如果安全人員不理解企業(yè)數據的真正價值，就很難真正理解企業(yè)面臨的真正威脅，也就無法真正理解企業(yè)的安全計劃、安全過程和程序是否真正有效。
安全人員的任務可能非常艱巨：從諸多擔心、不確定因素和似是而非的問題中抽絲剝繭，評估不同的風險狀態(tài)和這些風險在企業(yè)發(fā)生的可能性。然后再確定如何使用必要的技術使這些風險最小化。
專注于數據
許多企業(yè)花費了太多時間用于工具，而對于數據的重視程度卻遠遠不夠。與數據相比，技術相對簡單。更困難的問題是理解數據，因為大樓、LAN、主機無法限制數據。
無論IT專業(yè)人員還是一般的業(yè)務專業(yè)人士都需要認識到企業(yè)需要部署控制和保護，以跟蹤數據的流向和目的地。企業(yè)很容易在這方面犯錯誤。當今的企業(yè)需要保護信息的基礎架構。
但這僅僅是關于數據與技術的第一項措施。多數公司往往并不清楚威脅。許多企業(yè)發(fā)現，要證明“把錢花在不一定發(fā)生的潛在威脅上是合適的”非常困難。情況往往是只有在發(fā)生了危害后，企業(yè)才開始重新評估其安全策略。
風險的概念
從何處開始呢?要描繪企業(yè)信息風險的概況，安全管理者應從確認所有的關鍵業(yè)務過程及其工作方式開始。誰都無法保護并不了解的資產。安全管理者應調查企業(yè)的邏輯和物理資產，無論是數據、技術、人員還是過程，都必須包括在內。
安全管理員應與擁有這些過程涉及的人員交流，發(fā)現他們的風險要求和感受水平。例如，風險在何種情況下會產生危害?企業(yè)的敏感點(痛點)在哪里?是效率還是可用性?亦或是資產自身?這些痛點在不同的企業(yè)之間是不同的。
這個過程的一部分就是要理解企業(yè)所面臨的不同風險狀況。在這些狀況中，哪些是真正可能發(fā)生的?安全管理者應關注哪些?如何應對這些狀況，在哪一點上開始對付這種狀況?由此，安全管理者才可以部署控制、功能、框架、過程、方法、人員進行應對。
企業(yè)需要一種信息管理策略，以幫助企業(yè)更好地確定和實施安全策略和過程。我們不妨將信息管理策略定義為：為了管理在企業(yè)中存在和流動的信息，企業(yè)將有益于公司的方法、策略、過程建立起來的一種集合。這種策略可以管理和監(jiān)視數據。
信息管理與評估風險和決定適當的安全水平同樣重要。
但管理信息遠遠不是通過技術保護信息那樣簡單。在安全問題上的策略和知識管理必須利用教育、培訓等要素。
不僅僅是技術
在確認了適當的風險狀況和理解了風險要求后，還要考慮到隨著時間的推移，問題會發(fā)生變化。企業(yè)的風險要求需要重新調整。
安全管理員需要講求實效，并更現實地認識這些風險。
在準備好策略、過程、工具后，評估其效能就要求企業(yè)具有安全實踐和過程的專業(yè)知識，并理解公司的內部程序。這種評估可通過內部的專業(yè)人員或外部的審計人員實施。
當然，問題是，企業(yè)要理解這些過程，從而保證其內部安全策略的相關性和最新。安全是一個不斷演變的問題，它不可一蹴而就，而是應當經常評估和修訂，以應對不斷變化的威脅。對于多數企業(yè)來說，這有可能是最大的困難。
如何評估
有專家建議在如下方面評估企業(yè)的安全準備水平，或評估當前狀態(tài)與目標狀態(tài)的差距：
1.安全文化。評估企業(yè)在安全意識培訓中是否使用多種方法。
2.審計問題。評估企業(yè)是否將安全問題包含在項目計劃和變更管理過程中。
3.合規(guī)管理。評估企業(yè)是否為合規(guī)管理過程明確地規(guī)定了責任和義務。
4.策略和過程管理。評估企業(yè)將物理安全整合到其它過程的程度。
5.事件管理。評估企業(yè)的事件監(jiān)視是否包括了所有的安全方面。
6.風險分析。評估企業(yè)是否將風險分析的結果明確地傳達給所有重大項目的項目團隊。
7.漏洞管理。評估企業(yè)用安全策略和過程審計是否合規(guī)的頻率。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.oesoe.com/
本文標題：企業(yè)信息安全：不打無準備之仗
本文網址：http://www.oesoe.com/html/consultation/10839517265.html
相關文章
