第一部分 安全度量介绍 3
第一章 什么是信息安全度量？ 3
度量和测量 4
度量是结果 4
测量是行为 5
安全度量的现况 6
风险 7
安全漏洞和事故统计 11
年预期亏损 12
投资回报率 14
总体拥有成本 15
安全度量标准现状并不令人满意：从其他行业吸取的教训 16
保险业 16
制造业 17
设计行业 18
重新评估我们关于安全度量标准的看法 19
地域思考 19
分析性的思考 19
超前思考 20
总结 20
扩展阅读 21
第二章 设计有效的安全度量 22
选择好的度量指标体系 22
定义度量指标和测量 23
没有好坏之分，思想使然 24
你想知道什么？ 27
观察！ 30
GQM——更好的安全度量 31
什么是GQM？ 31
提出问题 36
分配度量 36
把以上这些都放在一起 38
度量目录 38
GQM更多安全性的用途 40
测量安全运营 40
测量符合法规或标准 41
测量人文 42
将GQM应用到你自己的安全测量中 43
总结 44
扩展阅读 45
第三章 了解数据 46
数据是什么？ 46
数据的定义 47
数据类型 48
安全度量的数据源 56
系统数据 56
过程数据 57
文件数据 57
人群数据 58
我们有度量和数据——然后呢？ 59
总结 59
扩展阅读 60
案例研究1 探究企业度量 61
场景1：我们的新漏洞管理计划 63
场景2：首当其冲是谁？ 64
场景3：幻灯片的价值 66
场景4：监控程序 68
场景5：代价是什么，真相是什么？ 70
总结 72
第二部分 安全度量的实施 75
第四章 安全过程管理框架 75
安全管理业务流程 75
定义业务流程 76
安全流程 77
过程管理的历史 77
SPM框架 81
安全度量 81
安全度量项目 82
安全改进计划 83
安全过程管理 84
开始使用SPM之前 85
获得支持：森林在哪儿？ 86
安全研究项目 90
总结 91
扩展阅读 92
第五章 分析安全度量数据 93
最重要的一步 93
进行分析的理由 94
你要完成的任务是什么？ 96
准备数据分析 97
分析工具和技术 101
描述性统计 102
推理性统计 109
其他统计技术 112
定性和混合方法分析 116
总结 123
扩展阅读 124
第六章 设计安全测量项目 125
项目开始前 125
项目的先决条件 126
确定项目类型 127
项目捆绑 128
获得支持和资源 129
第一阶段：建立项目计划和组织团队 132
项目计划 132
项目团队 133
第二阶段：收集度量数据 134
收集度量数据 134
存储和保护度量数据 135
第三阶段：分析度量数据并得出结论 136
第四阶段：展示成果 137
文本演示 138
图像演示 138
发布结论 139
第五阶段：成果复用 139
项目管理工具 140
总结 140
扩展阅读 141
案例研究2 安全态势评估（SPA）中的标准化工具资料 142
背景知识：SPA服务的概述 142
SPA工具 144
数据结构 145
案例的目标 146
方法论 146
挑战 146
总结 159
第三部分 探索安全度量项目 163
第七章 测量安全操作 163
安全性操作的度量样本 163
安全性操作的测量项目样本 165
SMP：综合风险评估 165
SMP：内部漏洞评估 172
SMP：推论分析 176
总结 181
扩展阅读 181
第八章 测量合规性和一致性 182
测量合规性的挑战 182
相关标准的混淆 182
审计还是测量？ 183
多重框架的混淆 184
合规性及一致性测量项目的样例 186
建立一个精简的通用控制框架 186
合规性框架的映射评估 191
分析安全政策文档的可读性 194
总结 198
扩展阅读 199
第九章 测量安全成本与价值 200
合规性及一致性测量项目的样例 200
测量上报的个人身份信息披露的可能性 200
测量外包安全事件监控流程的成本效益 204
测量安全过程的成本 210
度量成本和价值中数据的重要性 216
总结 216
扩展阅读 217
第十章 测量人员、组织和文化 218
人员、组织和文化的测量项目案例 219
测量公司权益相关人的安全定位 219
物理安全实践的民族志研究 224
总结 229
扩展阅读 230
案例研究3 网络应用的漏洞 231
源数据和规范化 232
结果、时间表、资源 232
对“脏数据”的最初报告 233
模糊的数据 233
决定使用哪些信息 234
和权益相关人一起实施数据清理 236
同权益相关人以报告和讨论的方式跟进 237
吸取教训：修补过程之后自动化 237
经验教训：不要在报告前等待完美的数据 240
总结 241
第四部分 在安全度量之外 245
第十一章 安全改善方案 245
从项目到方案 245
使用安全改善方案管理安全测量 246
安全测量的治理 247
SIP：仍然和数据有关 248
对SIP的要求 250
开始前的准备 250
SMP项目的存档基础 253
分享安全测量结果 254
长期开展跨项目合作 255
测量SIP 256
安全改善是习惯养成的过程 256
SIP有效吗？ 257
安全性提高了吗？ 257
案例：作用于内部威胁测量的SIP 258
总结 261
扩展阅读 262
第十二章 安全性的学习方式：安全过程管理的不同内容 263
组织的学习 263
IT安全度量的三种学习方式 264
标准化测试：ISO/IEC 27004测量 264
生活课堂：Basili的经验工厂 266
专注：Karl Weick和高可靠性组织 267
最终想法 268
总结 269
扩展阅读 269
案例研究4 为安全度量项目提供管理支持 270
CISO攻击了我的电脑 271
什么是支持？ 271
公司与大学：谁更疯狂？ 272
大学个案研究 273
项目概览 273
主题 274
发现 278
要点 281
影响力与组织变革 281
总结 284