| |
安全策略應適合單位的實際情況，否則用戶們有可能對其掉以輕心。而且策略應當遵循法律法規(guī)和一致性要求，這會使得策略更有權(quán)威性。
策略應當適用于哪些人？
安全策略應當適用于單位所有機構(gòu)的任何用戶。其中也包括顧問和外國的實體，而不管這些用戶是本地的還是遠程的。沒有考慮到某個用戶將導致暴露公司資源的后果，因此在任何實體使用單位的設(shè)施之前都要保證其閱讀并同意了安全策略，這一點很重要。
技術(shù)控制
如今，反病毒、備份、內(nèi)容過濾、防火墻、端點加密、反惡意軟件工具等技術(shù)控制手段有很多。應當在安全策略中涉及到這些技術(shù)控制，并應當描述如何實施這些控制來保護單位的資源。破壞、刪除或變更這種控制的行為應當給以禁止。舉個例子，在筆者負責審計一家大型企業(yè)時，發(fā)現(xiàn)一個安全損害是由于損害了某項技術(shù)控制措施引起的。這種策略如果不提及技術(shù)控制，也不清晰地表明用戶應當怎樣行動，它還有什么價值呢？
策略應當涉及到用戶個體應當如何處理單位的數(shù)據(jù)，這包括以一種安全的方式存儲數(shù)據(jù)、傳輸數(shù)據(jù)、處理數(shù)據(jù)。
報告
對技術(shù)控制進行報告也是很重要的，因為這會確保用戶了解哪些是違規(guī)的，也可以保障單位知曉風險和暴露程度。不了解用戶是如何暴露公司的資源等同于單位沒有安全策略。
小結(jié)
本文探討了在編制高效的安全策略時需要考慮的幾個問題。應當指出，一個安全專業(yè)人士應當比較各種信息并編制其自己的安全策略。筆者期望本文對IT管理人員或安全管理人員有益。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
