互联网企业安全高级指南

这本书必须当作个人的工作书，反复读，反复读，初步估计我至少要看三遍才能有所得，现在第一遍看完了，感觉说的也不是特别深，宏观性的东西给的比较多，但毕竟想在一本书里面，将互联网企业的安全讲非常想透也不太现实，有专业的国家这方面有专业的考试技能类的书籍，远远不是一本书能够比的，所以这本书能给我更多关于网络安全，方面的一些思考吧！

写的比较基础，细的地方太细，而又有很多细节点又没有覆盖到。另外在不同阶段该做的事情优先级、机器学习的应用、安全产品联动、安全产品持续深入以及安全运营策略上还不太够。覆盖面还是很全了，推荐中小企业或小微安全团队读一读。

从不同纬度解析了企业安全建设的内容和要求，每次阅读都会有新的收获。安全是个每天都在有新技术，新标准的行业，我们需要不断的学习理解并纳入公司安全建设！

对于有大量业务安全攻防经验的人来说，这本书非常有帮助，对视野的提升很必要，值得反复阅读。书中的总结和原则感同身受，一眼就能看出来自实践，本书并不虚，即便是理论部分也是务实的。16年的书，在23年看起来也完全不过时，其中一些见解在16年甚至是超前的

第二遍看，感觉赵彦完全就是从一线慢慢成长起来的一位CSO，书中的例子极为务实和具体，几乎是手把手教学，从书的角度讲，完全可以作为一本工具书进行参考。

全书涵盖了技术体系、工具平台和流程制度，既有高屋建瓴的架构阐述，又有接地气的实践分享，还有业务安全和数据保护方面的介绍。书名虽然是互联网行业网络安全，对于传统行业安全建设也是非常有借鉴意义的。 1、安全体系建设是组织、流程和技术的有机结合。组织是资源投入的保障，安全工作师出有名；流程是组织和技术的衔接，让安全工作有制度可依；技术是支撑，组织和流程的价值体现。 2、以前的理念中，安全体系是木桶理论，要着力把短板补齐，安全是七分管理三分技术，主要靠管理。如今安全依然不只是技术问题，也是管理问题和业务问题，强调安全的平衡性。 3、好的安全体系落地不只是攻防能力强大，也是客户体验的最佳平衡。既保证安全防护又不影响内外用户体验，更多通过自动化智能化避免拖沓的流程制度。 4、安全和开发运维不是对立面，怎么以始为终，把安全工作前移，从员工入职时的安全意识培训，需求分析的威胁建模，开发阶段的代码审计，运营阶段的变更管理，定期渗透测试和补丁更新，安全的全生命周期形成有效闭环。 5、安全的RIO是个老大难问题，比较遗憾本书也没有具体的介绍如何评价ROI。

在互联网行业也十年多了，这本书让我对安全有了一个比较大概的认识，对于想我这样的基础架构老兵，安全新兵来说，这本书很有意义。它让我对公司目前各个跟安全有关的部门有了新的思考。做了这么多年，看书里的文字能感受到作者是从一线成长起来的，很多地方没有经历过的人是没有这样深刻的体会的。

这本书写得比较全，但是泛泛而谈，只能是让你对安全体系建设有个宏观的认识。如果希望看完这本书之后就知道怎么做，那可能要失望了。 真是对于之前了解过网络安全和社工的朋友来说，收获其实很小。基本上可以用简单的几句话概括：不同时期考虑不同的措施。简单翻一翻，半个小时就够了。

从大而全的视角介绍了企业信息安全需要关注的方方面面，有些话题也抛出了通用的解决方案，适合想要从事信息安全管理的从业者，属于师傅领进门之作。

前四章与第十三章有收获，16年赵老板新发时看了一遍，并结合当前场景曾进行实操，后因工作变动放下。如今重新回顾又有了新的感悟，感叹企业安全之变化速度快的同时也想把这些年乙方的一些经验容纳并进行糅合。技术发展三日不观如隔六月啊！