诸子云 | 项目：CSO知识体系及技能树

诸子云 企业网络安全专家联盟——以中国境内各行业各领域企业组织的网络安全从业骨干为主体的社群组织，是为奋战在用户单位网络安全一线的实践者提供的交流互助平台。

2019年6月，诸子云首次推出“项目”共建机制，鼓励会员群策群力、创新分享。这一模式基于诸子云社群特点，以“众人拾柴火焰高”的理念出发，贴合现下安全从业者想要集中力量为安全行业办大事的想法。

项目一经发起，就受到会员们的广泛认同和积极参与，截至目前已经共计开展了11个“诸子项目”，部分项目也已经取得了初步的成果。今天我们要介绍的，就是已经落地开花的研究项目之一——首席安全官（CSO）知识体系。

-----

-----

CSO知识体系（CBK）

项目内容：通过研究和讨论形成CSO的知识体系框架和技能树

项目类型：共享

项目经理和项目成员

项目经理

赵锐

麦当劳中国信息安全和风险负责人、诸子云上海会长、DevOps标准核心编写专家、CISM、CEH、CISP

项目成员

康华

东方花旗证券，MCSE，MCITP，VCP

李光耀

贵州银行

CISP、ISO 27001Foundation、网络工程师、系统集成项目管理工程师

袁佳敏

华侨永亨银行安全专家 CISSP ISO27001LA TOGAF

郭建林

罗克佳华科技集团首席安全官 、CISSP

陈欣炜

招银云创(深圳)信息技术有限公司，合规岗，诸子云上海理事，cobit，prince2，ccsk

战略规划

战略规划一词鲜少有人不知，却是一个非常重要却宽泛的概念。CSO知识体系中的战略规划模块，旨在帮助安全人士立足现实，面向未来，清楚理解业务等战略规划，对战略所涉及的事物或对象的现实状况和未来发展趋势进行科学把握，对战略目标、战略任务及战略手段的可行性及实施效果进行预测，在此基础上制定目标，设置战略出发点及落脚点，并将战略具体分解成战术目标。

安全管理

安全管理可谓是CSO知识体系中的重头戏，包含了安全体系ISMS、法律法规、安全运营、安全运维、资产管理、人员安全管理原则、安全意识和培训、组织机构建设、安全策略体系等九个模块，涵盖了在安全管理工作中需要注意的方方面面内容。

安全技术

CSO不一定时时刻刻都需要冲上一线，但技术也仍是不能丢的。安全技术从攻击知识和防御知识两方面出发，囊括时下最流行的攻击手段和安全防范措施，从社会工程学到工控物联安全一应俱全。

组织领导力

要想安全做的好，上通下达不能少。CSO最不能缺乏的，就是组织领导能力。用不同视角理解组织，量化风险，规划、管理团队，进行有效的内外沟通，都是一名合格CSO必备的能力。

风险管理

风险不可能不出现，却能被完备的管理降至最低水平。风险管理模块教你如何建立风险管理组织，确定信息安全风险管理的基本准则，定义其范围和边界，做好前期预防；同时在风险出现时妥善评估、处置，积极沟通，以日常监视和定期评审取代事后救火的行为模式。

CSO知识体系是怎么诞生的？

“CSO知识体系”顾名思义，是安全人员最高岗位首席安全官（CSO）所必需的理论知识和技能框架。笔者采访了项目经理赵锐，他将提出这一议题的初衷向笔者娓娓道来。

赵锐说，安全人员的职业顶点，毫无疑问是首席安全官（CSO）。但纵观安全类的书籍、文章，并没有CSO知识体系进行详细介绍的，该怎么办？自己写就是了。将这一知识体系整理出来，对安全人员和行业都会有很大帮助。

在结构上，CSO知识体系被分为战略规划、安全管理、安全技术、组织领导力、风险管理五大块。赵锐表示，这一设计基于目前CSO的必备技能：安全最初的工作是安全管理和安全技术，但安全最终的目标是风险管理，在实现这一目标的过程需要组织领导力，还要与组织的战略规划一致。

经过初步讨论后，项目成员进行了职责分工：赵锐负责战略规划，康华负责安全管理，李光耀负责安全技术，郭建林负责组织领导力、袁佳敏负责风险管理，陈欣炜则为整体提供建议。

参与项目的诸位都有着忙碌的工作日，其中也不乏996的成员，但是大家的讨论热情都十分高涨。不能直接见面并不会影响项目推进，他们会在周日晚上通过通信聊天工具进行线上会议，积极沟通进度与成果。

赵锐认为，现下知识体系的内容已经基本完整了，但后续仍需进一步细化。为了与时俱进，将会每年同步更新。虽然与CIO已成系统的课程相比，目前的内容还稍显单薄，但无论是改编成快速概览还是完整培训，都至少会有1-5天的课时量，非常值得期待。

诸子云年度品牌合作