内容简介
这是一本教企业如何利用网络安全能力成熟度模型评估企业网络安全能力并系统性构建网络安全防御体系的著作。
作者结合自己20多年在各大网络安全公司的从业经验，运用软件开发成熟度模型理论，对国内外主流的网络安全框架进行分析，总结出了一套科学的网络安全能力成熟度模型。从合规、风险、数据、溯源等阶段推进网络安全战略、组织、管理、技术、运营等方面的设计与建设，旨在为企业的网络安全规划和建设提供参考和帮助。
本书内容从逻辑上分为3个部分：
第1部分（第1章）
主要介绍了网络安全能力成熟度模型的理论，包括防护检测响应模型、信息技术保障框架、自适应安全架构、网络安全滑动标尺模型等，旨在帮助读者建立一个初步的认识。
第二部分（第2~3章）
详细讲解了网络安全能力成熟度模型的架构、演变过程、框架，以及模型包括的具体内容，如安全团队、安全战略、安全管理、安全技术、安全运营等。
第三部分（第4～7章）
根据网络成熟度模型的4个阶段——合规驱动阶段、风险驱动阶段、数据驱动阶段、溯源反制阶段，既介绍了模型在不同阶段的具体表现，又通过真实案例讲解了模型的各个阶段的安全建设内容。

资深网络安全专家20余年工作经验总结，创造性总结出网络安全能力成熟度模型，企业界和学术界专家一致推荐
用科学方法指导企业评估网络安全能力，并系统性构建网络安全防御体系

为什么写这本书
我担任网络安全咨询顾问多年，在为客户提供服务的过程中，经常遇到形形色色的问题，比如：我们企业的网络安全建设目前处于行业中什么水平？是否可以对我们企业的网络安全能力做一个可量化的评估？在软件能力成熟度模型（Capability Maturity Model，CMM）还没有引入国内的时候，很多从事软件开发的公司都面临同样的困惑。
从业多年，我发现很多企业虽然制定了中长期网络安全规划，但是执行落地的过程与规划相差甚远。这可能是两方面原因造成的：一方面是前期规划设计太“超前”，无法真正落地；另一方面是企业网络安全团队不能深入理解规划设计的内容，在产品采购、集成方面没有按照规划来实现。企业想要实现网络安全长期、有序地发展，除了可以借助外部咨询团队，更关键的是要将业务发展需求与网络安全战略相结合。
我认为企业可以借鉴软件开发过程中的CMM理论，首先通过对标一些标准化指标体系，了解自身的安全能力，然后依据不同层级的指标体系，对安全能力进行规划。也就是说，依据指标体系评估企业自身的网络安全能力并分析差距，再根据评估结果和参照指标持续地完善网络安全能力。
作为有20多年网络安全领域从业经验的人，我认为国内的网络安全市场需要有符合中国国情的网络安全能力成熟度模型，一方面可以解决企业在网络安全建设过程中遇到的问题，另一方面，通过倡导国内形成网络安全能力成熟度理念，引起国内网络安全从业者的讨论与共鸣，推动网络安全能力成熟度模型的发展。
本书特点
本书着重介绍网络安全防御体系的能力建设。我将结合多年网络安全从业经验，运用软件开发成熟度模型理论，对国内外主流的网络安全框架（例如ISO27000、NIST 800、等级保护、自适应安全架构、网络安全滑动标尺模型）进行分析，旨在为各类机构评估自身安全能力提供参考。
此外，本书对模型的解读不像同类书那么晦涩难懂，而是采用了成熟的CMM理论，为每个网络安全能力成熟度等级梳理出清晰的目录、域、关键目标和具体实践活动，帮助企业结合自己的情况，评估网络安全短板，依据实践指标加以完善，并合理开展后续的网络安全建设。
如何阅读本书
本书内容从逻辑上分为3个部分。
第一部分（第1章）主要介绍网络安全能力成熟度模型的理论，帮助读者建立一个初步的认识。如果读者对这些模型已有了解，可以直接阅读后面的内容。
第二部分（第2和3章）详细介绍网络安全能力成熟度模型的架构、演变过程、维度等内容。
第三部分（第4～7章）介绍一些企业案例，并对网络安全能力成熟度模型的每个层级的最佳实践加以说明。
读者对象
本书适合首席信息安全官、网络安全经理等从事网络安全规划及相关工作的人员阅读。
勘误和支持
由于水平有限，书中难免出现一些错误或者不准确的地方，恳请读者批评指正。我的联系方式是tylin@126.com。
致谢
出书是一个浩大的工程，在写作期间，我遇到了很多困难，历经数月才艰难完成。借此机会感谢所有对本书顺利出版提供帮助的朋友和家人，是他们一如既往的鼓励和支持，才让我有动力完成本书的编写。
特别感谢在工作当中给予我支持的同事，也感谢机械工业出版社华章分社的编辑，他们为本书的写作提供了宝贵的意见。

林宝晶
2021年6月

网络安全能力成熟度模型不仅可以作为企业安全战略、政策制定者和实施者的参考指南，还可以用于企业进行网络安全能力评估。本书详细介绍了网络安全能力成熟度模型每个阶段的具体表现和案例分析，为客观评估企业网络安全过程与实践能力提供了详细的方法论，并给出了一定的实践指南。希望读者能将本书的内容转化为切实的政策建议和管理策略，更好地增强企业的网络安全能力。
—李吉慧　中国民生银行信息科技部安全规划中心副处长

本书综合了业界网络安全框架、等级保护和纵深防御体系的思想，以独特的风险感知、情报驱动、风险处置反制为主线，从更加贴近网络空间安全本质的角度，构建了一套体系化的能力成熟度模型，可以很好地指导企业进行网络安全能力评估和建设。
—曹岳　国家信息技术研究中心金融安全处处长

随着数字经济时代的到来，网络信息技术已经从辅助性的配合角色，转变为融合运营技术的关键基础性支撑角色。相应地，网络安全工作也就必须从解决措施“有没有”问题的阶段向注重效果“好不好”的持续提升模式转变。林宝晶等作者很及时地创作了本书，通过调研分析多种网络安全框架体系，开发出了一套覆盖面广的成熟度框架，做出了非常有意义的探索。
—黄晟　网络安全从业者

计算机\安全

林宝晶老师博学多闻，具有多年安全服务、规划咨询相关的工作经验，带领团队通过研究网络安全模型、借鉴软件能力成熟度模型，提出了网络安全能力成熟度模型。本书为网络安全建设提供了体系化构建方法，提出了各个技术支撑域的内容，针对各个阶段的战略、组织、管理、技术、运营环节提出了设计参考和案例，可以为众多企业和安全从业人员提供安全能力建设方面的有益借鉴。
—— 袁慧萍 教授级高级工程师、资深安全专家

林宝晶从事网络安全咨询、规划和建设工作多年，长期研究国内外网络安全监管规范和技术标准。本书借鉴了国内外主流安全模型和软件能力成熟度模型理论，创造性地提出了网络安全能力成熟度模型，从合规、风险、数据、溯源等阶段推进网络安全战略、组织、管理、技术、运营等方面的设计及建设，能够为网络安全管理人员、技术人员在网络安全规划和建设时提供有益的参考和帮助，适合各层级网络安全从业人员。
—— 曾立环 广发银行信息科技部副总经理

林宝晶等作者具有多年安全从业经验，对安全行业的现状有深刻的认识，也曾与我探讨过如何通过合理的度量模型来体系化地评估企业的网络安全现状。我们一致认为，软件能力成熟度模型是一个很值得借鉴的理论指导方法论，可以很好地糅合国内外各种主流的网络安全框架。很高兴看到林宝晶他们将想法转为实践，将实践变为经验，将经验写成书。“十年磨一剑，砺得梅花香”，这本书读起来，就有梅花的幽幽清香，值得细品。
—— 宋歌 中国平安银行科技运营中心总经理助理

近年来网络安全上升为国家战略，企业对网络安全的重视程度也越来越高，如何全面、客观地评价企业网络安全成熟度成为各个单位面临的普遍性难题。林宝晶根据自己多年的安全咨询顾问和安全实战经验，结合业内知名安全框架和模型，如IATF体系、软件开发能力成熟度模型、自适应安全架构、网络安全滑动标尺模型、美国电力行业安全能力成熟度模型等，创新性地提出了网络安全能力成熟度评估的模型，把网络安全能力成熟度分为5个阶段，针对各个阶段，给出了相应的实践指导，并通过典型案例进行举例说明。对评估网络安全能力、指导网络安全建设具有非常好的借鉴意义。推荐企业信息安全管理者和从业者，尤其是信息安全负责人和CSO阅读。
—— 代留虎 招商银行网络安全负责人

林宝晶,钱钱,翟少君 著：作者简介
林宝晶
现就职于青藤云安全，同时担任担任多个银行的特聘外部网络安全专家，曾就职于奇安信等多家知名网络安全公司。从事网络安全工作20余年，具有丰富的安全产品研发、产品管理、安全解决方案经验，对CMM模型有深入的研究。长期研究国外先进的攻防技术与理论模型，对自适应安全架构、安全成熟度模型有较深入的研究。
?钱钱
网络安全专家，具有丰富的大型央企集团IT运维和安全运维经验，长期研究国内外安全防御体系，对网络安全防御体系有深入的理解。
?翟少君
奇安信安全服务子公司副总经理，某省运营商特聘网络安全专家。具有10余年网络安全攻防经验，负责金融、电力等行业的安全服务解决方案，长期从事安全产品综合解决方案的设计及推广，对自适应安全架构、网络安全滑动标尺模型有深入研究与理解。

赞誉
前言
第1章　网络安全模型介绍1
1.1　防护检测响应模型1
1.2　信息保障技术框架3
1.2.1　IATF的核心思想4
1.2.2　IATF体系介绍5
1.3　自适应安全架构6
1.3.1　自适应安全架构1.07
1.3.2　自适应安全架构2.09
1.3.3　自适应安全架构3.0 10
1.4　网络安全滑动标尺模型12
1.4.1　架构安全14
1.4.2　被动防御15
1.4.3　主动防御16
1.4.4　威胁情报17
1.4.5　溯源反制19
第2章　网络安全能力成熟度模型21
2.1　美国电力行业安全能力成熟度模型21
2.1.1　能力成熟度域23
2.1.2　能力成熟度级别25
2.2　模型框架26
2.3　网络安全能力成熟度等级30
第3章　网络安全模型内容33
3.1　网络安全团队33
3.1.1　组织架构域34
3.1.2　人力资源域37
3.1.3　安全意识域39
3.2　网络安全战略40
3.2.1　网络安全战略域41
3.2.2　网络安全战略支持域42
3.3　网络安全管理43
3.3.1　安全管理制度域44
3.3.2　安全标准域46
3.3.3　风险管理域47
3.3.4　供应链管理域49
3.4　网络安全技术50
3.4.1　架构安全域52
3.4.2　被动防御域55
3.4.3　主动防御域58
3.4.4　威胁情报域61
3.4.5　溯源反制域63
3.5　网络安全运营65
3.5.1　安全评估域66
3.5.2　安全监测域69
3.5.3　安全分析域71
3.5.4　安全响应域73
3.5.5　安全服务域74
3.5.6　对抗运营域76
第4章　合规驱动阶段79
4.1　网络安全战略81
4.2　网络安全组织81
4.3　网络安全管理83
4.4　网络安全技术83
4.5　网络安全运营85
4.6　案例87
4.6.1　网络安全战略88
4.6.2　网络安全组织89
4.6.3　网络安全管理94
4.6.4　网络安全技术建设97
4.6.5　网络安全运营建设114
第5章　风险驱动阶段119
5.1　网络安全战略120
5.2　网络安全组织121
5.3　网络安全管理122
5.4　网络安全技术123
5.5　网络安全运营126
5.6　案例129
5.6.1　网络安全战略129
5.6.2　网络安全组织130
5.6.3　网络安全技术建设133
5.6.4　网络安全管理建设139
5.6.5　网络安全运营建设142
第6章　数据驱动阶段157
6.1　网络安全战略158
6.2　网络安全组织159
6.3　网络安全管理160
6.4　网络安全技术163
6.5　网络安全运营167
6.6　案例171
6.6.1　网络安全战略171
6.6.2　网络安全组织172
6.6.3　网络安全技术建设173
6.6.4　网络安全管理建设180
6.6.5　网络安全运营建设184
第7章　溯源反制阶段185
7.1　网络安全战略186
7.2　网络安全组织186
7.3　网络安全管理188
7.4　网络安全技术189
7.5　网络安全运营192
7.6　案例195
后记201