社交网络(社交媒体)安全使用教学资源

“如果能使您的安全意识项目更亲和,并且教导您的员工如何保护他们的亲人和朋友,他们会乐意倾听。”——计算机安全委员会

不少企业都有开通社交网络服务,不管用于市场营销还是客户服务,都可以及时向客户展示公司的产品和服务。不少员工也开通了社交网站帐户,他们可能会谈论到工作相关内容,但是如果把握不当,可能会泄漏机密信息,进而影响到组织的信息安全、商业成功甚至良好信誉。

不管社交网络的使用政策如何,都难以完全防范员工们在网络上谈及个人的工作。在披露信息时,如何把握一个安全的“度”是社交网络安全使用的关键。提供安全意识教育培训,让员工了解社交网络安全所需把握的技艺,是保障信息安全的重要步骤。

在社交网络安全意识培训方面,简单的停留在理论方面的说教显然无法取得期望中的良好效果。通过一些生动的事故场景、安全案例和经验分享,能够让员工们更加深入地认识到不当披露商业敏感信息可能带来的不良后果。

在我们的信息安全意识资源库中,有几部简短的安全意识视频以及互动式教学课件模块,将通过一个个故事案例来告诉人们要如何恰当使用社交网络,在享受社交乐趣之时又不泄露敏感信息和伤害公司的成功。

想要预览更多?我们已经出品百余部安全、保密与合规培训课件模块和三百来部信息安全动画视频了!请不要犹豫,立即联系我们来索取清单和洽谈合作吧。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

适用性声明SoA

虽然适用性声明在ISMS中是至关重要的,并且附于认可的ISMS证书。适用性声明是一项科学态度,昆明亭长朗然科技有限公司信息安全管理顾问专员董志军补充说:针对风险评估结果,制定风险应对措施时,选择哪些控制措施,不选择哪些控制措施,控管结果可能会有差异。从科学角度讲,某些风险没有采取足够的控制措施,也是可以理解和接受的。但是总有人不明白,或者乘机捣乱,比如正好没采取控制措施的风险变成了事实。这时就不能随意说安全管理体系不行,或者安全管理者的水平不够。
从本文中,审计人员将开始确认是否有适当的控制措施部署到位和在运作之中,它的准备工作只能在风险评估计划完成,也就是风险处置计划制定完成时得到进行。
适用性声明是关于ISO 27001的附件A中的哪些控制适用于该组织,哪些不适用的声明。此外,它也可以包含来自其他来源的控制措施。

控制措施和附录A

标准中要求组织从ISO 27001的附件A中选择控制目标和控制项,这些已普遍被认为是一个组织所需要的,对这些控制的选择和排除需要有合理的解释。然而,它明确要求组织要彻底照章进行,并且表明,可以从其他的来源选择额外的控制。
ISO 27002提供了关于标准附件A中所列控制目标和部署的最佳实践。然而,一些组织可能需要做得比ISO 27002规定的要求更多,要多到何种程度,取决于其中技术和威胁的不断演进情况,毕竟ISO 27002的版本已经定稿、发布和更新。

控制

控制是安全漏洞的对策。正式的ISO 27002定义是“一种管理风险的措施,包括政策、程序、指引、实践或组织结构,它可以是一个行政的、技术的,管理的或法律的性质。”控制也用作“保障”或“对策”的代名词。
除了明知接受符合组织风险应对计划中关于风险接受准则要求的风险,以及通过合同或保险的方式转让风险之外,组织可以决定实施控制,以降低或减少风险。

残余风险

对每一项单独的风险提供全面所有的安全并不可能也不现实,但是可以通过将大多数风险控制到一个适当的水平以获得有效的安全,在这个水平管理层可接受剩余的风险。管理部门必须正式接受剩余的风险。

控制目标

从控制目标中选择控制。控制目标是一个组织企图来控制它的一些进程或资产,以及打算通过使用一些控制要达到的目的的声明。一个控制目标可能包含多项控制。
ISO 27001的附件A列出相应的控制目标,并列出要实现每项控制目标必需采用的最小控制措施。组织必须选择它的控制目标,以及选择相应的控制措施并执行,以便使它能够实现确定的目标。

安全事件响应计划

重要的是,在考虑控制时,可能出现的安全事故的检测也需要定义、考虑和计划。标准条文中要求实施控制措施以便“及时发现和响应安全事件”。实际上,在选择附录A所列的独立控制项时,应考虑包括需要搜集和保留哪些证据,控制的实施效果要得到什么样的测量。
关于实施效果的测量,要保证如下两点儿:
1.控制已得到实行,并得到有效地运作
2.如标准所要求的,每项风险都已经被降低到可接受的水平。实施控制过程中的任何错误,或执行过程中的失败,都能够被及时发现和得到及时的纠正,无论是通过自动或手动的方式,都能有效地减少或降低未来可能发生的任何风险到可接受的水平。

总之,SoA是一种科学,对于很多创新科技公司来讲,信息安全管理资源有限,要将资源用在关键的信息资产,比如核心部门和重要系统,列入到ISMS认证的范围之内,并采取尽可能全面综合的风险管控措施。