随着信息化应用的不断深入,以及数据安全事件的不断爆出,大部分企业已经意识到信息安全建设的重要性,但却不知道自身都存在哪些安全问题,应该从哪里提升自身的信息安全水平。那么先来一起来看看企业都有哪些信息安全标准。
NSA曾发布了一份安全报告《企业信息安全控制二十大关键问题》,指出每个企业在安全审计时都应当回答的问题,最大限度弥补可能被黑客利用的安全短板,我们姑且称之为企业信息安全管理的二十条军规。
1、你是否登记了所有授权和未授权设备?
2、是否登记了所有授权和未授权应用?
3、是否为所有硬件、软件和移动设备创建了标准化的安全配置镜像?
4、是否持续进行漏洞评估和整改工作?
5、恶意软件防护是否得到及时更新和升级?
6、应用软件是否安全?
7、无线安全边界的防护是否到位?
8、是否具备快速数据恢复的能力?
9、是否经常进行员工安全技能评估和培训?
10、是否在所有网络设备商都建立了安全配置?
11、是否限制了对网络端口、协议和服务的访问?
12、是否对管理员权限有足够的掌控?
13、是否确定对网络边界进行了保护?
14、是否紧密关注审计日志?
15、你是否对安全状况了如指掌?
16、你是否对假冒用户有足够的警惕?
17、你能否防止网络攻击导致的数据丢失?
18、你是否有一个快速高效的事件响应计划?
19、你的网络设计是否强健到足以吓阻攻击者?
20、是否定期进行入侵测试?
如果NSA能够严格执行自己提出的二十条军规,估计斯诺登同学也就没啥露脸的机会了。那么对于国内中小企业来说,是否需要严格做到以上二十条标准呢?实际上这个标准主要是针对整个大环境需求,如果考虑到部署成本以及实际需求,中小企业在进行信息安全防护时更重要的是具体到数据保护。首先要知道都有哪些数据需要防护,这些数据储存在哪里,有哪些泄密隐患,知道了这些之后再进行相应的部署。
而了解过企业数据情况之后,你会发现,在这二十条军规中针对中小企业来说,最重要的是做到内网规范管理、核心资料防泄密保护、IT运维能力提升、数据备份恢复、全面审计等。
具体包括以下几点:
1、通过终端统一规范化管理,为所有硬件、软件、移动设备创建标准化的安全配置;
2、通过核心数据加密保护,从源头有效防止内部或网络攻击导致的数据外泄;
3、严格的身份认证准入机制,严格的权限管控,对假冒用户有足够的防范和警惕;
4、支持远程维护与管理,能够实现大范围的系统安装与升级,包括对恶意软件的防护;
5、通过智能备份系统,重要文件统统自动备一份,具备数据快速恢复的能力;
6、支持全面审计功能,对安全状况了如指掌,及时发现违规行为,为事后追究提供依据。
你的内网管理规范吗?对安全状况可控吗?核心数据有相应的防泄密措施吗?数据丢失有应急方案吗?如果答案是否定的,那么是时候针对上面的数据防护措施一个个get起来了。毫无疑问,IT世界从来不存在100%的安全,攻击与防范,从来都是动态地不断变化,因此企业也不可能阻止所有这些潜在的安全攻击。但企业应该明了内部都有哪些核心机密,存在哪些安全漏洞,然后有针对性地进行技术和安全管理部署,化被动防御为主动防御,筑造信息安全防护最强堡垒。那么,不管是面对多么复杂的信息化环境,企业都能有效实现数据安全保护