企业信息安全建设小记

一、前言

最近面试经常被问到企业安全建设，于是根据自己的经验及查询资料整理下思路。

二、企业安全建设思路

企业信息安全建设是一个由外到内，由粗到细，由合规到自主的过程，企业安全建设一般也都伴随合规驱动、业务驱动、风险驱动三个过程，最终使企业人员形成认同安全的意识以及主动安全的意愿。企业安全是由多方面组成，主要工作是来防范威胁、降低风险，涉及开展的工作包括终端安全管理、应用安全管理、主机安全管理、网络安全管理、数据安全管理、应急检测与保障、安全体系设计与维护、网络架构安全管理等

• 合规驱动：建立基本的纵深安全防御体系，具备一定的安全防御能力，建立基本的信息安全制度，提供安全工作标准。
• 业务驱动：提升业务安全问题测试发现、事件处理能力，制定统一安全规范。
• 风险驱动：建立主动风险识别、弱点探测能力，全面提升安全管理、安全防御自动化能力。

1. 终端安全管理：涉及终端安全管理策略优化及维护，终端病毒防护、补丁分发及软件管理，用户网络、邮件、USB管理等
2. 应用安全管理：安全开发周期管理，开源框架及组件使用管理，应用系统日志、流量、威胁检测、传输存储、备份恢复管理；代码审计、漏洞扫描、渗透测试执行
3. 主机安全管理 ：涉及主机漏洞扫描、渗透测试、安全配置评估；主机日志收集、流量分析、安全检测
4. 网络安全管理 ：涉及