科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网CIO与应用频道CIO加油站“安全的组织”所具备的十大特质

“安全的组织”所具备的十大特质

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

在信息安全方面取得成功的企业往往有着良好的安全习惯。在本文中,专家Steven Weil回顾总结了至关重要的十大最佳实践。

来源:TechTarget中国 2014年10月29日

关键字: 安全 信息化

  • 评论
  • 分享微博
  • 分享邮件

在为众多组织提供信息安全服务的18年职业生涯期间,我见过许多在信息安全方面做得不错的组织--他们通过正确识别风险以及优先级排序,妥当保护关键数据,及时缓解安全风险,当然也有许多做得不好的。

“安全的组织”所具备的十大特质

那些具有良好安全习惯的组织(“安全的组织”)具有某些共同的特质,而这往往正是那些信息安全工作做得不到位的组织(“不安全的组织”)所缺乏的。
在本文中,我们会审视“安全的组织”所具备的十大特质。

“安全的组织”所具备的十大良好安全习惯

1. 在安全的组织中,信息安全工作得到高层管理的支持。高层支持包括制定信息安全的可用资源和预算,以及明确声明信息安全是该组织的优先事项。既然由高层管理者为组织确定优先级并定下基调,那么没有他们明确和持续的支持、想要成为一家安全的组织将极为困难。近期接连发生倍受瞩目的安全事件,这促使多数高层管理者现在理解到信息安全工作的重要性,并将支持信息安全工作的投入。

2. 安全的组织会定期识别并记录客户和/或公司自有的敏感数据如何流入、经过和流出组织。这使得组织能够集中时间、精力和金钱在敏感数据保护上。相反,一个组织难以去保护它并不了解的目标,而且如果组织不执行这项工作的话,他们也难以做出努力去保护他们的数据。

3. 安全的组织会为所有处理、传输或存储敏感数据的系统创建和维护一份正式的记录清单-包括操作系统,物理的或是虚拟化的,以及已经安装了哪些主要应用程序。没有这样一份清单,组织不能充分理解它所必须保护的系统。而具备这样一份清单,组织得以快速确定特定的安全漏洞是否会影响该组织的相关系统。

4. 安全的组织会对敏感系统与非敏感系统进行分区隔离,具体通过跳板模式配置、防火墙规则、路由器访问控制列表(ACL)或交换机VLAN划分。这样能使得组织内敏感系统的攻击面最小化,并允许严格控制和有日志记录的系统访问。

5. 安全的组织具备强变更控制流程,并被严格执行。包括紧急变更在内的各项变更都会被完整记录,然后进行正式审核并被批准。未经批准的变更会导致无人知晓的安全漏洞,直至安全事件的发生。

6. 安全的组织具备强配置管理流程。通过一种自动化配置流程或诸如Puppet或Chef这类配置管理软件工具,对敏感系统进行加固和必要功能的构建。初始构建以后,使用配置软件工具周期性检查系统配置、确保系统保持加固状态,或者采用强变更控制以维护系统配置并防止服务器蠕变。

7. 安全的组织存储尽可能少的敏感信息在它们的系统上。对于那些出于商业或法律原因必须保存的敏感信息,遵循每一个正式记录的数据保留策略、存储在尽可能少的系统上,当不再需要时则予以安全地删除。所有存储的敏感信息会被定期审查并应证明是正当存储。

8. 安全的组织都采用强加密存储和传输敏感数据,并具备强健的加密密钥管理步骤和流程。如果进行正确实施和管理,强加密的数据本质上是“无法破解的”且对攻击者不可用。

9. 安全的组织持续收集和检查敏感系统产生的日志。使用脚本或自动化流程按照预定义事件进行日志检索,例如添加新帐号一类事件。当检测到这样的事件,会发送告警给具体负责的员工,后续由他负责事件调查。

10. 安全的组织通过脆弱性扫描或渗透测试,定期测试敏感系统的脆弱性。正确、定期完成这样的测试,能对组织安全控制的有效性提供“真实世界”的确认。如果一个组织未在测试它的防御能力,那么黑客很可能会做这项测试-当然他们并不会报告最终结果。

结论

上述这十项良好的安全习惯可以使组织安全并保持它的安全性。通过细致的规划和设计,这些特质可能成为组织的一部分,即使组织未采购或实施复杂且昂贵的技术方案。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章