搜索

[12763] 2018-05-29_观点浅谈信息安全建设与ISO27001体系的结合

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-05-29_观点浅谈信息安全建设与ISO27001体系的结合 观 点   |   浅 谈 信 息 安 全 建 设 与 I S O 2 7 0 0 1 体 系 的 结 合 g a k u s e n   F r e e B u f   2 0 1 8 - 0 5 - 2 9 公 司 安 全 部 门 成 立 的 较 晚 （ 目 前 就 我 一 个 人 负 责 ） ， 高 层 领 导 也 对 信 息 安 全 没 有 什 么 认 识 ， 甚 至 连 安 全 策 略 和 公 司 安 全 部 门 成 立 的 较 晚 （ 目 前 就 我 一 个 人 负 责 ） ， 高 层 领 导 也 对 信 息 安 全 没 有 什 么 认 识 ， 甚 至 连 安 全 策 略 和 针 对 性 的 法 律 法 规 文 件 都 没 有 ， 但 是 运 营 侧 小 伙 伴 却 兴 致 勃 勃 的 搞 起 了 针 对 性 的 法 律 法 规 文 件 都 没 有 ， 但 是 运 营 侧 小 伙 伴 却 兴 致 勃 勃 的 搞 起 了 I S O 2 7 0 0 1 体 系 认 证 ， 那 么 作 为 大 家 经 常 体 系 认 证 ， 那 么 作 为 大 家 经 常 说 的 说 的 “ 一 个 人 的 安 全 部 门 一 个 人 的 安 全 部 门 ” ， 只 能 一 边 苦 笑 ， 一 边 配 合 。 ， 只 能 一 边 苦 笑 ， 一 边 配 合 。 前 期 体 系 的 建 设 工 作 分 为 三 步 ： 1 、   填 写 各 种 各 样 的 材 料 ， 没 完 没 了 的 编 和 想 象 ； 2 、   糊 弄 评 审 老 师 ， 告 诉 他 们 我 们 公 司 目 前 信 息 安 全 体 系 很 棒 ； 3 、   请 老 师 吃 饭 ； 通 过 近 半 年 的 奋 战 ， 公 司 终 于 完 成 了 I S O 2 7 0 0 1 的 复 审 ， 按 照 评 审 老 师 的 评 价 ： “ 贵 公 司 没 有 什 么 大 问 题 ， 该 有 的 材 料 都 有 ， 信 息 安 全 体 系 建 设 的 不 错 ” ， 应 该 是 离 拿 证 不 远 了 。 但 是 作 为 信 息 安 全 建 设 管 理 者 ， 回 想 起 前 段 时 间 为 了 应 付 检 查 ， 大 量 撰 写 的 “ 公 司 信 息 安 全 体 系 落 地 文 件 ” ， 不 经 出 了 一 身 冷 汗 ， 公 司 的 信 息 安 全 真 是 处 于 “ 原 始 社 会 ” ； 很 多 时 候 ， 我 们 在 应 付 I S O 2 7 0 0 0 1 评 审 的 同 时 ， 又 在 对 未 知 的 信 息 安 全 问 题 抱 有 幻 想 ， 猜 测 与 恐 慌 ： 你 无 法 预 料 到 那 天 出 现 安 全 危 机 ， 无 论 是 技 术 层 面 上 的 （ 病 毒 大 面 积 感 染 ， 公 司 Q Q 被 集 体 脱 库 ， 绝 密 聊 天 记 录 被 曝 光 ， 网 站 被 D D O S 等 等 ） ， 还 是 管 理 层 面 上 的 （ 内 部 员 工 泄 密 ， 间 谍 盗 走 财 务 数 据 等 等 ） ； 而 谁 也 不 知 道 我 们 首 先 应 该 做 些 什 么 ； 经 过 近 一 年 的 努 力 和 探 索 ， 在 这 里 我 分 享 一 下 自 己 在 建 设 公 司 安 全 管 理 体 系 和 落 实 I S O 2 7 0 0 1 之 间 采 取 的 平 衡 策 略 和 妥 协 ， 还 请 大 家 多 多 指 教 ； 一 、 自 己 清 楚 体 系 的 核 心 一 、 自 己 清 楚 体 系 的 核 心 换 句 话 来 说 ， 你 得 明 确 贯 彻 落 实 最 关 键 的 二 八 原 则 ， 公 司 的 体 系 建 设 类 似 于 为 一 个 人 定 制 一 套 衣 服 ， 首 先 肯 定 是 解 决 裸 奔 的 问 题 ， 而 不 是 舒 适 度 或 者 是 美 观 ； 你 得 清 楚 哪 些 对 我 们 公 司 运 营 是 当 务 之 急 的 ， 哪 些 又 是 暂 时 没 必 要 ， 没 有 预 算 ， 或 者 实 施 不 了 ， 甚 至 是 实 施 了 以 后 影 响 工 作 效 率 的 ； 例 如 说 信 息 安 全 工 作 评 审 ， 手 册 文 件 上 说 每 一 个 月 都 要 进 行 一 次 评 审 会 议 ， 高 层 必 须 参 加 ， 但 是 领 导 层 如 果 不 是 专 职 信 息 安 全 的 人 员 ， 而 且 又 不 懂 各 种 各 样 的 体 系 ， 那 么 与 其 开 这 种 一 个 人 说 话 的 会 议 不 如 改 成 每 一 个 月 的 工 作 汇 报 ， 通 过 群 发 邮 件 的 方 式 ， 让 大 家 了 解 进 展 即 可 ； 又 比 如 面 对 什 么
信 息 安 全 制 度 体 系 都 没 有 的 技 术 部 门 ， 你 一 下 子 甩 几 个 三 类 文 件 规 程 ， 和 几 十 个 日 志 文 件 给 他 们 ， 让 他 们 实 现 什 么 日 志 评 审 ， 第 三 方 工 作 日 志 评 审 ， 并 定 期 让 他 们 跟 你 进 行 工 作 汇 报 ， 那 么 我 想 别 人 肯 定 也 只 能 靠 编 撰 了 。 工 作 如 果 仅 仅 是 这 样 做 ， 那 “ 建 设 ” 就 成 了 空 话 ， 没 有 意 识 和 规 定 ， 单 单 靠 要 求 是 不 现 实 的 事 情 。 二 、 领 导 层 知 道 你 在 做 什 么 二 、 领 导 层 知 道 你 在 做 什 么 要 进 行 体 系 的 建 立 ， 首 先 就 是 指 定 责 任 人 与 领 导 小 组 ， 这 些 领 导 小 组 无 非 是 一 些 公 司 的 高 层 ， 很 多 做 信 息 安 全 体 系 建 设 的 同 事 对 此 嗤 之 以 鼻 ， 觉 得 他 们 都 不 懂 安 全 ， 不 应 该 由 他 们 来 组 织 实 施 体 系 的 建 设 工 作 ； 但 是 ， 不 懂 安 全 的 领 导 来 担 任 信 息 安 全 指 挥 家 ， 不 是 更 能 够 让 你 “ 为 所 欲 为 ” 了 吗 ； 你 也 不 能 一 个 人 埋 头 苦 干 而 忽 视 了 领 导 层 ， 毕 竟 领 导 们 处 在 的 位 置 决 定 了 他 们 比 你 更 好 调 动 资 源 。 三 、 根 据 公 司 的 运 营 现 状 阶 段 实 施 三 、 根 据 公 司 的 运 营 现 状 阶 段 实 施 对 一 个 操 作 进 行 评 审 的 前 提 ， 是 必 须 要 有 这 个 操 作 ， 这 是 毋 庸 置 疑 的 。 进 行 体 系 建 设 也 一 样 ， 如 果 说 我 们 刚 刚 进 行 了 防 火 墙 日 志 的 统 计 和 收 集 ， 大 家 还 不 了 解 日 志 的 内 容 ， 甚 至 说 里 面 充 斥 着 大 量 的 冗 余 无 关 日 志 ， 那 么 进 行 日 志 的 评 审 就 显 得 没 有 必 要 了 ， 这 时 候 的 当 务 之 急 应 该 是 将 日 志 进 一 步 进 行 分 析 ， 精 简 ， 等 过 了 这 个 阶 段 ， 日 志 分 析 纳 入 了 日 常 工 作 范 畴 ， 评 审 才 能 够 提 上 议 程 ； 四 、 划 分 部 门 指 导 工 作 与 培 训 四 、 划 分 部 门 指 导 工 作 与 培 训 公 司 整 体 性 提 升 信 息 安 全 意 识 要 靠 定 期 的 培 训 与 宣 传 ， 但 是 针 对 管 理 体 系 的 培 训 更 应 该 因 人 而 异 。 初 到 公 司 我 也 进 行 过 培 训 ， 让 大 家 了 解 到 信 息 安 全 建 设 的 重 要 性 ， I S O 2 7 0 0 1 体 系 对 公 司 会 有 哪 些 好 处 。 但 是 效 果 并 不 明 显 ， 第 一 是 因 为 大 家 才 初 步 了 解 信 息 安 全 的 概 念 ， 这 个 时 候 提 信 息 安 全 体 系 还 为 时 过 早 ； 第 二 是 因 为 每 一 个 部 门 对 信 息 安 全 体 系 的 侧 重 点 并 不 一 样 ， 研 发 部 门 可 能 会 关 心 他 们 辛 辛 苦 苦 写 出 的 代 码 ， 而 财 务 部 门 却 关 心 的 是 公 司 的 防 泄 密 体 系 ； 这 个 时 候 ， 周 期 性 的 ， 针 对 部 门 进 行 培 训 ， 并 在 其 中 穿 插 进 体 系 的 内 容 ， 大 家 就 好 理 解 。 由 浅 到 深 尤 为 重 要 ， 比 如 这 个 月 我 针 对 财 务 系 统 给 大 家 讲 解 了 脆 弱 性 和 威 胁 ， 那 么 大 家 对 风 险 评 估 就 会 有 一 定 的 理 解 ， 接 下 来 开 展 相 应 的 资 产 识 别 工 作 就 容 易 了 很 多 。 五 、 和 监 管 部 门 进 行 配 合 五 、 和 监 管 部 门 进 行 配 合 信 息 安 全 工 作 请 务 必 让 公 司 的 “ 内 控 监 察 ” 部 门 配 合 ， 实 现 有 法 可 依 和 制 度 的 执 行 ； 特 别 是 当 初 到 公 司 ， 信 息 安 全 管 理 制 度 一 片 空 白 的 情 况 下 ， 不 能 每 一 件 事 都 是 “ 善 意 的 提 醒 ” ， 例 如 ， 我 们 可 以 在 “ 内 控 监 察 ” 的 配 合 下 ， 对 员 工 的 日 常 行 为 进 行 了 规 范 ， （ 如 清 屏 策 略 ， 密 码 复 杂 度 要 求 ， 内 外 网 分 离 要 求 等 ） ， 纳 入 每 一 个 月 的 绩 效 考 核 中 ， 让 每 一 个 人 心 中 都 有 一 个 最 基 础 的 信 息 安 全 意 识 。 初 次 发 文 ， 学 识 浅 陋 ， 如 果 错 误 或 疑 问 ， 敬 请 海 涵 ， 欢 迎 评 论 探 讨 ， 批 评 指 正 ！ * 本 文 作 者 ： g a k u s e n ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理