information-security-engineer

信息安全工程师

适用场景

• 实施和运维 SSO、RBAC、PAM、KMS、证书管理、WAF、DLP、EDR 或 SIEM 集成等安全控制
• 将安全架构、审计发现或策略转化为可部署的防护措施和验证检查
• 构建身份、加密、密钥、日志或安全自动化工作流
• 在安全责任范围内强化云账户、终端、SaaS 应用和基线配置
• 验证漏洞和控制缺口的修复情况

不适用场景

• 董事会简报、风险偏好、安全预算、危机高管沟通 → chief-information-security-officer
• 定义安全策略或企业安全计划 → cybersecurity
• GRC 计划、框架范围、审计准备、问卷 → compliance-specialist
• 告警分流、SOC 操作手册或轮班运维 → soc-analyst
• 深入调查、威胁搜寻或检测规则编写 → defensive-security-analyst
• 执行授权的渗透测试或漏洞利用验证 → penetration-tester、network-pentester、web-pentester
• 规划对手模拟或紫队行动 → red-team-specialist
• 仅添加 CI/CD 安全门禁、SBOM 或制品签名 → devsecops
• 设计租户隔离和产品数据平面边界 → product-infrastructure-security-engineer
• 云组织防护措施、CSPM、多账户 IAM／网络安全 → cloud-security-engineer
• IAM 计划设计、访问审查、联合身份、PAM、职责分离（不涉及工具部署）→ iam-specialist

相关技能

需求	技能
CISO 计划、董事会 KRI、风险偏好、预算	chief-information-security-officer
AWS/GCP/Azure 防护措施、CSPM、云 IAM／网络	cloud-security-engineer
GRC 计划、差距计划、审计协调	compliance-specialist
安全策略、政策	cybersecurity
审计证据自动化	compliance-engineer
CI/CD 扫描、SBOM、流水线 OIDC	devsecops
VPC、K8s、Terraform 平台（通用）	infrastructure-engineer
SOC 分流和 SOAR 操作手册	soc-analyst
将红队发现的缺口转化为检测内容	red-team-specialist
已正式宣布的安全事件响应（CSIRT）	incident-responder
STIX/TAXII 信息源需求、情报驱动的阻止列表	cti-analyst
威胁搜寻和检测工程	defensive-security-analyst
复现渗透测试发现	penetration-tester、network-pentester、web-pentester
控制文档	tech-writer-researcher
产品租户、客户数据平面	product-infrastructure-security-engineer
CVD 计划、漏洞赏金、披露日历	technical-program-manager-security-cvd
事件后制品分析和证据保管链	digital-forensics-analyst
风险登记册、剩余风险评分、风险处置决策	security-risk-analyst
IAM 生命周期、授权、审查、联合身份、PAM	iam-specialist
安全工具的 BCM/DRP、不可变性、恢复测试	bcm-disaster-recovery-specialist

核心工作流

1. 控制实施

将架构或政策转化为可部署的控制：

1. 确认需求来源（政策、威胁模型、审计发现）
2. 选择控制类型：预防性、检测性、纠正性
3. 在 IaC 或托管配置中实施（版本化并经过审查）
4. 定义验证测试（尽可能自动化）
5. 记录负责人、例外处理流程和审查频率

请参阅 references/control_hardening.md，了解基线和防护措施模式。

2. 身份与访问工程

human identity (SSO/MFA) → RBAC/ABAC → service identities → privileged access (PAM) → periodic review

• 将应用联合到 IdP；强制实施 MFA 和条件访问
• 采用最小权限 IAM 角色；人员不得使用长期访问密钥
• 监控紧急访问账户，并尽量减少其使用
• 每季度进行访问审查并导出证据

请参阅 references/identity_access_engineering.md，了解模式和反模式。

3. 加密与机密信息

层级	常见实现
静态数据	KMS、卷加密、TDE
传输中数据	TLS 1.2+、证书自动化（ACME／内部 CA）
应用机密信息	Vault、云机密信息管理器、轮换
密钥	CMK 策略、职责分离、审计日志

切勿提交机密信息；扫描代码仓库；发生事件时轮换密钥。

密钥生命周期和 TLS 检查清单请参阅 references/encryption_secrets.md。

4. 安全工具集成

集成检查清单：

1. 日志／Agent 部署覆盖率目标（例如，95% 的端点）
2. 解析／规范化和字段映射
3. 由检测团队负责关联规则
4. 仅为获批的自动操作创建 SOAR 工作流
5. 监控采集器运行状况和 API 配额

SIEM／EDR／SOAR 集成说明请参阅 references/security_tooling.md。

5. 漏洞修复工程

与应用和平台团队合作：

1. 收集发现项（扫描器、渗透测试、漏洞赏金计划）
2. 确定优先级：可利用性 × 资产关键性 × 暴露程度
3. 按严重程度分配负责人和 SLA
4. 实施或审核修复（补丁、配置、代码）
5. 通过重新扫描或分析人员签字确认进行验证
6. 跟踪例外情况及其到期时间

SLA 表和验证步骤请参阅 references/vulnerability_remediation.md。

6. 安全系统的变更与发布

安全变更就是生产环境变更：

• 对 IaC 和策略 PR 进行同行评审
• 分阶段推出（dev → stage → prod）
• 为 IdP、WAF 或 SIEM 解析器变更制定回滚计划
• 在 24h 内进行变更后验证

何时加载参考资料

• 基线和防护措施 → references/control_hardening.md
• SSO、IAM、PAM → references/identity_access_engineering.md
• KMS、TLS、机密信息 → references/encryption_secrets.md
• SIEM、EDR、SOAR → references/security_tooling.md
• 修复跟踪和验证 → references/vulnerability_remediation.md