武天旭的博客

博主在过去的工作经历中，曾有幸主导了某小型互联网企业的信息安全体系建设，在此之后，又很荣幸的参与了某大型互联网企业的信息安全体系建设，这不同的工作经历让我学习到了很多，本文作为一篇总结，来探讨下大型企业与小型企业在信息安全体系建设中的区别，抛砖引玉供大家参考。对于大型企业与小型企业在信息安全体系建设中的区别，我认为主要有三大不同，第一个是投入资源不同，第二个是建设内容不同，第三个是建设方法论不同。下面主要就这三个不同展开讨论讨论。

通俗地说，系统架构就是系统的一种整体的高层次的结构表示，是系统的骨架和根基。它具体体现在系统的构件、构件与构件之间的关系、构件与环境之间的关系、以及指导其设计和演化的原则上。系统架构可用于指导系统各个方面的设计与实现，在系统开发过程中起着关键性的作用，架构设计的优劣决定了系统的健壮性和生命周期的长短。我们通常把架构设计作为系统开发过程中需求分析阶段后的一个关键步骤，也是系统设计前不可或缺的工作要点之一。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

在过去的工作中，我和我的团队基本完成了公司信息安全体系的初步建设，虽然这其中还有些许不足，同时也还有很多更高级的东西需要安全团队未来有实力之后才能去做，但我认为我们是一支优秀的安全团队！在公司信息安全体系初步建设完成的背景下，我决定将它分享出来与大家共同探讨学习，欢迎大家提出宝贵建议！

安全负责人应该具备的知识体系分为：组织领导能力、战略规划、安全管理、风险管理、安全技术等五个部分组织领导能力：团队人员管理战略规划包括：战略思维、理解业务、战略预测、制定战略、战略架构、制定目标、分解目标等安全管理包括：安全体系ISMS、法律法规、安全运营、安全运维、资产管理、人员安全管理、安全意识和培训、组织机构建设、安全策略体系等风险管理包括：风险管理组织、信息安全风险管理准则、风险范围和边界、风险评估、风险处置、信息安全风险沟通、风险监视与评审安全技术包括：攻击技术（互联网攻击、内部攻击、社

作为团队管理者，工作中所考虑的就不再是自己的那一亩三分地了，除了制定团队目标规划、协调团队工作资源，也要承担团队重点工作、解决团队各种问题，还要激励团队工作热情、帮助下属发展成长……太多太多了。但收获也是很多的，更高的视野和全局观、更全面思考问题的能力、更大的工作圈子积淀、以及管理团队的经验等等……都是我作为团队管理者所收获的宝贵财富。

安全开发生命周期的管理是保障互联网企业业务正常运营的重要举措，直接关系到企业线上业务运行的安全性。而企业办公安全涉及的安全隐患则更加复杂多样，各种数据泄露、人员违规、外部入侵、物理安全等问题数不胜数。一、安全开发生命周期互联网公司的SDL必须和现有的CI/CD（持续集成/持续部署）系统（如IDE、Gitlab、Jenkins、JIRA等）集成才能产生较好的效果。SDL的建设必须置于敏捷开发、持...

基础安全运营平台是集威胁情报、漏洞检测、入侵感知、主动防御、后门查杀、安全基线、安全大脑于一体的综合安全平台，承担着企业抵御各种网络攻击和防范内部风险的重任。首先通过威胁情报从外部获取最新的攻击数据和趋势，其次通过漏洞检测统计企业资产并周期性巡检、修补安全漏洞，再基于入侵感知发现各种网络、主机、服务的攻击，随后通过安全大脑统筹分析和自动化响应，一气呵成完成互联网企业的基础安全运营工作。一、威胁...

上接：关于甲方安全体系建设历程的思考，本篇作为上篇博文的附属部分附-安全制度管理制度一般以条文形式展示，名称通常冠以政策、规定、办法、规程、细则、指引等；制度可以通过制度补丁的方式进行调整、补充和完善，制度补丁可以采取条文或非条文的形式展示，一般以修订通知、补充通知、加强管理通知等标题体现。

博主是涂鸦安全部门最早期成员之一，虽然不是安全负责人，却也有幸参与和见证了涂鸦安全体系从无到有的建设历程。本文是博主关于甲方安全体系建设历程的思考，分为三部分：一、安全体系建设v1.0---快速治理二、安全体系建设v2.0---系统化建设三、安全体系建设v3.0---全面完善

本专栏第2-5篇是我还未成为安全负责人的时候对安全体系的思考。本专栏第6-7篇是一些关于管理素质的思考与总结。本专栏第8篇及之后是我成为安全负责人后，根据自己的实践所写的心得体会。