企業(yè)該如何在有限的資金條件下，達(dá)到投入與安全的平衡?目前很多網(wǎng)絡(luò)安全技術(shù)還處于探索階段，如果人云亦云地簡單購買安全產(chǎn)品，那么，這個(gè)所謂的“IT黑洞”永遠(yuǎn)無法填滿。安全管理是填補(bǔ)“IT黑洞”最經(jīng)濟(jì)有效的方式。一、領(lǐng)導(dǎo)高度重視 對網(wǎng)絡(luò)安全而言，領(lǐng)導(dǎo)重視更重要。網(wǎng)絡(luò)安全管理是一個(gè)動態(tài)的系統(tǒng)工程，關(guān)系到:安全項(xiàng)目規(guī)劃、用需求分析、網(wǎng)絡(luò)技術(shù)應(yīng)用、安全策略制定、人員職責(zé)分工、安全等級評定、網(wǎng)絡(luò)用戶管理、安全審計(jì)評價(jià)、人員安全培訓(xùn)、安全規(guī)章制度建立。這些是對網(wǎng)絡(luò)管理者提出的要求，僅靠技術(shù)人員的工作職能無法完成。二、隨需求確定安全管理策略 隨著網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)應(yīng)用以及網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，安全策略的制訂和實(shí)施是一個(gè)動態(tài)的延續(xù)過程。當(dāng)然可以請有經(jīng)驗(yàn)的安全專家或購買服務(wù)商的專業(yè)服務(wù)。但是一個(gè)單位的網(wǎng)絡(luò)安全服務(wù)建設(shè)不可能僅依靠公司提供的安全服務(wù)，因?yàn)樯虡I(yè)行為與企業(yè)安全有本質(zhì)差別，不是所有的網(wǎng)絡(luò)都需要所有的安全技術(shù)，何況有些安全技術(shù)本身并不成熟，只有采取適當(dāng)防護(hù)，重點(diǎn)突出的策略，才能有的放矢，不會盲目跟風(fēng)。不同的網(wǎng)絡(luò)有不同的安全需求:內(nèi)部局域網(wǎng)和互聯(lián)網(wǎng)接入有不同的要求;涉密計(jì)算機(jī)的管理與非涉密計(jì)算機(jī)的管理不同;不需實(shí)時(shí)在線的小型數(shù)據(jù)系統(tǒng)并不需要昂貴的NAS產(chǎn)品，活動硬盤即可;應(yīng)該遵照國家和本部門有關(guān)信息安全的技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，針對本部門專項(xiàng)應(yīng)用，對數(shù)據(jù)管理和系統(tǒng)流程的各個(gè)環(huán)節(jié)進(jìn)行安全評估，確定使用的安全技術(shù)，設(shè)定安全應(yīng)用等級，明確人員職責(zé)，制定安全分步實(shí)施方案，達(dá)到安全和應(yīng)用的科學(xué)平衡。就現(xiàn)階段而言，網(wǎng)絡(luò)安全最大的威脅不是來自外部，而是內(nèi)部人員對網(wǎng)絡(luò)安全知識的缺乏。人是信息安全目標(biāo)實(shí)現(xiàn)的主體，網(wǎng)絡(luò)安全需要全體人員共同努力，避免出現(xiàn)“木桶效應(yīng)”。
可以用網(wǎng)上攻擊案例教育大家，使他們充分了解計(jì)算機(jī)網(wǎng)絡(luò)存在的安全隱患，認(rèn)識到網(wǎng)絡(luò)安全人人有責(zé)，提高工作人員的安全保密意識和自我防范能力。出于資金考慮，一個(gè)單位愿意花幾十萬元購買安全產(chǎn)品，而往往不愿意讓技術(shù)人員參加有償培訓(xùn)，這是一個(gè)極大的誤區(qū)。網(wǎng)絡(luò)安全是一門新興的技術(shù)，即便是對計(jì)算機(jī)專業(yè)人員來說也是一個(gè)嶄新的領(lǐng)域。如果技術(shù)人員對安全產(chǎn)品只有一知半解，就不能對產(chǎn)品正確配置，甚至根本配置錯誤，不但大的安全投入得不到保護(hù)，而且?guī)硖摷俚?a href=http://www.90chu.com/index.php?m=content&c=index&a=infolist&typeid=1&siteid=1&type=keyword&serachType=2&key=%E5%AE%89%E5%85%A8 style='color:#57A306' target='_blank'>安全。對于安全產(chǎn)品不能買回來一裝了事，應(yīng)該了解安全工具的局限性和雙刃性以及錯誤的配置帶來的問題。這要求技術(shù)人員不但要懂網(wǎng)絡(luò)、懂安全，還要了解應(yīng)用需求，了解網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)攻擊手段，認(rèn)清并處理網(wǎng)絡(luò)病毒、密碼攻擊、分組竊聽、IP欺騙、拒絕服務(wù)、信任關(guān)系利用、端口攻擊、未授權(quán)訪問等多樣化的攻擊手段。針對技術(shù)人員的培訓(xùn)包括:網(wǎng)絡(luò)安全理論培訓(xùn)、安全技術(shù)培訓(xùn)、安全產(chǎn)品培訓(xùn)以及本部業(yè)務(wù)培訓(xùn)。三、建立嚴(yán)格制度的文檔 網(wǎng)絡(luò)建設(shè)方案:網(wǎng)絡(luò)技術(shù)體制、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、設(shè)備配置、IP地址和域名分配方案等相關(guān)技術(shù)文檔;機(jī)房管理制度:包括對網(wǎng)絡(luò)機(jī)房實(shí)行分域控制，保護(hù)重點(diǎn)網(wǎng)絡(luò)設(shè)備和服務(wù)器的物理安全;各類人員職責(zé)分工:根據(jù)職責(zé)分離和多人負(fù)責(zé)的原則，劃分部門和人員職責(zé)。包括對領(lǐng)導(dǎo)、網(wǎng)絡(luò)管理員、安全保密員和網(wǎng)絡(luò)用戶職責(zé)進(jìn)行分工;安全保密規(guī)定:制定頒布本部門計(jì)算機(jī)網(wǎng)絡(luò)安全保密管理規(guī)定;網(wǎng)絡(luò)安全方案:網(wǎng)絡(luò)安全項(xiàng)目規(guī)劃、分步實(shí)施方案、安全監(jiān)控中心建設(shè)方案、安全等級劃分等整體安全策略;安全策略文檔:建立防火墻、入侵檢測、安全掃描和防病毒系統(tǒng)等安全設(shè)備的安全配置和升級策略以及策略修改登記;口令管理制度:嚴(yán)格網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)以及個(gè)人計(jì)算機(jī)的口令管理制度;系統(tǒng)操作規(guī)程:對不同應(yīng)用系統(tǒng)明確操作規(guī)程，規(guī)范網(wǎng)絡(luò)行為;應(yīng)急響應(yīng)方案:建立網(wǎng)絡(luò)數(shù)據(jù)備份策略和安全應(yīng)急方案，確保網(wǎng)絡(luò)的應(yīng)急響應(yīng);用戶授權(quán)管理:以最小權(quán)限原則對網(wǎng)絡(luò)用戶劃分?jǐn)?shù)據(jù)庫等應(yīng)用系統(tǒng)操作權(quán)限，并做記錄;安全防護(hù)記錄:記錄重大網(wǎng)絡(luò)安全事件，對網(wǎng)絡(luò)設(shè)備和安全系統(tǒng)進(jìn)行日志分析，并提出修復(fù)意見;定期對系統(tǒng)運(yùn)行、用戶操作等進(jìn)行安全評估，提交網(wǎng)絡(luò)安全報(bào)告。其它制度還有信息發(fā)布審批、設(shè)備安裝維護(hù)管理規(guī)定、人員培訓(xùn)和應(yīng)用系統(tǒng)等，以及全面建立計(jì)算機(jī)網(wǎng)絡(luò)各類文檔，堵塞安全管理漏洞
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。