企業(yè)該如何在有限的資金條件下，達(dá)到投入與安全的平衡?目前很多網(wǎng)絡(luò)安全技術(shù)還處于探索階段，如果人云亦云地簡(jiǎn)單購(gòu)買安全產(chǎn)品，那么，這個(gè)所謂的“IT黑洞”永遠(yuǎn)無(wú)法填滿。安全管理是填補(bǔ)“IT黑洞”最經(jīng)濟(jì)有效的方式。一、領(lǐng)導(dǎo)高度重視 對(duì)網(wǎng)絡(luò)安全而言，領(lǐng)導(dǎo)重視更重要。網(wǎng)絡(luò)安全管理是一個(gè)動(dòng)態(tài)的系統(tǒng)工程，關(guān)系到:安全項(xiàng)目規(guī)劃、用需求分析、網(wǎng)絡(luò)技術(shù)應(yīng)用、安全策略制定、人員職責(zé)分工、安全等級(jí)評(píng)定、網(wǎng)絡(luò)用戶管理、安全審計(jì)評(píng)價(jià)、人員安全培訓(xùn)、安全規(guī)章制度建立。這些是對(duì)網(wǎng)絡(luò)管理者提出的要求，僅靠技術(shù)人員的工作職能無(wú)法完成。二、隨需求確定安全管理策略 隨著網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)應(yīng)用以及網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，安全策略的制訂和實(shí)施是一個(gè)動(dòng)態(tài)的延續(xù)過(guò)程。當(dāng)然可以請(qǐng)有經(jīng)驗(yàn)的安全專家或購(gòu)買服務(wù)商的專業(yè)服務(wù)。但是一個(gè)單位的網(wǎng)絡(luò)安全服務(wù)建設(shè)不可能僅依靠公司提供的安全服務(wù)，因?yàn)樯虡I(yè)行為與企業(yè)安全有本質(zhì)差別，不是所有的網(wǎng)絡(luò)都需要所有的安全技術(shù)，何況有些安全技術(shù)本身并不成熟，只有采取適當(dāng)防護(hù)，重點(diǎn)突出的策略，才能有的放矢，不會(huì)盲目跟風(fēng)。不同的網(wǎng)絡(luò)有不同的安全需求:內(nèi)部局域網(wǎng)和互聯(lián)網(wǎng)接入有不同的要求;涉密計(jì)算機(jī)的管理與非涉密計(jì)算機(jī)的管理不同;不需實(shí)時(shí)在線的小型數(shù)據(jù)系統(tǒng)并不需要昂貴的NAS產(chǎn)品，活動(dòng)硬盤(pán)即可;應(yīng)該遵照國(guó)家和本部門(mén)有關(guān)信息安全的技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，針對(duì)本部門(mén)專項(xiàng)應(yīng)用，對(duì)數(shù)據(jù)管理和系統(tǒng)流程的各個(gè)環(huán)節(jié)進(jìn)行安全評(píng)估，確定使用的安全技術(shù)，設(shè)定安全應(yīng)用等級(jí)，明確人員職責(zé)，制定安全分步實(shí)施方案，達(dá)到安全和應(yīng)用的科學(xué)平衡。就現(xiàn)階段而言，網(wǎng)絡(luò)安全最大的威脅不是來(lái)自外部，而是內(nèi)部人員對(duì)網(wǎng)絡(luò)安全知識(shí)的缺乏。人是信息安全目標(biāo)實(shí)現(xiàn)的主體，網(wǎng)絡(luò)安全需要全體人員共同努力，避免出現(xiàn)“木桶效應(yīng)”。
可以用網(wǎng)上攻擊案例教育大家，使他們充分了解計(jì)算機(jī)網(wǎng)絡(luò)存在的安全隱患，認(rèn)識(shí)到網(wǎng)絡(luò)安全人人有責(zé)，提高工作人員的安全保密意識(shí)和自我防范能力。出于資金考慮，一個(gè)單位愿意花幾十萬(wàn)元購(gòu)買安全產(chǎn)品，而往往不愿意讓技術(shù)人員參加有償培訓(xùn)，這是一個(gè)極大的誤區(qū)。網(wǎng)絡(luò)安全是一門(mén)新興的技術(shù)，即便是對(duì)計(jì)算機(jī)專業(yè)人員來(lái)說(shuō)也是一個(gè)嶄新的領(lǐng)域。如果技術(shù)人員對(duì)安全產(chǎn)品只有一知半解，就不能對(duì)產(chǎn)品正確配置，甚至根本配置錯(cuò)誤，不但大的安全投入得不到保護(hù)，而且?guī)?lái)虛假的安全。對(duì)于安全產(chǎn)品不能買回來(lái)一裝了事，應(yīng)該了解安全工具的局限性和雙刃性以及錯(cuò)誤的配置帶來(lái)的問(wèn)題。這要求技術(shù)人員不但要懂網(wǎng)絡(luò)、懂安全，還要了解應(yīng)用需求，了解網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)攻擊手段，認(rèn)清并處理網(wǎng)絡(luò)病毒、密碼攻擊、分組竊聽(tīng)、IP欺騙、拒絕服務(wù)、信任關(guān)系利用、端口攻擊、未授權(quán)訪問(wèn)等多樣化的攻擊手段。針對(duì)技術(shù)人員的培訓(xùn)包括:網(wǎng)絡(luò)安全理論培訓(xùn)、安全技術(shù)培訓(xùn)、安全產(chǎn)品培訓(xùn)以及本部業(yè)務(wù)培訓(xùn)。三、建立嚴(yán)格制度的文檔 網(wǎng)絡(luò)建設(shè)方案:網(wǎng)絡(luò)技術(shù)體制、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、設(shè)備配置、IP地址和域名分配方案等相關(guān)技術(shù)文檔;機(jī)房管理制度:包括對(duì)網(wǎng)絡(luò)機(jī)房實(shí)行分域控制，保護(hù)重點(diǎn)網(wǎng)絡(luò)設(shè)備和服務(wù)器的物理安全;各類人員職責(zé)分工:根據(jù)職責(zé)分離和多人負(fù)責(zé)的原則，劃分部門(mén)和人員職責(zé)。包括對(duì)領(lǐng)導(dǎo)、網(wǎng)絡(luò)管理員、安全保密員和網(wǎng)絡(luò)用戶職責(zé)進(jìn)行分工;安全保密規(guī)定:制定頒布本部門(mén)計(jì)算機(jī)網(wǎng)絡(luò)安全保密管理規(guī)定;網(wǎng)絡(luò)安全方案:網(wǎng)絡(luò)安全項(xiàng)目規(guī)劃、分步實(shí)施方案、安全監(jiān)控中心建設(shè)方案、安全等級(jí)劃分等整體安全策略;安全策略文檔:建立防火墻、入侵檢測(cè)、安全掃描和防病毒系統(tǒng)等安全設(shè)備的安全配置和升級(jí)策略以及策略修改登記;口令管理制度:嚴(yán)格網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)以及個(gè)人計(jì)算機(jī)的口令管理制度;系統(tǒng)操作規(guī)程:對(duì)不同應(yīng)用系統(tǒng)明確操作規(guī)程，規(guī)范網(wǎng)絡(luò)行為;應(yīng)急響應(yīng)方案:建立網(wǎng)絡(luò)數(shù)據(jù)備份策略和安全應(yīng)急方案，確保網(wǎng)絡(luò)的應(yīng)急響應(yīng);用戶授權(quán)管理:以最小權(quán)限原則對(duì)網(wǎng)絡(luò)用戶劃分?jǐn)?shù)據(jù)庫(kù)等應(yīng)用系統(tǒng)操作權(quán)限，并做記錄;安全防護(hù)記錄:記錄重大網(wǎng)絡(luò)安全事件，對(duì)網(wǎng)絡(luò)設(shè)備和安全系統(tǒng)進(jìn)行日志分析，并提出修復(fù)意見(jiàn);定期對(duì)系統(tǒng)運(yùn)行、用戶操作等進(jìn)行安全評(píng)估，提交網(wǎng)絡(luò)安全報(bào)告。其它制度還有信息發(fā)布審批、設(shè)備安裝維護(hù)管理規(guī)定、人員培訓(xùn)和應(yīng)用系統(tǒng)等，以及全面建立計(jì)算機(jī)網(wǎng)絡(luò)各類文檔，堵塞安全管理漏洞
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。