如果一家企业的信息安全防护基本为空白,该如何开展安全工作,我考虑到的有三种:
1、直接对企业已知的安全漏洞进行安全手段防护,这种快速有效;
2、先进行企业威胁风险评估和检测,根据ISO27000系列和安全等保的要求一步步实施,最终形成安全体系和安全方法,这种时间较长,且需要一步步规划好;
3、前两种方法同时进行,既安全技术防护和安全体系建设同时进行,这种方式主要担心忙不过来;
对于安全体系建设,市面上不知道有没有比较好的安全企业能够引导甲方来做
不论甲方还是乙方,首先要有这个安全意识,我觉得你考虑到的这几种做法是应该做的,还应该从国家对于信息安全等级的要求来做,比如,一个行业或者系统按照等级保护要求是几级的,这个安全等级都有那些要求等情况要清楚,然后如果自己有这个能力,就按照你这几个考虑去做。
但我觉得还是先按照国家安全等级保护相关要求,请具有国家确认资质的等级保护测评部门做安全等级保护测评,然后再按照安全测评发现的问题做整改,整改完成后再经过测评确认(此过程首次建议做二次比较好),最后要按照安全等级保护要求到公安网警部门进行备案,以后每年按照等级保护的不同等级要求(等级保护三级以上的,每年公安网警都会督促检查,发现问题会给出整改通知书)做等级保护测评,以及自己的安全管理要求,进行检查,整改以及日常安全管理工作。
另外,我们从事IT信息工作的同仁都要有这个安全意识,多多关注信息安全方面的内容,6月1号国家《网络安全法》就要正式施行了,不要因为安全意识不强,违犯法律还不知道。
收起企业的信息安全建设是一个系统的完整的工程,也是需要从上至下的安全意识地提升。现在上至国家层面都已经对网络安全信息安全前所未有的重视。等保是必须要做的。也可以请第三方的安全公司或者安全设备厂商(现在的安全设备厂商都有提供完整全面的安全产品/服务和方案)。而且比较全面。可以让他们呢做一个全面的安全风险评估,如果有必要的话 ,可以针对性地要求他们出具一个整改的信息安全建设方案。安全无小事,但是也不能草率地开展。应为一旦制度落实下来,就会形成惯性。定期的安全扫描和长期的信息体系建设任重道远。
收起