搜索

[13925] 2019-03-29_给CSO的三句话企业风险自评框架

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-29_给CSO的三句话企业风险自评框架 给 C S O 的 三 句 话   |   企 业 风 险 自 评 框 架 h a i c z h   F r e e B u f   2 0 1 9 - 0 3 - 2 9 C S O 是 是 C h i e f   S e c u r i t y   O f f i c e r 的 简 称 ， 大 家 习 惯 译 为 首 席 安 全 执 行 官 。 其 主 要 职 责 为 负 责 整 个 机 构 的 安 全 运 行 的 简 称 ， 大 家 习 惯 译 为 首 席 安 全 执 行 官 。 其 主 要 职 责 为 负 责 整 个 机 构 的 安 全 运 行 状 态 ， 既 包 括 物 理 安 全 又 包 括 数 字 信 息 安 全 。 负 责 监 控 、 协 调 公 司 内 部 的 各 类 安 全 工 作 ， 包 括 信 息 技 术 、 人 力 状 态 ， 既 包 括 物 理 安 全 又 包 括 数 字 信 息 安 全 。 负 责 监 控 、 协 调 公 司 内 部 的 各 类 安 全 工 作 ， 包 括 信 息 技 术 、 人 力 资 源 、 通 信 、 合 规 性 、 设 备 管 理 等 。 同 时 ， 还 要 负 责 制 订 安 全 措 施 和 安 全 标 准 。 资 源 、 通 信 、 合 规 性 、 设 备 管 理 等 。 同 时 ， 还 要 负 责 制 订 安 全 措 施 和 安 全 标 准 。 C S O 的 出 现 与 信 息 技 术 的 发 展 和 受 重 视 程 度 密 切 相 关 。 我 国 从 上 世 纪 6 0 年 代 至 今 ， 企 业 的 信 息 化 发 展 经 历 了 创 生 、 起 步 、 发 展 等 阶 段 ， 现 在 进 入 了 一 个 持 续 整 合 和 优 化 提 升 的 时 代 。 企 业 开 始 关 注 信 息 化 的 可 持 续 发 展 ， 其 中 信 息 安 全 和 绿 色 I T 等 理 念 已 经 成 为 企 业 关 注 的 重 点 ， 信 息 安 全 正 在 成 为 企 业 发 展 的 核 心 竞 争 力 和 决 定 在 数 字 化 竞 争 中 生 死 存 亡 的 决 定 性 因 素 之 一 。 目 前 企 业 的 安 全 正 在 受 到 病 毒 感 染 ， 黑 客 攻 击 、 人 为 泄 密 等 严 重 威 胁 ， 设 立 专 门 负 责 安 全 的 C S O 能 够 为 企 业 的 发 展 提 供 有 力 的 保 障 。 首 席 安 全 执 行 官 在 保 护 公 司 信 息 安 全 的 战 役 中 也 被 寄 于 厚 望 。 在 战 术 层 面 上 ， 企 业 希 望 C S O 可 以 将 主 流 的 信 息 安 全 技 术 要 素 注 入 到 企 业 网 络 环 境 中 ， 为 企 业 数 据 库 技 术 和 网 络 技 术 提 供 新 的 驱 动 力 ， 保 障 企 业 稳 定 发 展 。 在 战 略 层 面 上 ， C E O 和 公 司 董 事 会 根 据 一 些 法 规 ， 如 萨 班 斯 ﹒ 奥 克 斯 利 法 案 ， 从 战 略 高 度 希 望 C S O 可 以 帮 助 企 业 抵 抗 和 化 解 合 规 风 险 ， 为 企 业 长 远 发 展 保 驾 护 航 。 而 在 实 际 工 作 中 ， 由 于 各 种 原 因 ， 企 业 的 C S O 并 不 是 资 深 从 事 安 全 工 作 的 人 员 ， 要 么 是 从 网 络 调 配 ， 或 者 其 他 管 理 者 兼 职 或 分 管 ， 这 种 情 形 下 ， 想 充 分 发 挥 C S O 这 一 岗 位 职 能 或 不 负 重 望 ， 就 很 困 难 了 。 从 事 安 全 咨 询 工 作 的 这 些 年 ， 我 也 一 直 在 思 考 ， 有 没 有 一 套 比 较 好 的 思 考 框 架 来 帮 助 信 息 安 全 管 理 者 ， 在 他 们 不 需 要 太 深 入 了 解 安 全 技 术 的 前 提 下 ， 就 可 以 做 好 整 体 的 企 业 安 全 规 划 ， 布 局 企 业 信 息 安 全 建 设 ， 稳 步 推 进 。 由 于 国 内 企 业 安 全 起 步 相 比 较 晚 ， 安 全 建 设 也 大 都 是 这 两 年 才 开 始 ， 由 于 经 验 等 多 方 面 原 因 ， 我 们 看 到 大 多 数 的 企 业 安 全 建 设 过 程 都 属 于   “ 据 点 式 ” 建 设 ， 想 起 什 么 问 题 或 遇 到 什 么 ， 就 解 决 什 么 问 题 ； 各 个 部 门 之 间 各 自 为 政 ， “ 专 注 于 ” 解 决 自 己 的 问 题 ， 造 成 很 多 重 复 投 资 。 直 接 导 致 钱 没 少 花 ， 事 没 少 出 ， 让 安 全 在 高 层 管 理 者 眼 里 变 成 了 一 种 毫 无 收 益 的 花 钱 无 底 洞 。 也 看 到 过 有 公 司 请 咨 询 机 构 或 安 全 公 司 来 规 划 安 全 建 设 的 ， 这 种 规 划 要 么 商 业 目 的 太 强 ， 要 么 就 属 于 通 用 性 的 ， 而 且 不 具 有 持 续 性 ， 最 后 的 结 果 要 么 是 没 有 什 么 成 效 ， 要 么 干 脆 无 疾 而 终 。 每 一 个 企 业 管 理 者 ， 都 有 其 职 责 领 域 内 的 应 尽 关 注 （ D u e   C a r e ） ， C S O 更 不 例 外 。 应 尽 关 注 究 其 本 质 而 言 就 是 你 应 该 知 晓 你 所 在 领 域 内 的 安 全 风 险 ， 并 采 取 措 施 进 行 控 制 风 险 。 个 人 理 解 就 是 危 机 感 和 责 任 感 。 危 机 感 ： 以 你 的 知 识 体 察 你 所 从 事 领 域 或 工 作 职 责 范 围 内 的 危 机 ； 责 任 感 ： 就 是 通 过 调 用 资 源 或 技 术 手 段 对 危 机 进 行 处 置 。 在 很 多 国 家 ， 应 尽 关 注 被 提 高 到 法 律 层 面 ， 来 对 企 业 管 理 层 提 出 要 求 。 应 尽 关 注 其 实 是 用 来 保 护 企 业 管 理 者 的 一 种 很 好 的 工 具 ， 因 为 从 法 律 层 面 讲 ， 只 要 做 到 应 尽 关 注 ， 就 可 以 避 开 “ 渎 职 ” 罪 责 的 处 罚 。 信 息 安 全 领 域 也 一 样 ， 也 有 应 尽 关 注 的 要 求 。 但 由
于 安 全 领 域 技 术 发 展 速 度 快 ， 涉 及 知 识 领 域 广 ， 攻 防 对 抗 技 术 更 新 替 换 频 率 高 。 应 尽 关 注 这 一 对 管 理 者 的 最 低 要 求 ， 反 而 成 了 信 息 安 全 管 理 者 的 头 号 难 题 了 。 我 们 常 见 的 安 全 部 门 成 为 企 业 信 息 安 全 的 “ 背 锅 侠 ” 就 是 应 尽 关 注 出 了 问 题 。 本 文 从 风 险 识 别 的 角 度 出 发 ， 提 出 一 种 寻 找 企 业 信 息 安 全 不 足 的 思 考 框 架 — — U S E 框 架 ， 帮 助 C S O 或 安 全 管 理 者 识 别 信 息 安 全 风 险 ， 树 立 危 机 意 识 ， 更 好 的 履 行 “ 应 尽 关 注 ” 职 责 。 由 于 个 人 能 力 局 限 ， 其 中 必 然 存 在 诸 多 的 不 妥 ， 也 算 是 抛 砖 引 玉 ， 欢 迎 大 家 探 讨 。 第 一 部 分 ： 心 中 常 记 的 三 句 话 第 一 部 分 ： 心 中 常 记 的 三 句 话 — — U S E 企 业 风 险 自 评 框 架 企 业 风 险 自 评 框 架 我 将 三 句 话 总 结 为 U S E 企 业 风 险 自 评 框 架 ， U S E 企 业 风 险 自 评 框 架 是 将 该 框 架 中 关 注 的 三 个 元 素 的 英 文 首 字 母 组 合 而 成 ， 即 U s e r ， 用 户 ；   S y s t e m , 系 统 ；   E n v i r o n m e n t a l ， 环 境 。 U S E 企 业 风 险 自 评 框 架 将 企 业 所 有 风 险 的 业 源 归 究 于 这 三 个 核 心 元 素 的 失 察 。 换 句 话 说 ， 任 何 一 个 安 全 事 件 的 发 生 ， 多 数 是 由 于 这 三 个 核 心 要 素 中 的 一 个 、 两 个 或 三 个 出 问 题 造 成 的 。 所 以 在 企 业 在 信 息 安 全 治 理 过 程 中 ， 可 以 使 用 该 框 架 来 进 行 风 险 的 自 评 ， 查 找 企 业 潜 在 的 安 全 风 险 。 这 其 实 是 一 个 由 体 到 面 ， 再 到 点 的 思 维 过 程 。 我 们 通 过 关 注 这 三 个 核 心 要 素 的 风 险 控 制 情 况 来 管 理 企 业 信 息 安 全 风 险 ， 这 就 是 U S E 企 业 风 险 自 评 框 架 的 核 心 要 义 。 框 架 目 前 只 对 U S E 三 点 进 行 框 定 ， 其 他 内 部 内 容 用 户 都 可 以 自 行 补 充 。 U S E 三 个 面 组 成 一 个 体 ， 其 中 的 每 个 面 都 可 以 分 别 三 个 小 步 骤 。 整 体 框 概 要 图 如 下 ： 1 . 1   关 注 用 户 （ 关 注 用 户 （ U s e r ） 的 不 安 全 行 为 （ ） 的 不 安 全 行 为 （ B e h a v i o r ） ） 人 是 信 息 安 全 控 制 中 最 大 的 变 量 。 因 此 ， 我 将 思 考 人 的 行 为 放 在 整 个 思 考 框 架 的 第 一 位 。 每 一 个 管 理 者 在 开 展 业 务 ， 上 线 系 统 ， 指 派 任 务 时 都 应 该 考 虑 都 人 的 个 体 差 异 性 。 任 何 时 候 管 好 人 都 是 企 业 信 息 管 理 的 第 一 职 责 。 1 . 1 . 1   用 户 识 别 用 户 识 别 在 用 户 的 不 安 全 行 为 识 别 时 ， 我 们 将 用 户 分 为 两 大 类 ， 管 理 员 用 户 和 普 通 用 户 ， 这 两 类 用 户 在 信 息 系 统 使 用 中 分 别 对 应 前 台 和 后 台 ， 风 险 的 关 注 点 也 有 所 不 同 ， 我 们 将 其 分 开 ； 再 将 普 通 用 户 细 分 为 内 部 用 户 和 外 部 用 户 两 类 ， 内 部 用 户 主 要 是 企 业 自 己 的 员 工 ， 外 部 用 户 就 是 企 业 所 服 务 的 对 象 ， 这 两 类 用 户 所 接 触 到 的 数 据 和 信 息 的 重 要 性 ， 敏 感 程 度 不
尽 相 同 ， 我 们 也 将 进 行 划 分 。 如 下 图 ： 1 . 1 . 2   行 为 识 别 行 为 识 别 管 理 员 用 户 具 有 较 高 的 系 统 权 限 ， 其 可 以 系 统 中 进 行 风 险 比 较 高 的 行 为 ， 如 使 用 特 权 账 号 ， 进 行 数 据 拷 贝 ， 业 务 系 统 变 更 等 等 。 如 下 图 内 部 用 户 行 为 识 别 ， 由 于 内 部 人 员 往 往 数 量 较 大 ， 我 们 可 以 从 其 职 责 或 信 息 系 统 使 用 行 为 方 面 来 进 行 行 为 识 别 。 关 注 内 部 工 作 人 员 的 行 为 ， 可 以 有 效 防 止 数 据 泄 露 的 风 险 。 这 方 面 手 段 的 建 立 ， 对 试 图 窃 取 企 业 数 据 的 员 工 造 成 一 种 威 慑 。 对 数 据 的 泄 露 可 以 有 效 进 行 管 控 ， 也 对 后 期 数 据 泄 露 后 的 追 责 提 供 依 据 。 我 们 看 到 近 年 来 大 型 的 数 据 泄 露 事 件 多 与 内 部 员 工 有 关 系 ， 如 德 勤 的 用 户 资 料 泄 露 。 这 里 人 员 管 理 主 要 是 涉 及 到 人 员 录 用 ， 培 训 教 育 ， 辞 退 等 一 系 列 工 作 ， 防 止 录 用 不 合 格 的 员 工 或 者 商 业 间 谍 。 外 部 用 户 行 为 识 别 可 以 简 单 的 分 为 两 大 类 ， 业 务 行 为 和 其 他 行 为 ， 打 开 “ 门 ” 做 生 意 ， 自 然 会 遇 到 各 种 各 样 的 人 ， 做 最 坏 的 打 算 ， 往 往 能 帮 助 度 过 企 业 不 可 预 期 的 风 险 。 因 此 ， 在 为 用 户 服 务 的 同 时 ， 应 该 做 好 面 对 别 有 用 心 用 户 的 识 别 和 防 范 。 如 下 图
1 . 1 . 3   风 险 识 别 风 险 识 别 我 们 从 每 一 类 用 户 对 应 的 行 为 出 发 ， 就 可 以 识 别 出 这 一 行 为 有 可 能 会 产 生 的 风 险 ， 从 体 到 面 ， 再 到 点 的 思 维 方 式 可 以 避 免 我 们 的 思 考 产 生 盲 区 。 内 部 用 户 风 险 识 别 ， 如 下 图 ：
外 部 用 户 风 险 识 别 ， 如 下 图 ： 1 . 2   关 注 系 统 （ 关 注 系 统 （ S y s t e m ） 的 不 安 全 状 态 （ ） 的 不 安 全 状 态 （ S t a t u s ） ） 1 . 2 . 1 系 统 识 别 关 注 系 统 的 不 安 全 状 态 最 大 的 一 个 挑 战 是 识 别 系 统 ， 也 就 是 识 别 资 产 。 在 很 多 企 业 中 ， 资 产 的 维 护 分 散 在 不 同 的 部 门 ， 安 全 部 门 并 没 有 一 个 完 整 和 系 统 或 资 产 清 单 。 在 这 种 情 况 下 ， 就 如 同 牧 羊 人 不 知 道 自 己 有 多 少 只 羊 ， 自 然 就 管 理 不 好 羊 群 了 。 所 以 这 一 步 ， 是 企 业 安 全 治 理 过 程 中 必 须 迈 出 的 坚 实 一 步 。 随 着 虚 拟 化 技 术 的 出 现 ， 系 统 管 理 将 会 带 来 更 大 的 挑 战 ， 所 以 这 部 分 功 课 ， 不 管 企 业 落 下 多 久 ， 都 需 要 及 时 补 上 。 1 . 2 . 2   不 安 全 状 态 识 别 系 统 的 不 安 全 状 态 ， 框 架 中 大 致 分 为 了 三 类 ， 使 用 技 术 的 不 安 全 性 导 致 系 统 处 于 不 安 全 状 态 ，   管 理 控 制 不 安 全 导 致 系 统 处 于 不 安 全 状 态 中 ， 物 理 安 全 管 控 不 到 位 导 致 系 统 处 于 不 安 全 有 状 态 之 下 ； 使 用 技 术 的 不 安 全 性 导 致 系 统 处 于 不 安 全 状 态 ， 分 为 新 技 术 的 使 用 导 致 的 不 安 全 和 系 统 本 身 的 原 因 引 起 的 不 安 全 。 一 些 新 兴 技 术 的 兴 起 和 使 用 可 以 对 原 本 的 系 统 状 态 发 生 变 更 而 导 致 不 安 全 性 。 如 在 没 有 云 计 算 技 术 之 前 ， 数 据 处 理 时 使 用 中 大 型 机 ， 不 用 考 虑 数 据 一 致 性 的 问 题 ， 因 为 数 据 就 一 份 。 但 在 云 计 算 环 境 中 ， 数 据 一 致 性 问 题 就 不 得 不 考 虑 ， 因 为 它 分 布 式 存 在 多 个 数 据 副 本 ， 每 一 个 副 本 很 有 可 能 不 一 样 。 系 统 自 身 的 不 安 全 状 态 有 漏 洞 未 及 时 得 到 修 复 ， 服 务 器
未 进 行 加 固 或 安 装 了 恶 意 的 应 用 程 序 ， 或 者 已 经 遭 受 到 了 攻 击 而 被 控 制 。 如 图 ： 管 理 上 的 不 安 全 导 致 系 统 处 于 不 安 全 状 态 情 形 常 见 的 上 线 管 理 、 变 更 控 制 、 运 维 管 理 以 及 系 统 下 线 退 役 制 度 的 缺 失 而 迫 使 系 统 由 安 全 变 为 不 安 全 。 如 变 更 控 制 中 缺 少 变 更 后 安 全 验 证 环 节 ， 让 一 个 得 到 加 固 ， 安 全 上 线 的 系 统 ， 随 着 变 更 ， 慢 慢 变 得 千 疮 百 孔 。 物 理 安 全 导 致 系 统 处 于 不 安 全 状 态 的 情 形 最 好 理 解 ， 为 什 么 机 房 要 上 锁 就 是 这 个 道 理 ， 如 果 把 服 务 器 放 在 操 作 上 肯 定 是 有 问 题 。 其 中 重 点 要 说 明 的 是 入 侵 检 测 系 统 ， 国 内 多 数 企 业 机 房 设 置 有 访 问 控 制 设 施 ， 但 在 未 经 批 准 的 情 形 下 进 入 机 房 操 作 的 情 况 时 有 发 生 。 某 企 业 就 因 为 U P S 巡 检 ， 未 得 到 批 准 进 入 机 房 ， 操 作 失 误 造 成 U P S 短 路 ， 机 房 停 电 近 3 个 小 时 。 因 此 ， 物 理 环 境 的 入 侵 检 测 手 段 是 十 分 必 要 的 ， 其 很 有 可 能 在 你 不 知 情 的 情 况 下 将 系 统 置 于 十 分 危 险 的 状 态 之 下 。 系 统 不 安 全 状 态 的 治 理 和 企 业 信 息 安 全 需 要 不 断 提 升 和 优 化 的 工 作 ， 其 工 作 内 容 会 随 着 系 统 规 模 的 变 化 、 技 术 的 发 展 而 不 断 变 化 ， 大 家 可 以 根 据 企 业 实 际 情 况 ， 对 框 架 内 容 进 行 不 断 的 丰 富 。 1 . 2 . 3   风 险 识 别 风 险 识 别 根 据 识 别 出 的 导 致 系 统 处 于 不 安 全 状 态 因 素 进 行 逐 项 风 险 识 别 。 也 可 以 对 某 一 大 项 进 行 整 体 风 险 识 别 。
1 . 3   关 注 环 境 （ 关 注 环 境 （ E n v i r o n m e n t a l ） 的 不 安 全 因 素 （ ） 的 不 安 全 因 素 （ F a c t o r s ） ） 企 业 和 人 一 样 ， 是 社 会 关 系 的 集 合 和 产 物 ， 因 此 不 可 能 脱 立 于 现 实 环 境 而 存 在 。 企 业 安 全 建 设 和 规 划 ， 更 不 能 不 考 虑 当 前 信 息 安 全 的 环 境 ， 因 此 ， 企 业 信 息 安 全 规 划 的 第 三 个 因 素 就 是 环 境 。 1 . 3 . 1   环 境 分 析 环 境 分 析 环 境 分 析 中 ， 可 以 将 环 境 大 致 分 为 内 部 环 境 和 外 部 环 境 两 类 ， 外 部 环 境 着 眼 于 安 全 领 域 内 的 大 趋 势 和 大 环 境 ， 着 眼 于 宏 观 层 面 。 内 部 环 境 ， 关 注 自 己 企 业 安 全 内 部 环 境 治 理 ， 从 微 观 层 面 洞 察 企 业 安 全 风 险 。 如 图 ： 1 . 3 . 2   识 别 不 安 全 因 素 识 别 不 安 全 因 素 外 部 环 境 中 不 安 全 因 素 的 识 别 ， 主 要 是 站 在 旁 观 者 的 视 角 ， 来 观 察 企 业 ， 或 者 企 业 想 知 道 自 己 的 安 全 状 况 从 攻 击 者 来 看 是 什 么 水 平 或 状 态 。 例 如 外 部 合 作 伙 伴 （ 如 供 应 商 倒 闭 ） 带 来 的 风 险 ， 对 系 统 或 业 务 系 统 进 行 的 旁 路 攻 击 ， 突 发 灾 难 等 。 内 部 环 境 的 中 的 不 安 全 因 素 主 要 是 管 理 者 从 企 业 日 常 建 设 或 安 全 事 件 中 总 结 出 来 的 内 部 整 体 安 全 氛 围 的 情 况 。 如 在 安 全 事 件 溯 源 过 程 中 发 现 的 日 志 审 计 手 段 不 足 ， 在 攻 击 发 现 过 程 中 对 现 对 流 量 的 不 可 见 性 ， 甚 至 于 对 内 部 整 体 安 全 态 势 的 盲 目 乐 观 等 。 示 例 如 图 ： 1 . 3 . 4   风 险 识 别 风 险 识 别 每 一 个 不 安 全 因 素 势 必 会 导 致 一 种 多 种 安 全 风 险 ， 我 们 可 以 顺 藤 摸 瓜 ， 找 出 这 种 风 险 ， 示 例 如 下 ：
第 二 部 分 ： 如 何 使 用 框 架 第 二 部 分 ： 如 何 使 用 框 架 2 . 1   企 业 安 全 能 力 自 评 与 评 估 企 业 安 全 能 力 自 评 与 评 估 框 架 是 一 种 风 险 视 角 的 思 考 方 法 ， 大 家 可 以 从 以 上 三 点 出 别 ， 识 别 企 业 在 安 全 建 设 中 不 足 ， 并 将 其 进 行 列 举 ， 列 举 出 来 后 ， 进 行 详 细 的 项 目 需 求 论 证 和 立 项 ， 完 成 企 业 安 全 建 设 规 划 。 管 理 者 也 以 可 以 将 框 架 进 行 细 分 后 将 其 指 派 对 企 业 对 应 的 部 门 ， 由 企 业 内 部 具 体 部 门 进 行 详 细 的 分 析 和 立 项 。 管 理 可 以 以 此 框 架 为 企 业 风 险 评 估 建 立 标 准 ， 通 过 评 估 可 以 得 到 企 业 在 安 全 方 面 的 不 足 ， 而 不 像 传 统 的 单 点 或 单 个 系 统 的 评 估 ， 帮 助 管 理 者 从 宏 观 层 面 把 握 企 业 安 全 风 险 。 2 . 2   安 全 规 划 安 全 规 划 通 过 第 一 步 自 评 和 评 估 出 的 风 险 点 ， 企 业 可 以 规 划 自 己 在 未 来 的 安 全 建 设 方 向 和 安 全 需 求 ， 进 行 长 远 的 安 全 规 划 。 如 企 业 从 环 境 的 不 安 全 因 素 中 识 别 出 自 己 发 现 外 部 感 知 能 力 的 不 足 ， 然 后 规 划 威 胁 情 报 建 设 项 目 或 舆 情 监 测 项 目 。 2 . 3   项 目 编 排 项 目 编 排 在 通 过 框 架 评 估 后 ， 大 部 分 企 业 会 发 现 自 己 有 很 多 的 不 足 或 需 要 加 强 和 提 升 的 建 设 项 目 ， 这 时 就 需 要 项 目 编 排 或 者 优 先 级 排 序 。 根 据 行 业 或 业 务 性 质 的 不 同 ， 同 样 的 项 目 建 设 需 求 可 能 会 有 不 同 的 优 先 级 ， 这 里 提 供 一 种 项 目 排 序 方 法 ， 供 各 位 读 者 参 考 ： 我 们 对 规 划 的 项 目 分 为 以 下 几 个 维 度 ： 紧 迫 性 ， 可 行 性 ， 易 行 性 ， 回 报 率 ； 每 个 维 护 分 为 1 - 3 分 三 个 等 级 。 根 据 这 些 因 素 进 行 0 - 3 分 （ 允 许 小 数 ） 的 紧 迫 性 赋 值 。 （ 1 ） 紧 迫 性 在 考 察 紧 迫 性 时 ， 可 以 考 虑 以 下 因 素 ， 用 户 可 以 自 行 补 充 。
有 无 法 律 、 法 规 、 监 管 等 方 面 的 强 制 要 求 有 无 引 起 法 律 诉 讼 的 可 能 性 有 无 涉 及 人 身 安 全 的 可 能 性 有 无 引 发 网 络 全 局 性 崩 溃 的 可 能 性 威 胁 强 度 多 大 能 够 造 成 危 害 ， 难 易 度 直 接 危 害 的 严 重 程 度 间 接 危 害 的 严 重 程 度 破 坏 后 的 恢 复 时 间 破 坏 后 恢 复 的 消 耗 最 近 6 个 月 问 题 发 现 的 频 度 最 近 一 次 发 现 问 题 的 间 隔 （ 2 ） 可 行 性 在 一 个 项 目 的 需 求 可 能 由 于 现 在 技 术 成 熟 度 等 原 因 无 法 达 到 ， 对 于 这 样 的 项 目 要 么 可 以 选 择 推 迟 ， 要 么 选 择 其 他 方 式 来 实 现 ， 防 止 投 资 收 益 过 低 的 出 现 。 另 外 在 技 术 成 熟 性 时 还 应 考 虑 企 业 实 际 的 业 务 环 境 ， 不 可 一 味 地 追 求 先 进 ， 而 规 划 过 于 激 进 的 项 目 ； 可 以 从 以 下 维 度 进 行 考 虑 ： 外 部 政 策 是 否 允 许 内 部 管 理 条 件 是 否 具 备 技 术 成 熟 度 内 部 技 术 条 件 是 否 具 备 外 部 支 持 条 件 是 否 具 备 内 部 人 员 知 识 及 技 术 是 否 具 备 （ 3 ） 易 行 性 企 业 信 息 安 全 项 目 的 实 施 一 般 都 是 由 易 到 难 ， 如 能 从 网 络 层 面 解 决 的 问 题 ， 就 不 放 在 终 端 解 决 ， 如 入 侵 检 测 系 统 的 部 署 ， 现 在 大 部 企 业 都 选 择 的 是 N I D S （ 网 络 入 侵 检 测 ） ， 而 很 少 使 用 H I D S （ 主 机 入 侵 检 测 ） 就 是 这 个 原 理 。 可 以 从 如 下 几 个 角 度 进 行 考 虑 （ 采 用 倒 序 赋 值 ， 即 越 难 的 分 数 越 小 ， 越 易 的 分 数 越 大 ） ： 技 术 难 度 资 金 投 入 大 小 时 间 投 入 长 短 人 力 投 入 大 小 和 人 员 素 质 要 求 外 部 支 持 资 源 的 复 杂 度 对 企 业 策 略 的 触 动 大 小 对 组 织 管 理 的 触 动 大 小
对 运 作 规 定 和 习 惯 的 触 动 大 小 （ 4 ） 回 报 率 回 报 率 的 考 虑 可 以 从 回 报 速 度 ， 以 及 对 其 他 业 务 推 进 ， 成 本 的 降 低 等 角 度 进 行 考 虑 ， 如 ： 见 效 速 度 对 于 安 全 性 的 直 接 效 果 评 价 对 于 业 务 的 直 接 促 进 对 于 其 他 安 全 建 设 项 目 的 支 持 对 安 全 策 略 完 善 的 促 进 对 安 全 组 织 完 善 的 促 进 对 人 员 安 全 素 质 的 促 进 对 安 全 管 理 运 作 规 范 化 的 促 进 对 安 全 管 理 成 本 大 大 降 低 各 部 分 分 值 汇 总 然 后 将 每 个 项 目 各 个 部 分 的 分 值 进 行 汇 总 ， 得 到 项 目 优 先 级 的 排 序 。 根 据 企 业 安 全 预 算 情 况 ， 可 以 确 定 执 行 前 3 名 或 前 5 名 安 全 项 目 建 设 。 接 下 就 是 项 目 管 理 的 方 法 了 ， 将 这 些 项 目 放 进 甘 特 图 ， 进 行 时 间 节 跟 踪 或 由 指 定 项 目 经 理 ， 由 项 目 经 理 定 期 汇 报 项 目 进 度 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理