网络空间安全计划与策略开发

前　言
网络攻击的数量在持续增加。对安全可靠的数据和其他信息的需求意味着公司需要专业人员来保证其信息安全。网络安全风险不仅包括数据泄露的风险，还包括整个组织因依赖数字化和可访问性的业务活动而受到破坏的风险。因此，学习制定适当的网络安全计划对任何组织都至关重要。网络安全不再是委派给信息技术（IT）团队的任务，每个人都需要参与其中，包括董事会。
本书侧重于行业领先的实践和标准，如国际标准化组织（ISO）的标准以及美国国家标准与技术研究院（NIST）的网络安全框架和特别出版物，为如何在组织内有效制定网络安全计划提供了详细的指导。本书面向想要在商业、政府、学术、金融服务或卫生保健领域担任领导职位的读者，书中提供的材料是所有网络安全专业人员必须掌握的。
本书首先概述网络安全策略和治理，以及如何制定网络安全策略和开发网络安全框架。然后，详细描述有关治理、风险管理、资产管理和数据丢失预防的信息。你将学习如何将人力资源、物理和环境安全作为重要元素纳入网络安全计划。本书还介绍了通信和操作安全、访问控制管理以及信息系统获取、开发和维护方面的最佳实践。你将学习网络安全事件的响应原理以及如何制定事件响应计划。全球各组织必须了解新的网络安全法规以及这些法规如何影响其业务以保持合规性。合规性尤其重要，因为对违规行为的处罚通常包括大额罚款。本书第13和14章阐述了金融机构与卫生保健部门的合规性，第15章阐述了对支付卡行业数据安全标准（PCI DSS）的深入见解。最后一章概述了NIST网络安全框架，附录A提供了本书所涵盖的资源列表。从网络安全工程师到事件管理人员、审计人员和执行人员，所有这些读者都可以从本书中受益。
致谢
本书是多人共同努力的结果。感谢技术评审员Sari Green和Klee Michaelis的重要贡献和专业指导，没有他们的帮助，这本书不会顺利出版。
还要感谢策划编辑Chris Cleveland与责任编辑Mary Beth Ray在本书出版过程中给予的帮助和支持。

本书介绍在组织中建立网络空间安全计划与策略的相关知识，系统地介绍了如何创建企业中的网络空间安全策略、标准、规程、指南和计划。本书覆盖了机密性、完整性和可用性安全模型，遵循NIST网络空间安全框架以及ISO/IEC 27000系列标准。读者通过学习本书，将初步具备制定符合业务策略的安全方案的能力。本书适合作为高校网络空间安全专业的教材，也适合作为企业信息安全技术人员的自学读物。

[美]奥马尔·桑托斯(Omar Santos )是思科安全研究和运营中心产品安全事件响应团队 (PSIRT) 的首席工程师，负责调查和解决思科所有产品 (包括云服务) 中的安全漏洞。他从20世纪90年代中期开始从事信息技术和网络安全相关工作,曾为多家财富100强、500强公司和美国政府设计、实施和运维网络安全项目。

目　录
译者序
前言
作者简介
第1章　理解网络安全策略和治理1
信息安全与网络安全策略2
看一看古往今来的策略3
古代策略3
美国宪法3
现代策略4
网络安全策略5
资产6
成功策略的特点7
政府的角色11
其他联邦银行的法规14
其他国家的政府网络安全条例14
全球策略的挑战14
网络安全策略生命周期14
策略开发15
策略发布16
策略采用17
策略评价17
总结18
自测题18
参考资料21
第2章　网络安全策略组织、格式和风格23
策略的层次结构23
标准24
基线24
指南25
进程26
计划和方案27
写作风格和技巧27
使用简明语言27
简明语言运动28
简明语言策略写作技巧29
策略格式31
理解你的受众31
策略格式的类型31
策略组件32
总结39
自测题40
参考资料44
第3章　网络安全框架45
机密性、完整性和可用性46
机密性46
完整性48
可用性49
谁负责CIA52
NIST的网络安全框架53
NIST的功能53
ISO54
NIST网络安全框架54
ISO标准55
总结59
自测题60
参考资料63
第4章　治理与风险管理65
理解网络安全策略65
治理65
战略一致性的意义66
法规要求67
用户级别网络安全策略67
提供商网络安全策略67
网络安全漏洞披露策略68
网络安全策略的客户概要68
谁授权网络安全策略69
分布式治理模型69
评估网络安全策略71
修订网络安全策略：变更驱动因素73
NIST网络安全框架治理子类别和
　信息参考74
法规要求76
网络安全风险76
风险是不好的吗77
理解风险管理78
风险偏好和容忍度80
风险评估80
风险评估方法81
总结83
自测题84
参考资料88
第5章　资产管理和数据丢失预防 90
信息资产和系统91
谁负责信息资产91
信息分类93
联邦政府如何对信息进行分类94
为什么国家安全信息分类不同95
谁决定如何分类国家安全数据96
私营部门如何对数据进行分类97
信息可以重新分类甚至解密吗98
标签和处理标准98
为什么贴标签98
为什么要处理标准99
信息系统清单100
为什么清单是必要的，如何整理清单100
理解数据丢失预防技术103
总结105
自测题106
参考资料110
第6章　人力资源安全111
员工的生命周期112
招聘与安全有什么关系113
入职阶段会发生什么117
什么是用户配置117
员工在任职培训过程中应该学习什么118
为什么终止被视为最危险的阶段119
员工协议的重要性119
什么是保密协议或不泄露协议120
什么是可接受使用协议120
安全教育与培训的重要性121
安全意识影响行为122
安全技能培训122
安全教育由知识驱动122
总结123
自测题124
参考资料128
第7章　物理和环境安全130
理解安全设施分层防御模型131
如何保证网站安全132
如何控制物理访问133
保护设备136
没电无法工作136
火有多危险137
如何处置138
住手，小偷140
总结142
自测题142
参考资料146
第8章　通信和运营安全147
标准运营程序148
为何记录SOP148
制定SOP149
运营变更控制152
为何管理变更152
为什么补丁处理不同155
恶意软件防护157
是否存在不同类型的恶意软件158
如何控制恶意软件159
什么是防病毒软件160
数据复制163
是否有推荐的备份或复制策略164
安全消息传递166
是什么使电子邮件成为安全风险166
电子邮件服务器是否存在风险168
其他协作和通信工具169
活动监控和日志分析170
日志管理170
服务提供商监督174
尽职调查175
服务提供商合同中应该包含的内容176
威胁情报和信息共享177
如果无法共享网络威胁情报，
　该有多好178
总结179
自测题181
参考资料185
第9章　访问控制管理187
访问控制基础188
安全状态188
如何验证身份190
授权193
审计195
基础设施访问控制196
为什么要划分网络196
什么是分层边界安全198
远程访问安全202
用户访问控制205
为什么要管理用户访问206
应监控哪些类型的访问207
总结209
自测题210
参考资料213
第10章　信息系统的获取、开发和维护215
系统安全要求216
SDLC216
商用或开源软件怎么样218
测试环境219
保护测试数据219
安全代码220
开放Web应用程序安全项目220
密码学223
为什么加密224
法规要求225
什么是密钥225
PKI225
为什么要保护加密密钥

本书介绍在组织中建立网络空间安全计划与策略的相关知识，系统地介绍了如何创建企业中的网络空间安全策略、标准、规程、指南和计划。本书覆盖了机密性、完整性和可用性安全模型，遵循NIST网络空间安全框架以及ISO/IEC 27000系列标准。读者通过学习本书，将初步具备制定符合业务策略的安全方案的能力。本书适合作为高校网络空间安全专业的教材，也适合作为企业信息安全技术人员的自学读物。

[美]奥马尔·桑托斯(Omar Santos )是思科安全研究和运营中心产品安全事件响应团队 (PSIRT) 的首席工程师，负责调查和解决思科所有产品 (包括云服务) 中的安全漏洞。他从20世纪90年代中期开始从事信息技术和网络安全相关工作,曾为多家财富100强、500强公司和美国政府设计、实施和运维网络安全项目。