企业安全建设

企业安全建设

2021/3/5

一．企业安全建设概述

安全建设方向
技术，流程，人

安全建设矛盾
重技术还是重管理
重业务还是重安全
自己做还是请人做

二．企业安全建设思路

从技术维度：
准备阶段
安全自查与整改
模拟攻击
运营监控与应急响应

从管理维度
计划阶段
实施阶段
检查阶段
改进阶段

一般是参照某体系，如iOS27001
Isms 信息安全管理体系
准备阶段

策划阶段

实施和运行

检查

保持和改进

Ios27001 控制域

三．技术维度

准备阶段
确认团队成立
设备资产梳理
网络架构确认
现有安全资源调查

安全配置与自查
资产扫描
漏洞扫描
基线配置，检查
安全设备策略
日志配置

模拟攻击
黑白盒渗透测试
SRC邀请白帽子
内部模拟社工

运营监控与应急响应
安全事件监测及处理
处理各类IDS告警
处理监控系统告警
处理防病毒系统告警
最后：反复改进安全配置

四．企业安全生态

安全是持续改进的过程
安全防御应该是纵深防御
安全防御面远比攻击面要大
永远没有绝对安全

一些新的安全建设思路
从可信环境出发，区分可信与不可信
从检测角度出发，以检测思维代替防御
划分更小的安全单元，如应用级（对虚拟化场景）