最新公告
  • 欢迎您光临站壳网,本站秉承服务宗旨 履行“站长”责任,销售只是起点 服务永无止境!立即加入我们
  • 浅谈甲方企业信息安全建设的方法论

    正文概述 webmaster   2020-03-3   336

    从目前了解的情况来看,甲方安全团队规模在一个企业内部的人员占比还是非常低的,在企业安全建设中,大部分安全措施的落地都是由系统、业务和开发团队来实施。这时候,对于安全团队来说,就非常需要注意安全工作的方式方法了,以便将企业的信息安全建设逐步走向正轨。本文就是我对企业信息安全建设的方法论的一些思考。

    浅谈甲方企业信息安全建设的方法论

    一、紧随高层利益攸关者

    在企业粗放式发展初期,甚至是进入大企业行列,信息安全也可能根本就不会进入CTO的思考范围,更别说CEO级别的管理层了。当然这两年情况好多了,在网络安全法颁发、中央网信委成立后,CEO级别的管理层公开支持网络安全工作必然是政治上正确的事,但这也不一定能成为你开展信息安全工作坚强后盾。笔者以为,信息安全工作最坚强的后盾应该是数据中心老大或CTO类的人员,因为信息安全事件最大的受害者可能是他们,出现重大信息安全事件最可能履责者也较大可能是他们。因此,从某种程度上说,我们和数据中心老大或CTO类老大对安全的诉求是一致的,我们要紧紧跟随在他们周围,适当利用他们的权力和影响力把一些信息安全诉求传递出去。但是,我们也不能什么事都往CTO那里转,如果这样,要你信息安全部干什么?有些事能控制风险就本级解决吧。这里就有个问题,哪些事是需要上升到CTO级别人员解决的呢?需要各位CSO们自己考虑掌握了。

    二、团结同盟军

    虽然信息安全占据了一定的政策利好以及领导支持优势,但是,人少要求多是不可忽视的基本事实,因此,这就要求信息安全团队需在企业内部找到同盟军,以应对更加突出的安全风险。一般来说,基础设施部门是一个不错的同盟军选择,比如网络团队、云管平台团队、主机系统团队等。主要原因有:(一)基础设施规模庞大,整改难度大,盲目把他们作为主要治理对象可能会很难出成绩;(二)信息安全基础设施的很多建设需要依赖基础设施部门支持,比如流量采集、监控节点部署、主机申请、网络策略开通等。(三)基础设施大部分都不会直接对外,风险等级不会太高,反观应用安全确是当前风险等级最高、安全管理最急迫的领域。通过团结同盟军,一起把应用开发安全管理好,在此之中,再逐步对基础设施部门提一些容易整改的安全需求,毕竟也是一个战壕里的战友,基础设施部门估计也不好意思拒绝。当然,各个单位遇到的突出矛盾和情况也存在很大差别,寻找什么样的同盟军需要自己斟酌考虑。

    三、抓主要矛盾

    虽然企业安全团队可能怀抱伟大理想,团队初建可能意气风发,踌躇满志,想尽快把企业安全防护水平整体提高一个台阶,但是,对于系统、开发以及业务团队来说,企业安全建设与管理都是给人家添加工作量的事情,可能因为一个安全要求导致他们整个系统要返工重做,从思想上、意识上有一定的反抗情绪也是人之常情。因此,对于企业安全建设来说,最重要的工作是做调查研究,了解企业IT建设与安全管理现状,识别影响组织和企业最大的风险,然后再根据风险找出安全管理的牛鼻子方法,抓住安全风险的主要矛盾,这也是ROI平衡的一个具体方面,切不可能眉目胡子一把抓,事事都管,没有重点,把本就弱小的安全团队像撒芝麻一样撒到各个项目或事务中,不能团结一致干一件事,最后估计也难成一事。

    四、以可证明的风险说话

    Linux 的创始人 Linus Torvalds 在 2000-08-25 给linux-kernel 邮件列表的一封邮件提到的:Talk is cheap,Show me the code。在安全管理上依然适用,当我们像唐僧念经一样翻来覆去的提示风险,揭示风险,却没有任何”漏洞利用证明“,也不能拿出有效规避风险办法,对于企业里的其他人员来说,这些语言来说都是苍白无力,而且还会对信息安全部门产生无用论、能力不足论等思想。风险本来就是抽象的,把抽象的概念传达给企业内员工,我们只能用结果来说话,比如拿下系统控制权、下载了关键数据等。因此,我们要充分发挥自己的专业能力,利用渗透测试、众测、攻防演练去最大限度的发现及证明各类风险危害,用鲜活的事例来教育员工。

    五、切不可本本主义

    安全工作最大的两个动力:事件驱动和监管要求。内部安全事件不能经常发生吧,外部事件又总是有点隔靴搔痒之感,能说一说,但是很难转化为行动的动力。很多时候能说事就只有监管要求,但是我们也要注意不能拿着监管要求、安全体系等盲目要求按章办事、逐条落实,不考虑企业现状,这就会犯了本本主义和教条主义错误。比如,监管要求中要求:生产和测试网络要严格隔离。这一条用意当然是好的,但是要在企业内部有效实施肯定会面临较大的阻碍,例如,有些系统想运转起来就是要求能够实现测试和生产联通;有些系统在测试环境搭建测试系统成本很大等等,这时候都可会导致生产和测试不能完全隔离。此时,就需要安全部门具有问题具体分析,灵活对待,在不违反重大原则、导致重大风险的情况下可以适当的、有限度的开绿灯。

    六、慎用尚方宝剑

    在企业的内部规章制度中,信息安全一般都会有一定的考核权和处罚权,也可能有些大领导的直接授权等,以此作为企业安全管理的尚方宝剑。但是,笔者想说的是,对于弱小且处于扩张中的团队来说,一定要慎用尚方宝剑,使用不当会导致我们提前树敌。虽然,我们本意和目的不是惩戒,主要目是提高安全意识。但是,我们应当明白,我们的处罚对于别人来说都会造成经济上、声誉上的损失,从而会对信息安全团队本身产生一定的逆反心理。同样,对于其他人员来说,这也会导致他们对信息安全团队产生一定隔阂,从此以后对信息安全管理不配合,或者表面支持、背地里敷衍、甚至使绊子,这些都会给信息安全工作带来较大的阻碍。但是,从长远看,考核权和处罚权仍然是我们推动信息安全工作的主要抓手。

    七、善用乙方团队

    现实场景中,有些乙方人员戏称甲方叫“甲方爸爸”,这是一句玩笑话,其实甲方合同才是他们真是的“甲方爸爸”,我们不过都是干活的。作为一个甲方安全人员,我们也应该明白,在业务高速发展和信息化程度越来越高的大背景下,甲方的安全人员在数量上、专业技能上还是与甲方的安全建设需求有一定的差距。那么这时候,乙方团队就是甲方信息安全建设力量的重要补充。很多方案设计、风险分析、技术实施都需要乙方人员的深度参与,毕竟他们在细分领域以及专业场景上,比我们甲方人员要见得多、识得广。作为甲方团队人员,我们要善于使用乙方团队,团结带领乙方团队快速高效地搭建起甲方的信息安全治理体系。

    对于甲方来说,信息安全建设工作既是一个技术问题,但已经超越了技术问题,这里面牵涉了很多制衡、沟通、协调、妥协等方方面面的问题。作为甲方信息安全人员来说,在了解信息安全专业知识的时候,还应该多掌握一些战略战术层面的方法论,以让企业的信息安全工作能够更好的推广实施下去。

    (本文是作者在企业安全实践中一些分析和思考,也是作者的一家之言,供大家参考。因个人能力、视野及技术水平限制,未免有些错误、偏颇以及疏漏,敬请读者谅解。)

    1. 本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长!
    2. 分享目的仅供大家学习和交流,您必须在下载后24小时内删除!
    3. 不得使用于非法商业用途,不得违反国家法律。否则后果自负!
    4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
    5. 如有链接无法下载、失效或广告,请联系管理员处理!
    6. 本站资源售价只是赞助,收取费用仅维持本站的日常运营所需!
    7. 如遇到加密压缩包,默认解压密码为"www.yoozai.net",如遇到无法解压的请联系管理员!
    悠哉网 » 浅谈甲方企业信息安全建设的方法论

    常见问题FAQ

    免费下载或者VIP会员专享资源能否直接商用?
    本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
    提示下载完但解压或打开不了?
    最常见的情况是下载不完整: 可对比下载完压缩包的与网盘上的容量,若小于网盘提示的容量则是这个原因。这是浏览器下载的bug,建议用百度网盘软件或迅雷下载。若排除这种情况,可在对应资源底部留言,或 联络我们.。
    找不到素材资源介绍文章里的示例图片?
    对于PPT,KEY,Mockups,APP,网页模版等类型的素材,文章内用于介绍的图片通常并不包含在对应可供下载素材包内。这些相关商业图片需另外购买,且本站不负责(也没有办法)找到出处。 同样地一些字体文件也是这种情况,但部分素材会在素材包内有一份字体下载链接清单。
    悠哉网 WWW.YOOZAI.NET
    悠哉网,用户消费首选的网站,喜欢你就悠哉一下。

    发表评论

    售后服务:

    • 售后服务范围 1、商业模板使用范围内问题免费咨询
      2、源码安装、模板安装(一般 ¥50-300)服务答疑仅限SVIP用户
      3、单价超过200元的模板免费一次安装,需提供服务器信息。
      付费增值服务 1、提供dedecms模板、WordPress主题、discuz模板优化等服务请详询在线客服
      2、承接 WordPress、DedeCMS、Discuz 等系统建站、仿站、开发、定制等服务
      3、服务器环境配置(一般 ¥50-300)
      4、网站中毒处理(需额外付费,500元/次/质保三个月)
      售后服务时间 周一至周日(法定节假日除外) 9:00-23:00
      免责声明 本站所提供的模板(主题/插件)等资源仅供学习交流,若使用商业用途,请购买正版授权,否则产生的一切后果将由下载用户自行承担,有部分资源为网上收集或仿制而来,若模板侵犯了您的合法权益,请来信通知我们(Email: 80027422@qq.com),我们会及时删除,给您带来的不便,我们深表歉意!

    Hi, 如果你对这款模板有疑问,可以跟我联系哦!

    联系作者

    发表评论

    售后服务:

    • 售后服务范围 1、商业模板使用范围内问题免费咨询
      2、源码安装、模板安装(一般 ¥50-300)服务答疑仅限SVIP用户
      3、单价超过200元的模板免费一次安装,需提供服务器信息。
      付费增值服务 1、提供dedecms模板、WordPress主题、discuz模板优化等服务请详询在线客服
      2、承接 WordPress、DedeCMS、Discuz 等系统建站、仿站、开发、定制等服务
      3、服务器环境配置(一般 ¥50-300)
      4、网站中毒处理(需额外付费,500元/次/质保三个月)
      售后服务时间 周一至周日(法定节假日除外) 9:00-23:00
      免责声明 本站所提供的模板(主题/插件)等资源仅供学习交流,若使用商业用途,请购买正版授权,否则产生的一切后果将由下载用户自行承担,有部分资源为网上收集或仿制而来,若模板侵犯了您的合法权益,请来信通知我们(Email: 80027422@qq.com),我们会及时删除,给您带来的不便,我们深表歉意!

    Hi, 如果你对这款模板有疑问,可以跟我联系哦!

    联系作者
    • 581会员总数(位)
    • 4731资源总数(个)
    • 139本周发布(个)
    • 2 今日发布(个)
    • 177稳定运行(天)

    提供最优质的资源集合

    立即查看 了解详情