本书系统性地介绍数据安全架构的设计与实践-融入了作者在安全领域多年积累的实践经验。全书分四大部分-共20章。**部分介绍安全架构的基础知识-内容包括安全、数据安全、安全架构、5A方**、CIA等基本概念-为后续论述奠定基础。第二部分介绍产品安全架构-内容包括：身份认证、授权、访问控制、审计、资产保护等-讲解如何从源头设计来保障数据安全和隐私安全-防患于未然。第三部分介绍安全技术体系架构-内容包括：安全技术架构、网络和通信层安全架构、设备和主机层安全架构、应用和数据层安全架构、安全架构案例分析等。第四部分介绍数据安全与隐私保护治理-内容包括：数据安全治理、数据安全政策文件体系、隐私保护基础与增强技术、GRC方案、数据安全与隐私保护的统一等。
对本书的赞誉
序一
序二
前言
第一部分安全架构基础
第一章架构2
1.1什么是架构2
1.2架构关注的问题4
第2章安全架构5
2.1什么是安全5
2.2为什么使用“数据安全”这个术语7
2.3什么是安全架构10
2.4安全架构5A方**11
2.5安全架构5A与CIA的关系13
第二部分产品安全架构
第3章产品安全架构简介16
3.1产品安全架构16
3.2典型的产品架构与框架17
3.3数据访问层的实现21
第4章身份认证：把好**道门24
4.1什么是身份认证24
4.2如何对用户进行身份认证26
4.3口令面临的风险及保护32
4.4前端慢速加盐散列案例34
4.5指纹、声纹、虹膜、面部识别的数据保护35
4.6MD5、SHA1还能用于口令保护吗36
4.7后台身份认证39
4.8双因子认证44
4.9扫码认证45
4.10小结与思考46
第5章授权：执掌大权的司令部48
5.1授权不严漏洞简介48
5.2授权的原则与方式49
5.3典型的授权风险52
5.4授权漏洞的发现与改进54
第6章访问控制：收敛与放行的执行官56
6.1典型的访问控制策略56
不信任原则与输入参数的访问控制61
6.3防止遍历查询79
第7章可审计：事件追溯*后一环81
7.1为什么需要可审计81
7.2操作日志内容82
7.3操作日志的保存与清理82
第8章资产保护：数据或资源的贴身保镖84
8.1数据安全存储84
8.2数据安全传输**
8.3数据展示与脱敏94
8.4数据完整性校验95
第9章业务安全：让产品自我免疫97
9.1一分钱漏洞97
9.2账号安全99
9.3B2B交易安全101
9.4产品防攻击能力103
第三部分安全技术体系架构
第10章安全技术体系架构简介106
10.1安全技术体系架构的建设性思维106
10.2安全产品和技术的演化107
10.3安全技术体系架构的二维模型109
10.4风险管理的“三道防线”110
10.5安全技术体系强化产品安全112
第11章网络和通信层安全架构119
11.1简介119
11.2网络安全域120
11.3网络接入身份认证125
11.4网络接入授权127
11.5网络层访问控制127
11.6网络层流量审计132
11.7网络层资产保护：DDoS缓解133
第12章设备和主机层安全架构136
12.1简介136
12.2身份认证与账号安全136
12.3授权与访问控制138
12.4运维审计与主机资产保护144
第13章应用和数据层安全架构150
13.1简介150
13.2三层架构实践151
13.3应用和数据层身份认证154
13.4应用和数据层的授权管理156
13.5应用和数据层的访问控制158
13.6统一的日志管理平台159
13.7应用和数据层的资产保护160
13.8客户端数据安全171
第14章安全架构案例与实战176
14.1零信任与无边界网络架构176
14.2统一HTTPS接入与安全防御181
14.3存储加密实践186
14.4*佳实践小结1**
第四部分数据安全与隐私保护治理
第15章数据安全治理194
15.1治理简介194
15.2数据安全治理简介196
15.3安全项目管理203
15.4安全运营管理204
15.5合规与风险管理208
15.6安全开发生命周期管理(SDL)208
15.7风险管理212
15.8PDCA方**与数据安全治理224
第16章数据安全政策文件体系227
16.1数据安全文件体系227
16.2数据安全政策总纲232
16.3数据安全管理政策234 1
16.4数据安全标准244
16.5数据安全技术规范252
16.6外部合规认证与测评259
第17章隐私保护基础262
17.1隐私保护简介262
17.2GDPR268
17.3个人信息安全规范276
17.4GAPP框架279
17.5 ISO27018280 ****隐私保护增强技术281
18.1隐私保护技术初探281
18.2去标识化283
18.3差分隐私286
第19章GRC与隐私保护治理297
19.1风险297
19.2GRC简介298
19.3隐私保护治理简介306
19.4隐私保护治理GRC实践307
19.5隐私保护能力成熟度311
第20章数据安全与隐私保护的统一317
20.1以数据为中心的统一治理317
20.2统一的数据安全生命周期管理320
20.3数据安全治理能力成熟度模型(DSGMM)334
附录数据安全架构与治理总结338
参考文献340
