搜索

[15088] 2020-03-03_浅谈甲方企业信息安全建设的方法论

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-03-03_浅谈甲方企业信息安全建设的方法论 浅 谈 甲 方 企 业 信 息 安 全 建 设 的 方 法 论 原 创   s h e n g l 9 9   F r e e B u f   2 0 2 0 - 0 3 - 0 3 从 目 前 了 解 的 情 况 来 看 ， 甲 方 安 全 团 队 规 模 在 一 个 企 业 内 部 的 人 员 占 比 还 是 非 常 低 的 ， 在 企 业 安 全 建 设 中 ， 大 从 目 前 了 解 的 情 况 来 看 ， 甲 方 安 全 团 队 规 模 在 一 个 企 业 内 部 的 人 员 占 比 还 是 非 常 低 的 ， 在 企 业 安 全 建 设 中 ， 大 部 分 安 全 措 施 的 落 地 都 是 由 系 统 、 业 务 和 开 发 团 队 来 实 施 。 这 时 候 ， 对 于 安 全 团 队 来 说 ， 就 非 常 需 要 注 意 安 全 部 分 安 全 措 施 的 落 地 都 是 由 系 统 、 业 务 和 开 发 团 队 来 实 施 。 这 时 候 ， 对 于 安 全 团 队 来 说 ， 就 非 常 需 要 注 意 安 全 工 作 的 方 式 方 法 了 ， 以 便 将 企 业 的 信 息 安 全 建 设 逐 步 走 向 正 轨 。 本 文 就 是 我 对 企 业 信 息 安 全 建 设 的 方 法 论 的 一 工 作 的 方 式 方 法 了 ， 以 便 将 企 业 的 信 息 安 全 建 设 逐 步 走 向 正 轨 。 本 文 就 是 我 对 企 业 信 息 安 全 建 设 的 方 法 论 的 一 些 思 考 。 些 思 考 。 一 、 紧 随 高 层 利 益 攸 关 者 一 、 紧 随 高 层 利 益 攸 关 者 在 企 业 粗 放 式 发 展 初 期 ， 甚 至 是 进 入 大 企 业 行 列 ， 信 息 安 全 也 可 能 根 本 就 不 会 进 入 C T O 的 思 考 范 围 ， 更 别 说 C E O 级 别 的 管 理 层 了 。 当 然 这 两 年 情 况 好 多 了 ， 在 网 络 安 全 法 颁 发 、 中 央 网 信 委 成 立 后 ， C E O 级 别 的 管 理 层 公 开 支 持 网 络 安 全 工 作 必 然 是 政 治 上 正 确 的 事 ， 但 这 也 不 一 定 能 成 为 你 开 展 信 息 安 全 工 作 坚 强 后 盾 。 笔 者 以 为 ， 信 息 安 全 工 作 最 坚 强 的 后 盾 应 该 是 数 据 中 心 老 大 或 C T O 类 的 人 员 ， 因 为 信 息 安 全 事 件 最 大 的 受 害 者 可 能 是 他 们 ， 出 现 重 大 信 息 安 全 事 件 最 可 能 履 责 者 也 较 大 可 能 是 他 们 。 因 此 ， 从 某 种 程 度 上 说 ， 我 们 和 数 据 中 心 老 大 或 C T O 类 老 大 对 安 全 的 诉 求 是 一 致 的 ， 我 们 要 紧 紧 跟 随 在 他 们 周 围 ， 适 当 利 用 他 们 的 权 力 和 影 响 力 把 一 些 信 息 安 全 诉 求 传 递 出 去 。 但 是 ， 我 们 也 不 能 什 么 事 都 往 C T O 那 里 转 ， 如 果 这 样 ， 要 你 信 息 安 全 部 干 什 么 ？ 有 些 事 能 控 制 风 险 就 本 级 解 决 吧 。 这 里 就 有 个 问 题 ， 哪 些 事 是 需 要 上 升 到 C T O 级 别 人 员 解 决 的 呢 ？ 需 要 各 位 C S O 们 自 己 考 虑 掌 握 了 。 二 、 团 结 同 盟 军 二 、 团 结 同 盟 军 虽 然 信 息 安 全 占 据 了 一 定 的 政 策 利 好 以 及 领 导 支 持 优 势 ， 但 是 ， 人 少 要 求 多 是 不 可 忽 视 的 基 本 事 实 ， 因 此 ， 这 就 要 求 信 息 安 全 团 队 需 在 企 业 内 部 找 到 同 盟 军 ， 以 应 对 更 加 突 出 的 安 全 风 险 。 一 般 来 说 ， 基 础 设 施 部 门 是 一 个 不 错 的 同 盟 军 选 择 ， 比 如 网 络 团 队 、 云 管 平 台 团 队 、 主 机 系 统 团 队 等 。 主 要 原 因 有 ： （ 一 ） 基 础 设 施 规 模 庞 大 ， 整 改 难 度 大 ， 盲 目 把 他 们 作 为 主 要 治 理 对 象 可 能 会 很 难 出 成 绩 ； （ 二 ） 信 息 安 全 基 础 设 施 的 很 多 建 设 需 要 依 赖 基 础 设 施 部 门 支 持 ， 比 如 流 量 采 集 、 监 控 节 点 部 署 、 主 机 申 请 、 网 络 策 略 开 通 等 。 （ 三 ） 基 础 设 施 大 部 分 都 不 会 直 接 对 外 ， 风 险 等 级 不 会 太 高 ， 反 观 应 用 安 全 确 是 当 前 风 险 等 级 最 高 、 安 全 管 理 最 急 迫 的 领 域 。 通 过 团 结 同 盟 军 ， 一 起 把 应 用 开 发 安 全 管 理 好 ， 在 此 之 中 ， 再 逐 步 对 基 础 设 施 部 门 提 一 些 容 易 整 改 的 安 全 需 求 ， 毕 竟 也 是 一 个 战 壕 里 的 战 友 ， 基 础 设 施 部 门 估 计 也 不 好 意 思 拒 绝 。 当 然 ， 各 个 单 位 遇 到 的 突 出 矛 盾 和 情 况 也 存 在 很 大 差 别 ， 寻 找 什 么 样 的 同 盟 军 需 要 自 己 斟 酌 考 虑 。
三 、 抓 主 要 矛 盾 三 、 抓 主 要 矛 盾 虽 然 企 业 安 全 团 队 可 能 怀 抱 伟 大 理 想 ， 团 队 初 建 可 能 意 气 风 发 ， 踌 躇 满 志 ， 想 尽 快 把 企 业 安 全 防 护 水 平 整 体 提 高 一 个 台 阶 ， 但 是 ， 对 于 系 统 、 开 发 以 及 业 务 团 队 来 说 ， 企 业 安 全 建 设 与 管 理 都 是 给 人 家 添 加 工 作 量 的 事 情 ， 可 能 因 为 一 个 安 全 要 求 导 致 他 们 整 个 系 统 要 返 工 重 做 ， 从 思 想 上 、 意 识 上 有 一 定 的 反 抗 情 绪 也 是 人 之 常 情 。 因 此 ， 对 于 企 业 安 全 建 设 来 说 ， 最 重 要 的 工 作 是 做 调 查 研 究 ， 了 解 企 业 I T 建 设 与 安 全 管 理 现 状 ， 识 别 影 响 组 织 和 企 业 最 大 的 风 险 ， 然 后 再 根 据 风 险 找 出 安 全 管 理 的 牛 鼻 子 方 法 ， 抓 住 安 全 风 险 的 主 要 矛 盾 ， 这 也 是 R O I 平 衡 的 一 个 具 体 方 面 ， 切 不 可 能 眉 目 胡 子 一 把 抓 ， 事 事 都 管 ， 没 有 重 点 ， 把 本 就 弱 小 的 安 全 团 队 像 撒 芝 麻 一 样 撒 到 各 个 项 目 或 事 务 中 ， 不 能 团 结 一 致 干 一 件 事 ， 最 后 估 计 也 难 成 一 事 。 四 、 以 可 证 明 的 风 险 说 话 四 、 以 可 证 明 的 风 险 说 话 L i n u x   的 创 始 人   L i n u s   T o r v a l d s   在   2 0 0 0 - 0 8 - 2 5   给 l i n u x - k e r n e l   邮 件 列 表 的 一 封 邮 件 提 到 的 ： T a l k   i s   c h e a p ， S h o w   m e   t h e c o d e 。 在 安 全 管 理 上 依 然 适 用 ， 当 我 们 像 唐 僧 念 经 一 样 翻 来 覆 去 的 提 示 风 险 ， 揭 示 风 险 ， 却 没 有 任 何 ” 漏 洞 利 用 证 明 “ ， 也 不 能 拿 出 有 效 规 避 风 险 办 法 ， 对 于 企 业 里 的 其 他 人 员 来 说 ， 这 些 语 言 来 说 都 是 苍 白 无 力 ， 而 且 还 会 对 信 息 安 全 部 门 产 生 无 用 论 、 能 力 不 足 论 等 思 想 。 风 险 本 来 就 是 抽 象 的 ， 把 抽 象 的 概 念 传 达 给 企 业 内 员 工 ， 我 们 只 能 用 结 果 来 说 话 ， 比 如 拿 下 系 统 控 制 权 、 下 载 了 关 键 数 据 等 。 因 此 ， 我 们 要 充 分 发 挥 自 己 的 专 业 能 力 ， 利 用 渗 透 测 试 、 众 测 、 攻 防 演 练 去 最 大 限 度 的 发 现 及 证 明 各 类 风 险 危 害 ， 用 鲜 活 的 事 例 来 教 育 员 工 。 五 、 切 不 可 本 本 主 义 五 、 切 不 可 本 本 主 义 安 全 工 作 最 大 的 两 个 动 力 ： 事 件 驱 动 和 监 管 要 求 。 内 部 安 全 事 件 不 能 经 常 发 生 吧 ， 外 部 事 件 又 总 是 有 点 隔 靴 搔 痒 之 感 ， 能 说 一 说 ， 但 是 很 难 转 化 为 行 动 的 动 力 。 很 多 时 候 能 说 事 就 只 有 监 管 要 求 ， 但 是 我 们 也 要 注 意 不 能 拿 着 监 管 要 求 、 安 全 体 系 等 盲 目 要 求 按 章 办 事 、 逐 条 落 实 ， 不 考 虑 企 业 现 状 ， 这 就 会 犯 了 本 本 主 义 和 教 条 主 义 错 误 。 比 如 ， 监 管 要 求 中 要 求 ： 生 产 和 测 试 网 络 要 严 格 隔 离 。 这 一 条 用 意 当 然 是 好 的 ， 但 是 要 在 企 业 内 部 有 效 实 施 肯 定 会 面 临 较 大 的 阻 碍 ， 例 如 ， 有 些 系 统 想 运 转 起 来 就 是 要 求 能 够 实 现 测 试 和 生 产 联 通 ； 有 些 系 统 在 测 试 环 境 搭 建 测 试 系 统 成 本 很 大 等 等 ， 这 时 候 都 可 会 导 致 生 产 和 测 试 不 能 完 全 隔 离 。 此 时 ， 就 需 要 安 全 部 门 具 有 问 题 具 体 分 析 ， 灵 活 对 待 ， 在 不 违 反 重 大 原 则 、 导 致 重 大 风 险 的 情 况 下 可 以 适 当 的 、 有 限 度 的 开 绿 灯 。 六 、 慎 用 尚 方 宝 剑 六 、 慎 用 尚 方 宝 剑 在 企 业 的 内 部 规 章 制 度 中 ， 信 息 安 全 一 般 都 会 有 一 定 的 考 核 权 和 处 罚 权 ， 也 可 能 有 些 大 领 导 的 直 接 授 权 等 ， 以 此 作 为 企 业 安 全 管 理 的 尚 方 宝 剑 。 但 是 ， 笔 者 想 说 的 是 ， 对 于 弱 小 且 处 于 扩 张 中 的 团 队 来 说 ， 一 定 要 慎 用 尚 方 宝 剑 ， 使 用 不 当 会 导 致 我 们 提 前 树 敌 。 虽 然 ， 我 们 本 意 和 目 的 不 是 惩 戒 ， 主 要 目 是 提 高 安 全 意 识 。 但 是 ， 我 们 应 当 明 白 ， 我 们 的 处 罚 对 于 别 人 来 说 都 会 造 成 经 济 上 、 声 誉 上 的 损 失 ， 从 而 会 对 信 息 安 全 团 队 本 身 产 生 一 定 的 逆 反 心 理 。 同 样 ， 对 于 其 他 人 员 来 说 ， 这 也 会 导 致 他 们 对 信 息 安 全 团 队 产 生 一 定 隔 阂 ， 从 此 以 后 对 信 息 安 全 管 理 不 配 合 ， 或 者 表 面 支 持 、 背 地 里 敷 衍 、 甚 至 使 绊 子 ， 这 些 都 会 给 信 息 安 全 工 作 带 来 较 大 的 阻 碍 。 但 是 ， 从 长 远 看 ， 考 核 权 和 处 罚 权 仍 然 是 我 们 推 动 信 息 安 全 工 作 的 主 要 抓 手 。 七 、 善 用 乙 方 团 队 七 、 善 用 乙 方 团 队 现 实 场 景 中 ， 有 些 乙 方 人 员 戏 称 甲 方 叫 “ 甲 方 爸 爸 ” ， 这 是 一 句 玩 笑 话 ， 其 实 甲 方 合 同 才 是 他 们 真 是 的 “ 甲 方 爸 爸 ” ， 我 们 不 过 都 是 干 活 的 。 作 为 一 个 甲 方 安 全 人 员 ， 我 们 也 应 该 明 白 ， 在 业 务 高 速 发 展 和 信 息 化 程 度 越 来 越 高 的 大 背 景 下 ， 甲 方 的 安 全 人 员 在 数 量 上 、 专 业 技 能 上 还 是 与 甲 方 的 安 全 建 设 需 求 有 一 定 的 差 距 。 那 么 这 时 候 ， 乙 方 团 队 就 是 甲 方 信 息 安 全 建 设 力 量 的 重 要 补 充 。 很 多 方 案 设 计 、 风 险 分 析 、 技 术 实 施 都 需 要 乙 方 人 员 的 深 度 参 与 ， 毕 竟 他 们 在 细 分 领 域 以 及 专 业 场 景 上 ， 比 我 们 甲 方 人 员 要 见 得 多 、 识 得 广 。 作 为 甲 方 团 队 人 员 ， 我 们 要 善 于 使 用 乙 方 团 队 ， 团 结 带 领 乙 方 团 队 快 速 高 效 地 搭 建 起 甲 方 的 信 息 安 全 治 理 体 系 。 对 于 甲 方 来 说 ， 信 息 安 全 建 设 工 作 既 是 一 个 技 术 问 题 ， 但 已 经 超 越 了 技 术 问 题 ， 这 里 面 牵 涉 了 很 多 制 衡 、 沟 通 、 协
调 、 妥 协 等 方 方 面 面 的 问 题 。 作 为 甲 方 信 息 安 全 人 员 来 说 ， 在 了 解 信 息 安 全 专 业 知 识 的 时 候 ， 还 应 该 多 掌 握 一 些 战 略 战 术 层 面 的 方 法 论 ， 以 让 企 业 的 信 息 安 全 工 作 能 够 更 好 的 推 广 实 施 下 去 。 （ 本 文 是 作 者 在 企 业 安 全 实 践 中 一 些 分 析 和 思 考 ， 也 是 作 者 的 一 家 之 言 ， 供 大 家 参 考 。 因 个 人 能 力 、 视 野 及 技 术 水 平 限 制 ， 未 免 有 些 错 误 、 偏 颇 以 及 疏 漏 ， 敬 请 读 者 谅 解 。 ） * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s h e n g l 9 9 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理