為什么寫(xiě)這本書(shū)
我擔(dān)任網(wǎng)絡(luò)安全咨詢(xún)顧問(wèn)多年，在為客戶提供服務(wù)的過(guò)程中，經(jīng)常遇到形形色色的問(wèn)題，比如：我們企業(yè)的網(wǎng)絡(luò)安全建設(shè)目前處于行業(yè)中什么水平？是否可以對(duì)我們企業(yè)的網(wǎng)絡(luò)安全能力做一個(gè)可量化的評(píng)估？在軟件能力成熟度模型（Capability Maturity Model，CMM）還沒(méi)有引入國(guó)內(nèi)的時(shí)候，很多從事軟件開(kāi)發(fā)的公司都面臨同樣的困惑。
從業(yè)多年，我發(fā)現(xiàn)很多企業(yè)雖然制定了中長(zhǎng)期網(wǎng)絡(luò)安全規(guī)劃，但是執(zhí)行落地的過(guò)程與規(guī)劃相差甚遠(yuǎn)。這可能是兩方面原因造成的：一方面是前期規(guī)劃設(shè)計(jì)太超前，無(wú)法真正落地；另一方面是企業(yè)網(wǎng)絡(luò)安全團(tuán)隊(duì)不能深入理解規(guī)劃設(shè)計(jì)的內(nèi)容，在產(chǎn)品采購(gòu)、集成方面沒(méi)有按照規(guī)劃來(lái)實(shí)現(xiàn)。企業(yè)想要實(shí)現(xiàn)網(wǎng)絡(luò)安全長(zhǎng)期、有序地發(fā)展，除了可以借助外部咨詢(xún)團(tuán)隊(duì)，更關(guān)鍵的是要將業(yè)務(wù)發(fā)展需求與網(wǎng)絡(luò)安全戰(zhàn)略相結(jié)合。
我認(rèn)為企業(yè)可以借鑒軟件開(kāi)發(fā)過(guò)程中的CMM理論，首先通過(guò)對(duì)標(biāo)一些標(biāo)準(zhǔn)化指標(biāo)體系，了解自身的安全能力，然后依據(jù)不同層級(jí)的指標(biāo)體系，對(duì)安全能力進(jìn)行規(guī)劃。也就是說(shuō)，依據(jù)指標(biāo)體系評(píng)估企業(yè)自身的網(wǎng)絡(luò)安全能力并分析差距，再根據(jù)評(píng)估結(jié)果和參照指標(biāo)持續(xù)地完善網(wǎng)絡(luò)安全能力。
作為有20多年網(wǎng)絡(luò)安全領(lǐng)域從業(yè)經(jīng)驗(yàn)的人，我認(rèn)為國(guó)內(nèi)的網(wǎng)絡(luò)安全市場(chǎng)需要有符合中國(guó)國(guó)情的網(wǎng)絡(luò)安全能力成熟度模型，一方面可以解決企業(yè)在網(wǎng)絡(luò)安全建設(shè)過(guò)程中遇到的問(wèn)題，另一方面，通過(guò)倡導(dǎo)國(guó)內(nèi)形成網(wǎng)絡(luò)安全能力成熟度理念，引起國(guó)內(nèi)網(wǎng)絡(luò)安全從業(yè)者的討論與共鳴，推動(dòng)網(wǎng)絡(luò)安全能力成熟度模型的發(fā)展。
本書(shū)特點(diǎn)
本書(shū)著重介紹網(wǎng)絡(luò)安全防御體系的能力建設(shè)。我將結(jié)合多年網(wǎng)絡(luò)安全從業(yè)經(jīng)驗(yàn)，運(yùn)用軟件開(kāi)發(fā)成熟度模型理論，對(duì)國(guó)內(nèi)外主流的網(wǎng)絡(luò)安全框架（例如ISO27000、NIST 800、等級(jí)保護(hù)、自適應(yīng)安全架構(gòu)、網(wǎng)絡(luò)安全滑動(dòng)標(biāo)尺模型）進(jìn)行分析，旨在為各類(lèi)機(jī)構(gòu)評(píng)估自身安全能力提供參考。
此外，本書(shū)對(duì)模型的解讀不像同類(lèi)書(shū)那么晦澀難懂，而是采用了成熟的CMM理論，為每個(gè)網(wǎng)絡(luò)安全能力成熟度等級(jí)梳理出清晰的目錄、域、關(guān)鍵目標(biāo)和具體實(shí)踐活動(dòng)，幫助企業(yè)結(jié)合自己的情況，評(píng)估網(wǎng)絡(luò)安全短板，依據(jù)實(shí)踐指標(biāo)加以完善，并合理開(kāi)展后續(xù)的網(wǎng)絡(luò)安全建設(shè)。
如何閱讀本書(shū)
本書(shū)內(nèi)容從邏輯上分為3個(gè)部分。
部分（第1章）主要介紹網(wǎng)絡(luò)安全能力成熟度模型的理論，幫助讀者建立一個(gè)初步的認(rèn)識(shí)。如果讀者對(duì)這些模型已有了解，可以直接閱讀后面的內(nèi)容。
第二部分（第2和3章）詳細(xì)介紹網(wǎng)絡(luò)安全能力成熟度模型的架構(gòu)、演變過(guò)程、維度等內(nèi)容。
第三部分（第4～7章）介紹一些企業(yè)案例，并對(duì)網(wǎng)絡(luò)安全能力成熟度模型的每個(gè)層級(jí)的實(shí)踐加以說(shuō)明。
讀者對(duì)象
本書(shū)適合首席信息安全官、網(wǎng)絡(luò)安全經(jīng)理等從事網(wǎng)絡(luò)安全規(guī)劃及相關(guān)工作的人員閱讀。
勘誤和支持
由于水平有限，書(shū)中難免出現(xiàn)一些錯(cuò)誤或者不準(zhǔn)確的地方，懇請(qǐng)讀者批評(píng)指正。我的聯(lián)系方式是tylin@126.com。
致謝
出書(shū)是一個(gè)浩大的工程，在寫(xiě)作期間，我遇到了很多困難，歷經(jīng)數(shù)月才艱難完成。借此機(jī)會(huì)感謝所有對(duì)本書(shū)順利出版提供幫助的朋友和家人，是他們一如既往的鼓勵(lì)和支持，才讓我有動(dòng)力完成本書(shū)的編寫(xiě)。
特別感謝在工作當(dāng)中給予我支持的同事，也感謝機(jī)械工業(yè)出版社華章公司的編輯，他們?yōu)楸緯?shū)的寫(xiě)作提供了寶貴的意見(jiàn)。

林寶晶
2021年6月