系210

10.4.1　机房物理环境安全210

10.4.2　安全通信网络212

10.4.3　安全区域边界215

10.4.4　安全计算环境218

10.4.5　安全管理中心222

10.4.6　云安全防护223

10.4.7　安全技术体系蓝图229

第11章　保障信息系统建设231

11.1　保障IT项目的安全231

11.1.1　项目群管理232

11.1.2　项目管理的一般过程233

11.1.3　项目控制234

11.2　信息系统开发安全235

11.2.1　传统的系统开发生命周期235

11.2.2　安全开发生命周期236

11.2.3　敏捷开发下的安全控制239

第12章　流程和人员安全243

12.1　人员安全243

12.1.1　员工入职管理244

12.1.2　在职安全管理246

12.1.3　员工离职管理247

12.1.4　外部人员访问管理247

12.2　第三方管理247

12.2.1　合格的第三方供应商选择248

12.2.2　服务变更风险控制249

12.2.3　驻场人员权限管理249

12.2.4　授权数据保护249

12.2.5IT供应链安全250

12.3　操作安全251

12.3.1　事件管理251

12.3.2　问题管理255

12.3.3　变更管理256

12.3.4　发布管理260

12.3.5　配置管理263

第13章　持续监控和考核网络安全体系运转情况269

13.1　监控环境变化269

13.1.1　连续扫描、监控和修复270

13.1.2　思考持续监控价值270

13.1.3　厘清持续监控对象271

13.1.4　实施漏洞监控273

13.1.5　实施安全日志分析276

13.2　绩效评价277

13.2.1　审计结果277

13.2.2　生产率损失280

13.2.3　用户安全感及满意度280

13.2.4　安全意识281

13.3　网络安全审计281

13.3.1　审计分类281

13.3.2　基于风险的审计283

13.3.3　审计目标284

13.3.4　建立审计组织285

13.3.5　制定审计计划286

13.3.6　审计准备287

13.3.7　符合性审计287

13.3.8　有效性审计289

13.3.9　纠正和预防295

第四篇　CSO三阶能力：构建面向未来的安全体系

第14章　非常规风险来袭298

14.1　重大活动安全百分百298

14.1.1　案例：保障世博会网络的可用性298

14.1.2　重大活动的网络安全保障299

14.2　新互联网金融欺诈301

14.2.1　案例：一次匪夷所思的网络盗窃301

14.2.2　金融与互联网结合后的挑战302

14.3　境外势力APT攻击303

14.3.1　案例：发现病毒时，为时已晚303

14.3.2APT攻击过程305

14.3.3　如何防范和抵御APT攻击306

14.4　网络间谍渗透308

14.4.1　案例：难防的内鬼与间谍308

14.4.2　防范内鬼与间谍308

14.5　网络爬虫之重310

14.5.1　案例：网络爬虫的新困惑310

14.5.2　对抗网络爬虫312

14.6　“被遗忘权”与个人信息保护313

14.6.1　案例：谷歌与被遗忘权313

14.6.2　个人信息保护的合规挑战314

14.7　直面未知风险316

第15章　构建面向未来的安全战略318

15.1　网络安全战略318

15.1.1　网络安全战略计划的结构318

15.1.2　制定网络安全战略计划320

15.1.3　塔防式网络安全战略思路321

15.2　对内构筑网络安全文化324

15.2.1　网络安全文化的特征325

15.2.2　健康的网络安全文化的标志325

15.2.3　构筑网络安全文化326

15.3　对外打造网络安全感327

15.3.1　网络安全感的价值327

15.3.2　打造网络安全感328

15.4　遵守安全从业道德329

第16章　扩充耳目，构建情报体系331

16.1　威胁情报331

16.1.1　威胁情报的分类332

16.1.2　安全信息的收集332

16.1.3　信息研判334

16.1.4　行动336

16.1.5　威胁情报分析实践337

16.2　应急响应中心338

16.2.1SRC的业务范围338

16.2.2SRC的反馈与处理流程339

16.2.3　漏洞等级标准参考340

16.3　收集网络安全事件与法庭判例341

16.3.1　收集事件和判例的重要因素341

16.3.2　收集事件和判例的意义342

16.4　商业情报342

16.4.1　商业情报的“下沉式”生存343

16.4.2　商业情报与传统情报业务的区别344

16.4.3　商业情报的内涵344

16.4.4　商业情报的管理与发展344

第17章　拓展网络安全综合能力346

17.1　构建安全生态圈346

17.1.1　企业网络安全生态圈346

17.1.2　企业与监管机构的协同347

17.1.3　整合安全供应商的技术能力348

17.1.4　加强与安全社会组织联动349

17.1.5　组建安全核心人脉圈349

17.2　搭建安全中台与零信任网络350

17.2.1　安全中台总体思想351

17.2.2　安全中台的安全能力351

17.2.3　零信任网络352

17.3　网络攻击调查与反击359

17.3.1　网络攻击调查的意义360

17.3.2　网络攻击调查的特点361

17.3.3　非接触信息收集方法361

17.3.4　人物调查实例362

17.3.5　物品调查实例364

17.3.6　网络攻击调查实例365

上下滑动查看

扫码关注【华章计算机】视频号

每天来听华章哥讲书

更多精彩回顾

书讯 | 8月书讯（上）| 这些新书不可错过

书讯 | 8月书讯（下）| 这些新书不可错过

资讯 | 【大咖发声】如何写出好程序？

书单 | 秋招、考研、金九银十跳槽季，打好基础让你起飞！（这里有一份导图和书单值得收藏）

干货 | 数据中台即服务——数据中台的四大支柱

收藏 | 3个最常见案例详解DBA日常维护

上新 | 【新书速递】Serverless架构从原理、入门到实战的技术指南

点击阅读全文购买