网络安全能力成熟度模型：原理与实践

1作者经验丰富：作者在奇安信等大型网络安全企业工作20余年，现就职于青藤云安全，积累了丰富的技术经验和行业经验。
2自创方法论：创造性地将软件能力成熟度模型（CMM）引入网络安全领域，自创网络安全能力成熟度模型。
3融合国内外经验：对国内外主流的网络安全框架（例如ISO27000、NIST 800、等级保护、自适应安全架构、网络安全滑动标尺模型）进行分析、借鉴和融合。
4企业界和学术界一致认可：人民银行、广发银行、平安银行、招商银行、民生银行、国家信息技术研究中心等多个企业和机构的安全专家一致推荐。

这是一本教企业如何利用网络安全能力成熟度模型评估企业网络安全能力并系统性构建网络安全防御体系的著作。
作者结合自己20多年在各大网络安全公司的从业经验，运用软件开发成熟度模型理论，对国内外主流的网络安全框架进行分析，总结出了一套科学的网络安全能力成熟度模型。从合规、风险、数据、溯源等阶段推进网络安全战略、组织、管理、技术、运营等方面的设计与建设，旨在为企业的网络安全规划和建设提供参考和帮助。
本书内容从逻辑上分为3个部分：
第1部分（第1章）
主要介绍了网络安全能力成熟度模型的理论，包括防护检测响应模型、信息技术保障框架、自适应安全架构、网络安全滑动标尺模型等，旨在帮助读者建立一个初步的认识。
第二部分（第2~3章）
详细讲解了网络安全能力成熟度模型的架构、演变过程、框架，以及模型包括的具体内容，如安全团队、安全战略、安全管理、安全技术、安全运营等。
第三部分（第4～7章）
根据网络成熟度模型的4个阶段——合规驱动阶段、风险驱动阶段、数据驱动阶段、溯源反制阶段，既介绍了模型在不同阶段的具体表现，又通过真实案例讲解了模型的各个阶段的安全建设内容。

林宝晶
现就职于青藤云安全，同时担任担任多个银行的特聘外部网络安全专家，曾就职于奇安信等多家知名网络安全公司。从事网络安全工作20余年，具有丰富的安全产品研发、产品管理、安全解决方案经验，对CMM模型有深入的研究。长期研究国外先进的攻防技术与理论模型，对自适应安全架构、安全成熟度模型有较深入的研究。
?钱钱
网络安全专家，具有丰富的大型央企集团IT运维和安全运维经验，长期研究国内外安全防御体系，对网络安全防御体系有深入的理解。
?翟少君
奇安信安全服务子公司副总经理，某省运营商特聘网络安全专家。具有10余年网络安全攻防经验，负责金融、电力等行业的安全服务解决方案，长期从事安全产品综合解决方案的设计及推广，对自适应安全架构、网络安全滑动标尺模型有深入研究与理解。

赞誉
前言
第1章　网络安全模型介绍1
11　防护检测响应模型1
12　信息保障技术框架3
121　IATF的核心思想4
122　IATF体系介绍5
13　自适应安全架构6
131　自适应安全架构107
132　自适应安全架构209
133　自适应安全架构30 10
14　网络安全滑动标尺模型12
141　架构安全14
142　被动防御15
143　主动防御16
144　威胁情报17
145　溯源反制19
第2章　网络安全能力成熟度模型21
21　美国电力行业安全能力成熟度模型21
211　能力成熟度域23
212　能力成熟度级别25
22　模型框架26
23　网络安全能力成熟度等级30
第3章　网络安全模型内容33
31　网络安全团队33
311　组织架构域34
312　人力资源域37
313　安全意识域39
32　网络安全战略40
321　网络安全战略域41
322　网络安全战略支持域42
33　网络安全管理43
331　安全管理制度域44
332　安全标准域46
333　风险管理域47
334　供应链管理域49
34　网络安全技术50
341　架构安全域52
342　被动防御域55
343　主动防御域58
344　威胁情报域61
345　溯源反制域63
35　网络安全运营65
351　安全评估域66
352　安全监测域69
353　安全分析域71
354　安全响应域73
355　安全服务域74
356　对抗运营域76
第4章　合规驱动阶段79
41　网络安全战略81
42　网络安全组织81
43　网络安全管理83
44　网络安全技术83
45　网络安全运营85
46　案例87
461　网络安全战略88
462　网络安全组织89
463　网络安全管理94
464　网络安全技术建设97
465　网络安全运营建设114
第5章　风险驱动阶段119
51　网络安全战略120
52　网络安全组织121
53　网络安全管理122
54　网络安全技术123
55　网络安全运营126
56　案例129
561　网络安全战略129
562　网络安全组织130
563　网络安全技术建设133
564　网络安全管理建设139
565　网络安全运营建设142
第6章　数据驱动阶段157
61　网络安全战略158
62　网络安全组织159
63　网络安全管理160
64　网络安全技术163
65　网络安全运营167
66　案例171
661　网络安全战略171
662　网络安全组织172
663　网络安全技术建设173
664　网络安全管理建设180
665　网络安全运营建设184
第7章　溯源反制阶段185
71　网络安全战略186
72　网络安全组织186
73　网络安全管理188
74　网络安全技术189
75　网络安全运营192
76　案例195
后记201

为什么写这本书
我担任网络安全咨询顾问多年，在为客户提供服务的过程中，经常遇到形形色色的问题，比如：我们企业的网络安全建设目前处于行业中什么水平？是否可以对我们企业的网络安全能力做一个可量化的评估？在软件能力成熟度模型（Capability Maturity Model，CMM）还没有引入国内的时候，很多从事软件开发的公司都面临同样的困惑。
从业多年，我发现很多企业虽然制定了中长期网络安全规划，但是执行落地的过程与规划相差甚远。这可能是两方面原因造成的：一方面是前期规划设计太“超前”，无法真正落地；另一方面是企业网络安全团队不能深入理解规划设计的内容，在产品采购、集成方面没有按照规划来实现。企业想要实现网络安全长期、有序地发展，除了可以借助外部咨询团队，更关键的是要将业务发展需求与网络安全战略相结合。
我认为企业可以借鉴软件开发过程中的CMM理论，首先通过对标一些标准化指标体系，了解自身的安全能力，然后依据不同层级的指标体系，对安全能力进行规划。也就是说，依据指标体系评估企业自身的网络安全能力并分析差距，再根据评估结果和参照指标持续地完善网络安全能力。
作为有20多年网络安全领域从业经验的人，我认为国内的网络安全市场需要有符合中国国情的网络安全能力成熟度模型，一方面可以解决企业在网络安全建设过程中遇到的问题，另一方面，通过倡导国内形成网络安全能力成熟度理念，引起国内网络安全从业者的讨论与共鸣，推动网络安全能力成熟度模型的发展。
本书特点
本书着重介绍网络安全防御体系的能力建设。我将结合多年网络安全从业经验，运用软件开发成熟度模型理论，对国内外主流的网络安全框架（例如ISO27000、NIST 800、等级保护、自适应安全架构、网络安全滑动标尺模型）进行分析，旨在为各类机构评估自身安全能力提供参考。
此外，本书对模型的解读不像同类书那么晦涩难懂，而是采用了成熟的CMM理论，为每个网络安全能力成熟度等级梳理出清晰的目录、域、关键目标和具体实践活动，帮助企业结合自己的情况，评估网络安全短板，依据实践指标加以完善，并合理开展后续的网络安全建设。
如何阅读本书
本书内容从逻辑上分为3个部分。
第一部分（第1章）主要介绍网络安全能力成熟度模型的理论，帮助读者建立一个初步的认识。如果读者对这些模型已有了解，可以直接阅读后面的内容。
第二部分（第2和3章）详细介绍网络安全能力成熟度模型的架构、演变过程、维度等内容。
第三部分（第4～7章）介绍一些企业案例，并对网络安全能力成熟度模型的每个层级的最佳实践加以说明。
读者对象
本书适合首席信息安全官、网络安全经理等从事网络安全规划及相关工作的人员阅读。
勘误和支持
由于水平有限，书中难免出现一些错误或者不准确的地方，恳请读者批评指正。我的联系方式是tylin@126com。
致谢
出书是一个浩大的工程，在写作期间，我遇到了很多困难，历经数月才艰难完成。借此机会感谢所有对本书顺利出版提供帮助的朋友和家人，是他们一如既往的鼓励和支持，才让我有动力完成本书的编写。
特别感谢在工作当中给予我支持的同事，也感谢机械工业出版社华章公司的编辑，他们为本书的写作提供了宝贵的意见。

林宝晶
2021年6月