如何清除安全死角？

申請免費(fèi)試用、咨詢電話：400-8352-114

    沒有幾家用戶敢說自己擁有無懈可擊的信息安全計劃。事實上，在確保業(yè)務(wù)信息的可用性、完整性以及機(jī)密性方面，各行各業(yè)的用戶都面臨或大或小的挑戰(zhàn)。


    隨著安全威脅的與日俱增和日益復(fù)雜，越來越多的用戶開始采取更主動的方法來實現(xiàn)信息安全: 將安全現(xiàn)狀與確保業(yè)務(wù)連續(xù)性所需要的安全目標(biāo)進(jìn)行比較分析，以此確定存在的問題和不足，并積極采取有針對性的措施，從而向創(chuàng)建和實現(xiàn)保護(hù)關(guān)鍵資產(chǎn)所需的可靠架構(gòu)邁出重要一步。

    明確業(yè)務(wù)要求

    一項信息安全計劃要想行之有效，就必須充分考慮人員、過程和技術(shù)三要素。因此用戶在確定存在安全差距時同樣需要考慮這些要素。

    在確定差距時，用戶首先需要確定關(guān)鍵業(yè)務(wù)目標(biāo)，然后概括出實現(xiàn)這些業(yè)務(wù)目標(biāo)所需要的安全條件。這些業(yè)務(wù)目標(biāo)和要求將成為企業(yè)制訂信息安全計劃的基準(zhǔn)。接下來，用戶需要確定公司的長期戰(zhàn)略目標(biāo)、業(yè)務(wù)環(huán)境可能發(fā)生的變化、高優(yōu)先級的安全問題以及其他戰(zhàn)略戰(zhàn)術(shù)問題。

    細(xì)分評估過程

    以業(yè)務(wù)需求分析作基礎(chǔ)，接下來用戶需要將企業(yè)當(dāng)前的安全架構(gòu)與信息安全計劃的目標(biāo)進(jìn)行比較。這是一個費(fèi)時、費(fèi)力的過程。如果將人員、過程和技術(shù)評估細(xì)分到三個關(guān)鍵領(lǐng)域—戰(zhàn)略、組件與管理，這個過程就會得到大大簡化。

    利用簡單的評分方法對關(guān)鍵領(lǐng)域進(jìn)行分級，可以使評估工作更加容易進(jìn)行。例如，零分表示完全沒有實現(xiàn)，1分表示部分實現(xiàn)，2分表示全面實現(xiàn)。不過，對于許多用戶來說，確定評估標(biāo)準(zhǔn)才是問題的關(guān)鍵。

    回答一些關(guān)鍵問題，可以幫助用戶有效地確定評估標(biāo)準(zhǔn)和劃分信息安全計劃的等級。每個問題的答案都利用相同的評定標(biāo)準(zhǔn)進(jìn)行打分，這樣用戶就可以確定需要改進(jìn)的領(lǐng)域。

    在評估有關(guān)人員要素的戰(zhàn)略時，用戶可以詢問以下問題：是否以書面形式制定了信息安全戰(zhàn)略，戰(zhàn)略是否定期更新，是否涉及一致性檢測或認(rèn)證，公司將信息安全戰(zhàn)略定性為被動的還是主動的。

    在評估人員要素的組件時，用戶可以詢問以下問題: 是否擁有專職信息安全人員，是否由相應(yīng)稱職的人員來領(lǐng)導(dǎo)，是否有正在執(zhí)行的培訓(xùn)計劃等等。

    在評估人員要素的管理問題時，可以通過以下問題來確定：是否定期向行政管理人員提交狀況報告，行政管理人員是否擁有信息安全計劃，信息安全計劃是否可以強(qiáng)制執(zhí)行等等。

    在評估信息安全計劃的過程與技術(shù)要素時，可以詢問以下相關(guān)問題：信息安全過程和策略便于通過公司的內(nèi)部網(wǎng)查看嗎？安全過程組件部署到位了嗎？（安全過程組件包括賬戶管理、安全意識、應(yīng)急響應(yīng)、安全漏洞掃描和可以接受的使用組件。）安全技術(shù)部署到位了嗎？（安全技術(shù)包括防病毒軟件、防火墻、安全漏洞管理和入侵檢測系統(tǒng)。）

    制訂路線圖與實施

    一旦確定信息安全現(xiàn)狀與理想狀態(tài)的差距，用戶就可以動手制訂路線圖，以彌補(bǔ)當(dāng)前與未來信息安全計劃之間的差距。利用從業(yè)務(wù)需求分析和差距分析中得到的信息，用戶可以開發(fā)所希望的安全架構(gòu)。

    行之有效的路線圖通常為彌補(bǔ)信息安全差距提供多種方案。路線圖應(yīng)當(dāng)包括今后兩年的戰(zhàn)略計劃以及更長遠(yuǎn)的計劃。用戶可以選擇符合業(yè)務(wù)優(yōu)先重點的路線。公司應(yīng)當(dāng)對進(jìn)展情況進(jìn)行密切監(jiān)視，以確保改進(jìn)持續(xù)進(jìn)行，并不斷得到管理層的支持。

    通過確定關(guān)鍵業(yè)務(wù)需求、分析信息安全架構(gòu)的當(dāng)前狀況、劃定未來需要改進(jìn)的領(lǐng)域以及為實現(xiàn)信息安全目標(biāo)制定靈活的路線圖，用戶可以大大加強(qiáng)自己的安全優(yōu)勢。

    隨著保護(hù)信息資產(chǎn)的人員、過程和技術(shù)部署的到位，用戶就擁有了確保信息保密性、完整性和可用性所需要的資源。

    來源：CCW