| |
安全策略應(yīng)適合單位的實(shí)際情況，否則用戶們有可能對(duì)其掉以輕心。而且策略應(yīng)當(dāng)遵循法律法規(guī)和一致性要求，這會(huì)使得策略更有權(quán)威性。
策略應(yīng)當(dāng)適用于哪些人？
安全策略應(yīng)當(dāng)適用于單位所有機(jī)構(gòu)的任何用戶。其中也包括顧問和外國的實(shí)體，而不管這些用戶是本地的還是遠(yuǎn)程的。沒有考慮到某個(gè)用戶將導(dǎo)致暴露公司資源的后果，因此在任何實(shí)體使用單位的設(shè)施之前都要保證其閱讀并同意了安全策略，這一點(diǎn)很重要。
技術(shù)控制
如今，反病毒、備份、內(nèi)容過濾、防火墻、端點(diǎn)加密、反惡意軟件工具等技術(shù)控制手段有很多。應(yīng)當(dāng)在安全策略中涉及到這些技術(shù)控制，并應(yīng)當(dāng)描述如何實(shí)施這些控制來保護(hù)單位的資源。破壞、刪除或變更這種控制的行為應(yīng)當(dāng)給以禁止。舉個(gè)例子，在筆者負(fù)責(zé)審計(jì)一家大型企業(yè)時(shí)，發(fā)現(xiàn)一個(gè)安全損害是由于損害了某項(xiàng)技術(shù)控制措施引起的。這種策略如果不提及技術(shù)控制，也不清晰地表明用戶應(yīng)當(dāng)怎樣行動(dòng)，它還有什么價(jià)值呢？
策略應(yīng)當(dāng)涉及到用戶個(gè)體應(yīng)當(dāng)如何處理單位的數(shù)據(jù)，這包括以一種安全的方式存儲(chǔ)數(shù)據(jù)、傳輸數(shù)據(jù)、處理數(shù)據(jù)。
報(bào)告
對(duì)技術(shù)控制進(jìn)行報(bào)告也是很重要的，因?yàn)檫@會(huì)確保用戶了解哪些是違規(guī)的，也可以保障單位知曉風(fēng)險(xiǎn)和暴露程度。不了解用戶是如何暴露公司的資源等同于單位沒有安全策略。
小結(jié)
本文探討了在編制高效的安全策略時(shí)需要考慮的幾個(gè)問題。應(yīng)當(dāng)指出，一個(gè)安全專業(yè)人士應(yīng)當(dāng)比較各種信息并編制其自己的安全策略。筆者期望本文對(duì)IT管理人員或安全管理人員有益。 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
