公益慈善北京中科在行动 https://m.39.net/disease/a_5469129.html
安全的话题，讲清楚很不容易。如果你坚持看完了前面几篇文章，相信你对企业信息安全管理已经有了一个框架认识，并且产生了自己的关于如何开展工作的想法。
小公司需要考虑信息安全吗？看完这篇就不纠结了小公司怎么判定自己有信息安全需求？对小公司而言，信息安全究竟是什么？小公司，什么样的信息安全才是我们想要的？小公司，信息安全工作最简单能到什么程度？这是第六篇。
每个公司的情况都不一样，信息安全工作也没有一定之规。理解“务实问题清单”的办法，有助于排除干扰，立足需求，围绕自己公司的特殊情况，摸索自己的解决之道。本篇承接前文，继续介绍执行清单的内容，产生和利用方法。
1.执行清单的内容执行清单用于记录安全管理工作中可以采取的行动及其预期。可以对执行清单的内容进行多个维度的分类，并反复整理和摆弄，以此优化自己的管理工作。
1.1管理vs技术前面的分析中我们已经知道，执行清单中的内容可以大致分为管理和技术两类。管理通常表现为制度、策略、权限等内容，技术通常表现为产品、功能、基础设施等。有些时候并不能分得很清楚，毕竟技术采用是管理意志的体现，是在既定管理思路下的主动选择。
1.2建设、监控、评估和改进建设、监控、评估和改进是信息安全工作另一个维度的分类：
建设是从0到1，或从1到2，或从A到B。建设目标可能是制定并颁行一条管理要求，上线一个产品，完善一个模块，修改一个策略。
监控是在预设好的反馈机制中的自动化执行。监控包括监视和控制两个部分。监视是观察和识别，控制是干涉或处理，中间的决策机制就是安全策略。监控会产生过程数据或者日志记录。
评估是为针对某个目的，对采集的数据或制定的方案进行分析并得出评判结论的过程。评估以管理目标为标准。评估应该在采取关键行动之前进行，或周期性的计划执行。
改进是评估、建设、再评估的组合。评估之后产生改进计划，建设中执行改进计划，再评估时检查改进结果。
通过建设、监控、评估和改进的划分，执行清单就具备了工作计划的功能。任何时刻查看执行清单，都知道下一步的工作内容是什么。
2.执行清单的产生执行清单的产生是一个自然、动态、反复修改、反复迭代的过程，本节以一个典型的研发环境终端数据防泄漏需求为背景来演示和说明。
2.1回顾业务问题、安全问题和约束回顾此前已经得到的业务问题、安全问题和约束三个清单，将它们视作需求项。做一个简单的分类，不同类别的需求找不同的供应商或咨询专家去谈，没有必要混在一起。
以终端数据防泄漏为例，简化之后的三个清单可能如下所示：
业务问题清单：研发代码和文档的防泄密安全问题清单安全问题清单：没有部署安全产品之前，全是问题。部署之后，问题就表现为漏洞和不足
约束清单就是表达既要又要的地方。理想丰满，现实骨感
一些说明：
建设未完善前，上述清单表格中出现重复、分类不准确、表达不清晰之类的问题，都很正常。没有必要在表达和专业性上纠结，写出来比一切都重要。
业务问题、安全问题和约束，只是角度不同，但它们都是需求。写出来即可，放哪儿不重要。
这些清单的内容会急剧变化，如果有一个版本管理工具，可以帮助自己更轻松的看到思路发展的轨迹。
坚持使用清单来沟通、讨论和形成每个阶段的结论。
极重要的提醒：对技术路线隐含的规定性保持警惕。比如你可能认为“加密是防泄密的好办法”，由此你的安全问题可能表述为：研发代码、设计文档等没有被加密保护。这样的表述会驱使你去寻找一款加密软件，而忽略了其他潜在的选择（比如物理空间隔离）。
2.2选择供应商或咨询专家拿着需求清单去寻求相应领域的供应商或咨询专家的帮助。也可以通过一些好的综述或方案介绍文章来学习别人的成功经验。
不论是哪种方式，在做需求与方案沟通时，需要注意：
坚持使用自己的务实问题清单作为沟通的基础。可以要求服务方帮助修改清单上的内容，或者在别人的帮助下自己动手修改。
任何产品或解决方案都有它解决问题的基础逻辑（或隐喻），请服务方解释他是如何解决问题的。保持批判精神，宁愿相信符合逻辑的打比方和举例子，也不要信任纯粹的概念堆砌。
评估产品或解决方案的“安全性的可验证水平”，并加以验证。
不可避免的，技术路线或解决方案会显性或隐性地修改你的需求。保持警惕，尽量不要让技术性的描述进入自己的需求里。但也没有必要纠结于此。
举个例子。在与服务方沟通之后，你可能会发现前面的安全问题清单中没有“需要禁止USB接口以免代码通过U盘泄密”这样的描述，或者服务方可能会提示你忘记了“外设管控”这个重要的安全工作。这看起来是一个非常严重的错漏，你会修改安全问题清单，补上相关需求。但事实上呢，如果你在后面选择了“物理空间隔离”作为解决问题的方案，外设管控、甚至是加密都不是必须的。所以，紧守自己最初的安全需求，是需求与方案沟通中最关键的原则。
2.3Aspace隔离办公系统简介Aspace隔离办公系统可以用来解决研发代码和文档泄密问题，具有简单易用、效果直接的优点。本文后面以Aspace和物理空间隔离两个方案为例，来介绍执行清单产生过程中所需要的思考和沟通方法。
Aspace系统以存储隔离，应用隔离和网络隔离，为用户在一台电脑上建立起两个彼此隔离的计算环境。如下图所示，用户可以在安全桌面（S区）和开放桌面（O区）之间自由切换，随时选择在S区处理高密级的研发事务，或者在O区处理低密级的对外沟通和查询资料等事务。
一键切换以两个桌面标识的存储隔离，应用隔离和网络隔离
在S区和O区之间，Aspace系统维护一个简单的安全策略：
S区产生的所有数据均加密存储，且对O区不可见
连接多个S区，构成虚拟的安全协作网络
进一步，Aspace连接多个S区，构成一个虚拟的安全协作网络，并维护如下基本安全策略：
S区能且只能够连接安全协作内网
安全协作内网能且只能够被S区连接
2.4管理和技术方案分析本节提供一个经过简化的参考模型。这个模型列出在评估和部署一个安全产品时需要重点考虑的问题，可以帮助决策者：
理解技术和管理相互影响又相互配合的关系。
理解技术和管理的关系如何转化为执行清单中的执行项目。
虽说是个经过简化的参考模型，依然包括九个方面。在现实工作中，大部分公司只需要
转载请注明地址:http://www.1xbbk.net/jwbls/8762.html
