企业信息安全管理：从0到1

　　随着信息安全方面的风险态势日益严峻、全球监管稳步趋严，越来越多的企业开始重视和增加企业安全建设方面的投入。因此，近年来有大量企业开放或者增加了信息安全相关岗位的招聘，其中不乏从零开始组建的安全团队。得益于行业红利，越来越多优秀、年轻的工程师快速成长并承担起了高级工程师甚至信息安全负责人的重任，但是难免在管理、沟通、规划和实施等各个环节反复碰壁。本书展现了信息安全团队从0 到1 的初创过程。我们创建了一个刚刚成为某企业“第一个信息安全工程师”的虚拟人物马小陌，为他在每一个阶段设置了最常见的困难和问题，讲述他如何思考和解决这些问题，最终成长为该企业的信息安全负责人。本书用词简单，描述通俗易懂，适合所有新晋信息安全负责人，以及希望提升信息安全管理水平的读者。

　　邹庆，先后任职于互联网、金融、科技行业的知名企业，长期从事信息安全管理工作，覆盖安全管理、安全技术以及合规审计等各个领域。段阳阳，和谐健康保险数据与安全部负责人，北京航空航天大学信息安全硕士，在信息安全管理、合规以及法规解读等方面具备丰富经验。刘洪旺，陌陌安全风控研发负责人，Aswan 开源项目负责人，北京大学工程管理硕士在读，在业务风控、数据安全以及合规审计系统开发方面具备丰富经验。

第 1章 一个人的“救火队” 1
1．1 第 一版安全规划 2
1．2 制定基础制度 4
1．3 执行全面评估 11
1．4 建立监控审计 15
第 2章 制定安全预算 20
2．1 准备前提信息 21
2．2 人员编制预算 23
2．3 安全财务预算 27
2．4 预算沟通技巧 30
第3章 安全团队建设 33
3．1 团队目标与职能 34
3．2 人员招聘与面试 38
3．3 绩效目标与评价 43
3．4 团队文化与氛围 48
第4章 SRC 与“白帽子” 52
4．1 SRC 定位与构成 53
4．2 SRC 平台及功能 55
4．3 SRC 管理与运营 57
4．4 SRC 财税法知识 61
第5章 安全研发与采购 66
5．1 总体成本分析 67
5．2 研发技术选型 68
5．3 阶段性发展规划 70
5．4 安全采购注意事项 72
第6章 安全管理体系 75
6．1 安全技术的局限性 76
6．2 安全管理体系架构 77
6．3 信息安全风险评估 82
6．4 体系文档结构与编制 88
第7章 安全培训与意识宣贯 96
7．1 安全意识培训与宣贯 97
7．2 安全技术基础性培训 101
7．3 安全开发与编码培训 105
7．4 安全培训有效性评估 106
第8章 基础安全与权限 109
8．1 SDL 110
8．2 网络安全 117
8．3 系统安全 125
8．4 员工权限 132
第9章 监管合规与应对 137
9．1 网络安全法与个人信息
保护 139
9．2 SOX404 146
9．3 GDPR 与CCPA 154
9．4 合规检查表与自动化 158
第 10章 业务安全与风控 163
10．1 账号安全防护 164
10．2 恶意订单与羊毛党对抗 172
10．3 资金数据异常监控 174
10．4 风控系统基础设计 179
第 11章 数据安全管理 186
11．1 数据安全整体框架 187
11．2 数据安全管理流程 191
11．3 数据安全技术措施 198
11．4 数据安全平台建设 208
第 12章 安全工作汇报 216
12．1 正确看待工作汇报 216
12．2 汇报的对象和内容 218
12．3 客观呈现工作不足 222
12．4 合理制定后续规划 223