信息安全

1. 信息安全原則策略
   1.1 原則  
   1.2 策略    
   1.3 訪問(wèn)控制
   1.4 區(qū)域劃分
   1.5 密碼分級(jí)
   1.6 區(qū)域劃分
   1.7 變更與控制管理
   1.8 保護(hù)機(jī)制
   1.9 政策與法規(guī)
   1.10 安全角色與職責(zé)
2. 網(wǎng)絡(luò)安全防護(hù)
   2.1 經(jīng)典的網(wǎng)絡(luò)安全事件
   2.2 構(gòu)建自己的防御體系  
   2.3 網(wǎng)絡(luò)安全威脅類(lèi)型
   2.4 網(wǎng)絡(luò)安全產(chǎn)品
3. 終端安全
   3.1 終端安全管理
   3.2 操作系統(tǒng)和數(shù)據(jù)安全管理
4. 信息安全管理體系  

      公司信息安全相對(duì)于一個(gè)科技公司，重要性是不言而喻的。一個(gè)研發(fā)成果，可能因?yàn)榘踩Ｗo(hù)不力，而給公司的產(chǎn)品競(jìng)爭(zhēng)力帶來(lái)巨大風(fēng)險(xiǎn)，更甚者對(duì)整個(gè)公司帶來(lái)的都是致命打擊。安全Zui 可怕的事情不是數(shù)據(jù)被泄露，而是可能每天都有數(shù)據(jù)被泄露而我們卻渾然不知。

      而公司的信息安全往往是和工作效率成反比的，建設(shè)信息安全必然會(huì)帶來(lái)工作效率的降低。怎么能夠在保障公司工作效率的同時(shí)，又可以安全防護(hù)公司的數(shù)據(jù)？

    信息安全架構(gòu)是一個(gè)綜合的體系架構(gòu)，不僅是安全相關(guān)的技術(shù)問(wèn)題，也不僅是IT部門(mén)的任務(wù)，而是人、管理和技術(shù)這三大要素的結(jié)合，從組織、流程制度體系和技術(shù)方面分別建設(shè)。

    通過(guò)人、管理和技術(shù)手段三大要素，結(jié)合持續(xù)運(yùn)營(yíng)，形成一個(gè)安全體系框架模型：

    組織：公司應(yīng)成立信息安全委員會(huì)并明確其相關(guān)職責(zé)，同時(shí)，各業(yè)務(wù)部門(mén)需要支持和配合信息安全委員會(huì)的工作；

    管理：是指公司的信息安全相關(guān)流程和制度體系，需要根據(jù)公司的安全要求和業(yè)務(wù)部門(mén)的日常工作情況，制定公司的信息安全制度及相關(guān)流程；同時(shí)，公司還需要根據(jù)客戶(hù)需要，認(rèn)證ISO270001，這些將會(huì)在本章的第一節(jié)中詳細(xì)描述；

    技術(shù)：針對(duì)公司制度要求，通過(guò)技術(shù)手段以滿(mǎn)足公司信息安全管控或?qū)徲?jì)要求；將會(huì)分為網(wǎng)絡(luò)安全、主機(jī)安全、終端安全、應(yīng)用安全和數(shù)據(jù)安全分別詳述；

    運(yùn)營(yíng)：任何的企業(yè)管理方面，建設(shè)和運(yùn)營(yíng)是密不可分的，信息安全也不例外。我們除了組織、管理和技術(shù)建設(shè)外，還需要日常的安全運(yùn)營(yíng)，以保障安全的執(zhí)行到位和問(wèn)題的及時(shí)解決，從而逐漸優(yōu)化安全以提升公司的安全保障及工作效率。這些都會(huì)在后續(xù)章節(jié)中展開(kāi)。

    信息安全管理體系是組織機(jī)構(gòu)單位按照信息安全管理體系相關(guān)標(biāo)準(zhǔn)的要求，制定信息安全管理方針和策略，采用風(fēng)險(xiǎn)管理的方法進(jìn)行信息安全管理計(jì)劃、實(shí)施、評(píng)審檢查、改進(jìn)的信息安全管理執(zhí)行的工作體系。信息安全管理體系是按照ISO/IEC27001標(biāo)準(zhǔn)《信息安全，網(wǎng)絡(luò)安全和隱私保護(hù)信息安全管理體系要求》的要求進(jìn)行建立的，ISO/IEC27001標(biāo)準(zhǔn)是由BS7799-2標(biāo)準(zhǔn)發(fā)展而來(lái)。

        

    以下將展開(kāi)介紹企業(yè)信息安全管理制度、流程及ISO27001相關(guān)認(rèn)證。

01

信息安全管理制度和流程

在信息安全管理方面，“三分技術(shù)，七分管理”。任何技術(shù)的管控都不可能是完整的，而且技術(shù)管控也需要有制度的支撐，所以信息安全管理制度是非常重要，也是必不可少的。

為了確保全體員工理解并遵照?qǐng)?zhí)行，企業(yè)需要制定和簽發(fā)信息安全管理體系文件，并依據(jù)信息安全制度的要求，建設(shè)對(duì)應(yīng)的信息安全技術(shù)方案，但在每個(gè)安全技術(shù)管控范圍內(nèi)，都會(huì)有例外的需求，這樣就需要配套的信息安全流程來(lái)滿(mǎn)足這些例外的需求。

01

管理制度

    對(duì)大部分企業(yè)的信息安全管理來(lái)說(shuō)，依據(jù)ISO/IEC27001:2022的4個(gè)主題（即組織、人員、物理和技術(shù)）和15個(gè)安全運(yùn)營(yíng)能力域，建議制定以下信息安全管理制度：

1）信息安全治理：為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)文件化的信息安全管理體系，確定信息安全方針和目標(biāo)，對(duì)信息安全風(fēng)險(xiǎn)進(jìn)行有效管理，需制定配套的《信息安全管理手冊(cè)》。

2）信息安全崗位職責(zé)：根據(jù)信息安全體系規(guī)定和公司實(shí)際需求，各崗位職責(zé)需在《信息安全組織運(yùn)作管理規(guī)定》中明確。

3）人力資源安全：為了明確公司全體員工及在公司工作的第三方人員的行為，制定《人員信息安全管理規(guī)定》，確保全體員工和第三方用戶(hù)了解信息安全威脅和利害關(guān)系、員工的職責(zé)和義務(wù)。

    4）資產(chǎn)管理：雖然資產(chǎn)管理不僅僅是無(wú)形資產(chǎn)管理，但大部分公司核心資產(chǎn)都是數(shù)據(jù)，所以，根據(jù)信息的敏感性對(duì)信息進(jìn)行分類(lèi)，明確保護(hù)要求、優(yōu)先權(quán)和等級(jí)，以確保對(duì)資產(chǎn)采取適當(dāng)?shù)谋Ｗo(hù)，需制定《內(nèi)容信息安全管理規(guī)定》。 

    5）身份和訪問(wèn)管理：身份管理是指公司的賬號(hào)及密碼的管理，而訪問(wèn)管理則是對(duì)身份的授權(quán)。對(duì)于大部分企業(yè)而言，能否統(tǒng)一賬號(hào)，以及密碼的管理規(guī)范是首要任務(wù)。根據(jù)企業(yè)需要，制定《身份安全管理規(guī)定》，需要包括賬號(hào)管理、密碼的設(shè)置策略、保存和使用規(guī)范、系統(tǒng)授權(quán)管理要求等。

6）物理安全：物理安全的風(fēng)險(xiǎn)主要來(lái)源于自然環(huán)境災(zāi)害，人員訪問(wèn)控制失效，機(jī)房基礎(chǔ)設(shè)施缺失導(dǎo)致的火災(zāi)、漏水、雷擊和靜電對(duì)設(shè)備電路的破壞，溫濕度失調(diào)、設(shè)備失竊等安全事件，會(huì)影響網(wǎng)絡(luò)、主機(jī)和業(yè)務(wù)的連續(xù)性，甚至導(dǎo)致業(yè)務(wù)數(shù)據(jù)丟失等。制定《物理區(qū)域信息安全管理規(guī)定》，要求訪問(wèn)、接待、操作、記錄等流程規(guī)范，從而保障信息系統(tǒng)的業(yè)務(wù)連續(xù)性。

        7）威脅和漏洞管理：隨著企業(yè)的業(yè)務(wù)越來(lái)越復(fù)雜，使用的硬件資源和業(yè)務(wù)系統(tǒng)越來(lái)越多，那么，操作系統(tǒng)及應(yīng)用系統(tǒng)的漏洞風(fēng)險(xiǎn)越來(lái)越高，為了加強(qiáng)漏洞處置和風(fēng)險(xiǎn)管理，需要制定《漏洞管理規(guī)定》，對(duì)漏洞的風(fēng)險(xiǎn)級(jí)別進(jìn)行定義、漏洞發(fā)現(xiàn)和漏洞修復(fù)進(jìn)行規(guī)范。

8）系統(tǒng)和網(wǎng)絡(luò)安全：為保證公司計(jì)算機(jī)網(wǎng)絡(luò)安全和正常運(yùn)行，確保服務(wù)器和終端在公司網(wǎng)絡(luò)內(nèi)正常運(yùn)行，為公司提供安全可靠的網(wǎng)絡(luò)環(huán)境，由公司IT部負(fù)責(zé)公司網(wǎng)絡(luò)管理，制定并發(fā)布了《網(wǎng)絡(luò)信息安全管理制度》。

9）應(yīng)用系統(tǒng)安全：根據(jù)信息安全體系規(guī)定和公司實(shí)際需求，員工對(duì)信息的訪問(wèn)進(jìn)行必要的權(quán)限控制，并由應(yīng)用系統(tǒng)管理員定期進(jìn)行檢查，防止未經(jīng)授權(quán)的用戶(hù)訪問(wèn)，尤其對(duì)Web系統(tǒng)需要符合Web網(wǎng)絡(luò)安全要求，制定《應(yīng)用系統(tǒng)信息安全管理制度》。

    10）信息保護(hù)：信息大部分都是存儲(chǔ)在設(shè)備上，而終端則是用戶(hù)接觸Zui 多的設(shè)備，故公司需要嚴(yán)格要求員工遵守終端的操作規(guī)范，保護(hù)信息在傳輸、交換和存儲(chǔ)等過(guò)程中的數(shù)據(jù)安全，可制定《終端信息安全管理規(guī)定》。

   11）云安全管理：企業(yè)使用公有云的場(chǎng)景越來(lái)越多，無(wú)論是公有云的服務(wù)器、存儲(chǔ)資源還是SaaS系統(tǒng)，都需要對(duì)供應(yīng)商提供的云服務(wù)進(jìn)行安全管理。一般說(shuō)來(lái)，云安全管理需要包括：云廠商的認(rèn)證、云服務(wù)的申請(qǐng)、操作、巡檢及維護(hù)，還有對(duì)云上數(shù)據(jù)的備份等。建議制定《云服務(wù)安全管理規(guī)定》。

12）信息安全事件管理：為保障公司信息安全應(yīng)急響應(yīng)機(jī)制，規(guī)范信息安全突發(fā)事件的應(yīng)急響應(yīng)工作，保障公司信息安全，為加強(qiáng)公司信息安全事件的調(diào)查處理，規(guī)范信息安全事件處理流程、申訴流程和信息安全獎(jiǎng)懲要求，Zui 大限度地減少信息安全事件造成的損失，需制定《信息安全獎(jiǎng)懲管理規(guī)定》或《信息安全事件管理規(guī)定》。

    注：供應(yīng)商關(guān)系安全屬于人員和系統(tǒng)層面，由人員管理和云安全管理共同覆蓋；業(yè)務(wù)連續(xù)性需IT基礎(chǔ)架構(gòu)及應(yīng)用系統(tǒng)一起配合，需要單獨(dú)的文件來(lái)規(guī)定；而合規(guī)性是我們每個(gè)制度和安全建設(shè)的必要前提，由公司法務(wù)及律師評(píng)估當(dāng)?shù)胤煞ㄒ?guī)，暫不擬訂相應(yīng)的信息安全管理制度。另外，每家企業(yè)的管理要求不同，可針對(duì)不同領(lǐng)域再增加針對(duì)性的管理要求，比如《供應(yīng)商安全管理規(guī)定》、《人員外部駐場(chǎng)安全管理規(guī)定》、《信息安全審計(jì)調(diào)查管理規(guī)定》等。

02

相關(guān)流程

因?yàn)樾畔踩贫纫蠹凹夹g(shù)策略管控，不少用戶(hù)有新的權(quán)限或資源需求，故需要設(shè)定信息安全相關(guān)流程，包括權(quán)限申請(qǐng)流程，由用戶(hù)根據(jù)需要提交申請(qǐng)。

1）人員管理：設(shè)置權(quán)限申請(qǐng)流程，并結(jié)合HR相關(guān)的入職、離職、轉(zhuǎn)崗流程，對(duì)人員的權(quán)限進(jìn)行管理，如默認(rèn)開(kāi)通賬號(hào)、權(quán)限或禁用一些資源等。

2）資產(chǎn)管理：根據(jù)公司資產(chǎn)管控需求，而公司的管控重點(diǎn)大多是信息資產(chǎn)，可能需要有資產(chǎn)定級(jí)、變更流程，以及資產(chǎn)的申請(qǐng)?jiān)L問(wèn)流程等，建議制定信息資產(chǎn)管理流程。

3）物理安全：根據(jù)《物理區(qū)域信息安全管理規(guī)定》，要求對(duì)核心或關(guān)鍵區(qū)域都有訪問(wèn)、接待、操作、記錄等流程規(guī)范，故需要制定外部人員接待流程和關(guān)鍵區(qū)域出入申請(qǐng)流程。

4）網(wǎng)絡(luò)安全：《網(wǎng)絡(luò)信息安全管理制度》會(huì)約定網(wǎng)絡(luò)上的設(shè)置，一般為員工終端上網(wǎng)、服務(wù)器上網(wǎng)、網(wǎng)絡(luò)端口開(kāi)通、系統(tǒng)對(duì)外發(fā)布等，建議制定網(wǎng)絡(luò)資源變更流程。

5）信息保護(hù)：大部分企業(yè)的設(shè)備包括員工電腦、實(shí)驗(yàn)室設(shè)備、啞終端等，根據(jù)制定的《終端信息安全管理規(guī)定》，這些設(shè)備的權(quán)限默認(rèn)是受限的，對(duì)于特殊的終端需求，需要開(kāi)通對(duì)應(yīng)的權(quán)限，建議制定終端權(quán)限變更流程。

6）應(yīng)用系統(tǒng)安全：企業(yè)的IT系統(tǒng)或服務(wù)管理了這個(gè)公司的數(shù)據(jù)及用戶(hù)權(quán)限，所以應(yīng)用系統(tǒng)的數(shù)據(jù)和權(quán)限管理至關(guān)重要，一般情況下，對(duì)于企業(yè)的核心數(shù)據(jù)都需要加密存儲(chǔ)，業(yè)務(wù)數(shù)據(jù)采用Zui 小授權(quán)原則，故依據(jù)《應(yīng)用系統(tǒng)信息安全管理制度》，需要制定應(yīng)用系統(tǒng)權(quán)限變更流程。

7）信息安全事件管理：信息安全永遠(yuǎn)沒(méi)有絕對(duì)的安全。不怕安全事件發(fā)生，就怕一直有安全事件發(fā)生，而我們卻毫不知情。所以針對(duì)信息安全的管理，除了管控，還有事后審計(jì)和運(yùn)營(yíng)，針對(duì)信息安全可疑事件，需要啟動(dòng)信息安全事件調(diào)查流程，依據(jù)《信息安全事件管理規(guī)定》，對(duì)信息安全事件需有定級(jí)，針對(duì)事件的處置，需要啟動(dòng)信息安全事件確認(rèn)流程。

因?yàn)槠髽I(yè)的業(yè)務(wù)性質(zhì)及安全管理的范圍不同，上述流程或許不能完全覆蓋公司的安全需求，各企業(yè)可根據(jù)業(yè)務(wù)場(chǎng)景制定對(duì)應(yīng)的信息安全流程，并根據(jù)安全需求及風(fēng)險(xiǎn)情況，設(shè)置對(duì)應(yīng)的審批層級(jí)。