互聯網企業安全高級指南

這本書必須當作個人的工作書，反覆讀，反覆讀，初步估計我至少要看三遍纔能有所得，現在第一遍看完了，感覺說的也不是特別深，宏觀性的東西給的比較多，但畢竟想在一本書裏面，將互聯網企業的安全講非常想透也不太現實，有專業的國家這方面有專業的考試技能類的書籍，遠遠不是一本書能夠比的，所以這本書能給我更多關於網絡安全，方面的一些思考吧！

寫的比較基礎，細的地方太細，而又有很多細節點又沒有覆蓋到。另外在不同階段該做的事情優先級、機器學習的應用、安全產品聯動、安全產品持續深入以及安全運營策略上還不太夠。覆蓋面還是很全了，推薦中小企業或小微安全團隊讀一讀。

從不同緯度解析了企業安全建設的內容和要求，每次閱讀都會有新的收穫。安全是個每天都在有新技術，新標準的行業，我們需要不斷的學習理解並納入公司安全建設！

對於有大量業務安全攻防經驗的人來說，這本書非常有幫助，對視野的提升很必要，值得反覆閱讀。書中的總結和原則感同身受，一眼就能看出來自實踐，本書並不虛，即便是理論部分也是務實的。16年的書，在23年看起來也完全不過時，其中一些見解在16年甚至是超前的

第二遍看，感覺趙彥完全就是從一線慢慢成長起來的一位CSO，書中的例子極爲務實和具體，幾乎是手把手教學，從書的角度講，完全可以作爲一本工具書進行參考。

全書涵蓋了技術體系、工具平臺和流程制度，既有高屋建瓴的架構闡述，又有接地氣的實踐分享，還有業務安全和數據保護方面的介紹。書名雖然是互聯網行業網絡安全，對於傳統行業安全建設也是非常有借鑑意義的。 1、安全體系建設是組織、流程和技術的有機結合。組織是資源投入的保障，安全工作師出有名；流程是組織和技術的銜接，讓安全工作有制度可依；技術是支撐，組織和流程的價值體現。 2、以前的理念中，安全體系是木桶理論，要着力把短板補齊，安全是七分管理三分技術，主要靠管理。如今安全依然不只是技術問題，也是管理問題和業務問題，強調安全的平衡性。 3、好的安全體系落地不只是攻防能力強大，也是客戶體驗的最佳平衡。既保證安全防護又不影響內外用戶體驗，更多通過自動化智能化避免拖沓的流程制度。 4、安全和開發運維不是對立面，怎麼以始爲終，把安全工作前移，從員工入職時的安全意識培訓，需求分析的威脅建模，開發階段的代碼審計，運營階段的變更管理，定期滲透測試和補丁更新，安全的全生命週期形成有效閉環。 5、安全的RIO是個老大難問題，比較遺憾本書也沒有具體的介紹如何評價ROI。

在互聯網行業也十年多了，這本書讓我對安全有了一個比較大概的認識，對於想我這樣的基礎架構老兵，安全新兵來說，這本書很有意義。它讓我對公司目前各個跟安全有關的部門有了新的思考。做了這麼多年，看書裏的文字能感受到作者是從一線成長起來的，很多地方沒有經歷過的人是沒有這樣深刻的體會的。

這本書寫得比較全，但是泛泛而談，只能是讓你對安全體系建設有個宏觀的認識。如果希望看完這本書之後就知道怎麼做，那可能要失望了。 真是對於之前瞭解過網絡安全和社工的朋友來說，收穫其實很小。基本上可以用簡單的幾句話概括：不同時期考慮不同的措施。簡單翻一翻，半個小時就夠了。

從大而全的視角介紹了企業信息安全需要關注的方方面面，有些話題也拋出了通用的解決方案，適合想要從事信息安全管理的從業者，屬於師傅領進門之作。

前四章與第十三章有收穫，16年趙老闆新發時看了一遍，並結合當前場景曾進行實操，後因工作變動放下。如今重新回顧又有了新的感悟，感嘆企業安全之變化速度快的同時也想把這些年乙方的一些經驗容納並進行糅合。技術發展三日不觀如隔六月啊！