【第10期：信息安全建设实践】内容回顾

本次分享中，姜老师主要介绍他自身在多年信息安全建设中的宝贵经验，以实践为主。考虑到珠海企业在信息安全建设方面的现状，许多企业很难做全面的信息安全规划，姜老师将用更多篇幅介绍如何开始做好信息安全的建设。

总体而言，姜老师在本次分享中将介绍三个方面内容：1、方法论：信息安全的一些概念；2、建设步骤：企业结合自身情况从0开始做信息安全建设的步骤；3、远景目标：结合目前安全技术方向，描述完整的安全框架。

信息安全的理论主要包括管理和技术两个方面。管理上的概念很多，大家基本都听过，这里列出来的都是比较常见的几个概念。信息安全管理工作主要依赖于对业务场景的理解能力以及一定的信息安全知识面，但是如果想要专注于信息安全领域，应在某个技术方面上做更深入的挖掘。

按个人的理解，信息安全可以分为基础安全、场景安全、安全能力、安全管理几个维度。基础安全是企业开展安全工作的基础，但是如果要把信息安全做得有价值，那就需要关注场景安全，注意结合企业的实际情况。

能力方面，最重要的是识别能力——资产识别、数据识别和风险识别，做信息安全的第一步也是最重要的一步就是识别，只有全面的识别才可以使后续工作更有效。其次是检测、审计和应急能力，最终能够形成统一平台，集成各类安全产品和业务流程形成实时联动、可视化安全管理平台。

信息安全体系建设的顺序，是应该自上而下还是自下而上需要看企业的情况，不同企业有不同的文化、架构和业务。虽然最终必然形成自上而下的体系，但是很多情况下都是自下而上，将基础的漏洞补上，等有了一定成果之后再有相应的资源进行整体规划。

对于一般资源有限的企业而言，最好是从IT经理做起，培养安全思维，担起安全责任。

起步阶段最好从意识教育开始，入门阶段可以利用OA/邮件宣传发送一些整理好的信息安全事件，让大家有相关感知；信息安全意识培训，可以自己来培训，也可以找一些专业培训机构；深入后可以做重点部门培训：研发、财务、法务等，或针对高管的培训。

主机安全。主机安全的入门阶段是防病毒，然后就是服务器防病毒、终端外设管理、网络准入、透明加密/DLP。一定要考虑平台化部署，不要为了实现多个功能而最终在终端上跑很多个agent。在选择主机数据防护安全产品的时候，要考虑公司文化和执行力情况。

网络安全。网络最入门的防火墙、上网行为管理等基本上企业都有，关键要做好策略：

1.管理系统不能对外；

2.数据库不能对外；

3.管理端口不能对外；

4.办公系统不能对外；

运维安全，做好运维很重要，基础的是堡垒机虽然贵，但是比较重要，也是等保必需的。除了堡垒机还有运维监控，比如zabbix可以发现网络异常，监控报警，是一个比较好的工具。进阶有日记审计、ITSM和漏洞扫描等，最终要形成统一的安全运营中心SOC。

物理安全，很容易被忽略，但是最能给人直接感知的手段。对于制造业，尤其是有生产车间的企业来说比较重要，不能忽视。主要有以下几类：

门禁：物理结构设计、卡-按钮、one-by-one；

监控：位置、保留天数；

报警：红外、视频、防区、110；

关键区域：生产车间、财务办公室、高管办公室等；

应用和数据，对于基础和入门，做好数据备份和应用系统权限管理就好了。同时做好外包人员的管理。进阶的话，企业可以按需选择云桌面、统一身份管理、云安全和WAF等产品。

安全管理体系，入门阶段要开展是风险评估和审计工作。如果公司实在没有资源，就做好资产清单、信息安全风险清单、安全检查表和报告，这个最容易体现绩效。进阶可以按照公司的实际需求拿个证书，例如ISO270001等，但是拿到证书并不意味着体系能有效的运行。

最后姜老师还在产品选型方面给出一些建议：

安全管理中心，其实是各个安全组件的集成，包括主机、网络设备、安全系统、应用和数据等。通过流量、日志和安全情报等方式收集用户行为、业务内容和内外部威胁，来做基于AI和大数据的分析，形成基于风险等级的可视化安全运营中心。

应用安全，有2B或者2C业务的企业比较关注应用安全（也可称为业务安全），主要关注对业务的攻击，例如web/app漏洞利用、DDos以及黑产等，目前基本都在做基于业务持续交付的安全集成。

数据安全治理，信息安全价值体现在对业务的价值，而随着数字化发展，数据成为业务价值的核心体现，因此数据安全成为近期信息安全的热点。

隐私和数据保护也属于数据安全的一部分，但是更强调的是个人信息在收集、使用、存储等过程的要求。当业务涉及到用户隐私信息时，需要尤为重视。

姜老师也给出了一些建议：

风险可视化（风险追踪），绩效可视化，多刷存在感才能获得更多资源；

从数据保密入手，不要忽视可用性；

抓住内在动力，结合实际场景，重视实际效果；

开始可以自下而上，但是要最终落地必须要从高层级推动。

分享结束后，大家除了表示对姜老师精彩分享的赞赏与感谢，还在群里进行关于信息安全更多话题的讨论。

诚然，在企业信息化程度越来越高的同时，企业IT管理的难度越来越大，各类数据量越来越庞大，信息安全也越发重要。信息安全需要管理人员的重视，也需要各位IT人士的辛勤付出，相信在各位的努力之下，珠海企业的信息安全管理将会更上一层楼！