如何从零开始实施信息安全计划

信息技术极客们往往深信可以通过技术创新来改变现状和造福人类,可在现实生活中,众多社会问题明明可以通过有效的信息技术手段来解决,但为什么总是阻力重重,“理想很丰满,现实很骨感”呢?

要说是既得利益者的势力过于强大那只是弱者的借口,当一项新事物出现时,旧体制下的既得利益者有两种心态,迎合及阻拦。当创新技术有足够的颠覆力之时,看不到历史大趋势的顽固阻力几乎可以让人忽略。如果不是颠覆性的创新,信息技术极客们就不能过度相信旧体制下的既得利益者会积极迎合自己啦。

在计算机网络信息安全领域,类似的情景也在上演。昆明亭长朗然科技有限公司的企业信息安全管理顾问James Dong说:在面对导出不穷的安全事件时,IT安全管理员可能发现技术方面的控管措施并不足够,而更多需要针对人员的在流程和制度方面的标准化管理,同时在IT人员在职业发展层面也期望更上一层楼,于是IT安全从业人员们将目光转向信息安全管理系统ISMS实施领域。

IT人员不甘平庸,追求上进的精神风貌很值得肯定和赞扬,但是仅仅依靠热情和勇气并不足够。无疑,我们需要正确的方法,要有效建立和实施一套信息安全计划并不像上线一台防火墙、IPS或员工上网行为管理系统那么轻易。特别对于多数组织来讲,ISMS信息安全管理系统并非强制性必须遵守的法规。相比于一套几乎透明到无人知晓的IPS系统,ISMS更多像是在进行业务流程的梳理和再制——所有在范围之内的人员都会受到影响,都要被“搞定”。

如何开始呢?亭长朗然公司James分享如下经验:

1.获得高管的认可和赞助,信息安全和组织管理悉悉相关,IT人管理机器没问题,在部门内部推动一项计划也不用花费太大力气。要跨部门,跨站点甚至跨业务单元去推动一个项目,谁听您的啊?所以需要高层认可和赞助,拿到尚方宝剑。如果高管对此不理解,那IT安全人得让高管理解,如果高管理解了,但不买您,可能是时机不能,先等一等,多次尝试后还不行,那就只能选择放弃,因为ISMS要取得成功,一定是由上至下推动的,几乎没有由下至上推的成功案例。

2.开发制作用于实施安全政策、标准和法规遵从程序的实用指南,ISMS不是靠“人治”,而是靠“法治”,所以,需要符合ISMS要求的文件体系。简单说,需要发布精要的高端的信息安全战略方针,并且发布针对全员的安全手册,还得要求各部门制定本部门工作相关的安全操作流程。

3.确保有必要的物理安全控制措施并且有一个紧急事件响应团队,物理安全有时可能不被信息系统人员所重视,然而物理安全出现问题,会让信息安全失去根基。应急响应团队不仅来应对各类安全突发事件,也是和内部人员进行有效安全沟通,解决一线安全隐患和安全问题的关键力量。

4.采取灾难恢复计划和业务持续性计划的关键步骤,要信息安全与业务安全的目标和战略保持一致,让信息安全和业务单元的中高阶管理层有共同语言,能够相互理解和支持,并且建立起和谐的关系,这些关键的步骤一个都不能少。

5.确保计算机网络安全,守住IT人员的大本营,别让病毒代码过期了几个月、防火墙规则几年都没人看、员工偷偷使用非授权的代理服务器软件等等这类信息安全事件发生。

通过如上五点措施,即使是从零开始的信息安全管理体系建设,也应该能够在正确的方向指引之下,获得一个及格分。ISMS的提升是永不停步的,借助PDCA方法,可以不断获得改进。

网络安全事件的防范与灾难应对策略

由于我们的大部分个人和工作生活都与互联网相连,因此遭遇网络安全事件的风险总是在不断增加。

安全事件可能由病毒、蠕虫或勒索软件而导致,但是如果您的亲身经历了对业务的影响,比如系统罢工、业务停顿、机密信息如客户资料失窃、媒体的曝光、执法机关的检查及公司形象和品牌信誉的质疑声,那您将会理解到安全事件能带来的损失是多么巨大。

努力减少网络事件,尽可能早地进行相应规划,以便您知道如果发生网络事件该怎么办,这些都是业务连续性准备工作的重要方面。对此,昆明亭长朗然科技有限公司网络安全防御专员董志军称:为化解安全事件,我们所有人都可以做的事情包括保持警惕并使系统和软件保持最新。

通常来讲,防火墙会阻止恶意软件进入我们的系统,而防病毒软件会清除掉设法渗入系统中的恶意软件。但是恶意软件在不断发展,因此我们使用的软件也需要不断发展并保持领先地位。软件提供商会及时发布和提示我们安装补丁以弥补系统防御中的空白。

除了防火墙和防病毒软件外,良好的计算机习惯也会限制恶意软件渗入系统的能力。良好的计算机习惯包括定期更改密码或密码短语、未经事先批准禁止安装软件和应用程序。使您的软件保持最新,并确保对网络钓鱼邮件和消息保持警惕。

您还认为组织的信息安全只是安全团队和系统的责任?再想想吧。安全事件报告继续警醒着我们,组织内的人为错误涉及大多数安全漏洞。这是什么意思呢?人员的行为会致使组织面临严重的安全风险,这些行为包括:使用弱密码、点击伪装的恶意邮件中的链接、意外地与未经授权的收件人共享文档、在公共区域随意放置笔记本电脑或移动设备、在公共场所通过电话大声谈论内部涉密事宜、在社交媒体网站上发布机密信息等等。这些只是您可能无意中将信息置于风险中的众多渠道中的一小部分。

那你怎么能承担责任呢?请务必完成组织的安全意识培训,以了解有关密码、物理安全、旅行安全、社交媒体行为、移动设备保护和反网络钓鱼等政策和最佳做法的更多信息。通过经常访问新闻媒体并与您组织的安全团队联系,对可疑活动提出质疑或进行报告,及时了解最近的网络攻击。

第二个关键方面是规划您对网络事件的响应。不怕一万就怕万一,防不胜防,您应该制定一个政策和程序,概述要做什么,并且所有员工都应及时做好准备,通过关于网络事件应对的培训和演练可以实现这点。

我们需要克服这种感觉,即这种网络安全灾难可能不会发生,也应该假设它会在某个阶段出现,进而进行相应的灾难恢复计划和业务持续性计划。该计划应概述有关如何最大程度地降低敏感数据的损害和隐私风险的提示。

因此,我们应以安全的方式定期备份所有数据,理想情况下不与Internet连接。恢复计划还应包括有关如何访问此备份数据的说明。

在组织对安全事件做出回应时,您可以继续保持紧急情况下的工作吗?请想一想如何您该做些什么?在紧急响应计划中,我们应该列出所有这些信息以及必要的电话号码和应急物资的位置。

最后,建立一种安全文化非常重要,因为这种信息和规划是每个人教育的一部分。及时了解当前威胁并定期更新您的系统。始终遵循安全的做法并保持警惕,因为安全是每个人的责任。

提前计划,以便在发生网络事件时,您知道该怎么做。如果您需要更多信息,请联系昆明亭长朗然科技有限公司,我们有关于网络安全意识和业务持续性计划的在线培训课程,以及动画讲解视频。这些课程内容可以被用于帮助所有员工做好网络安全事件的防范,以及灾难事件应对准备。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898