如果要你入职一周内短时间完成安全规划,你会怎么办?
显然是一件极其困难的事情。
制定完善的安全规划之前是需要详细地了解企业安全的整体情况,针对不同层面、不同方向、不同阶段的安全风险建立全面周详的防护机制,最终形成覆盖管理、技术和人员的安全体系。
一、特点
1、简单:干系人可以快速理解并接受,减少沟通的成本。
2、能救火:对业务影响最大的风险应该被覆盖,尽快降低损失。
3、可执行:相关措施必须可以实施落地,避免假大空的概念设计。
4、有限资源:充分考虑执行环节的资源需求和实际情况,杜绝狮子大开口。
二、制定基础制度
好的安全管控,是自上而下的。通过发布制度,让高级管理者为自己授权,配合的工作,变成必须遵守的企业制度。
1、适度约束:只覆盖当前阶段必须管控的内容,避免引发群体抵触。
2、简明清晰:制度内容一目了然,避免空话太多导致重点被忽略。
3、平衡业务影响:对业务和风险划分优先级,允许业务部门调整资源排期。
4、明确职责和惩戒:约定协作义务,制定可衡量的判断标准。
三、执行全面评估
业务等级分为、高、中、低三大类。
检查清单如下
1、数据系统(合规)
2、应用程序(滥用)
3、数据库(授权)
4、中间件(缺陷)
5、操作系统(漏洞)
6、网络设备(合理性)
顺序按照实际情况进行。如果主要威胁来自外部,那么网络设备会优先考虑。
如果威胁主要来自内部泄密,那么应用系统会优先考虑。
四、建立监控审计
对企业的评估清单中的选项,进行安全监控审计。
常见的开源安全运维平台为OSSIM。
选择开源的解决方案,商业方案还是自己开发部署方案,取决于企业对此项安全需求的评估,(特别是高层管理的意见)。