| |
安全策略應適合單位的實際情況，否則用戶們有可能對其掉以輕心。而且策略應當遵循法律法規(guī)和一致性要求，這會使得策略更有權威性。
策略應當適用于哪些人？
安全策略應當適用于單位所有機構的任何用戶。其中也包括顧問和外國的實體，而不管這些用戶是本地的還是遠程的。沒有考慮到某個用戶將導致暴露公司資源的后果，因此在任何實體使用單位的設施之前都要保證其閱讀并同意了安全策略，這一點很重要。
技術控制
如今，反病毒、備份、內容過濾、防火墻、端點加密、反惡意軟件工具等技術控制手段有很多。應當在安全策略中涉及到這些技術控制，并應當描述如何實施這些控制來保護單位的資源。破壞、刪除或變更這種控制的行為應當給以禁止。舉個例子，在筆者負責審計一家大型企業(yè)時，發(fā)現一個安全損害是由于損害了某項技術控制措施引起的。這種策略如果不提及技術控制，也不清晰地表明用戶應當怎樣行動，它還有什么價值呢？
策略應當涉及到用戶個體應當如何處理單位的數據，這包括以一種安全的方式存儲數據、傳輸數據、處理數據。
報告
對技術控制進行報告也是很重要的，因為這會確保用戶了解哪些是違規(guī)的，也可以保障單位知曉風險和暴露程度。不了解用戶是如何暴露公司的資源等同于單位沒有安全策略。
小結
本文探討了在編制高效的安全策略時需要考慮的幾個問題。應當指出，一個安全專業(yè)人士應當比較各種信息并編制其自己的安全策略。筆者期望本文對IT管理人員或安全管理人員有益。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
