第一步：确定安全策略
创新互联公司长期为上千余家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为阳曲企业提供专业的网站设计制作、成都做网站，阳曲网站改版等技术服务。拥有10余年丰富建站经验和众多成功案例,为您定制开发。
首先弄清楚所要保护的对象。公司是否在运行着文件服务器、邮件服务器、数据库服务器?办公系统有多少客户端、业务网段有多少客户端、公司的核心数据有多少，存储在哪里?目前亚洲地区仍有相当多的公司，手工将关键数据存储在工作簿或账簿上。
1.Internet的安全性：目前互联网应用越来越广泛，黑客与病毒无孔不入，这极大地影响了Internet的可靠性和安全性，保护Internet、加强网络安全建设已经迫在眉捷。
2. 企业内网的安全性：企业内部的网络安全同样需要重视，存在的安全隐患主要有未授权的访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。
第二步：弄清自身需求
要搞清楚，每年预算多少经费用于支付安全策略?可以购买什么?是一个入门级常用的防火墙还是一个拥有多种特性的综合网关UTM产品?企业局域网客户端的安全需求是什么?有多少台严格涉密的机器?
此外，很重要的一步便是在功能性和安全性方面做出选择。贵公司网络必须提供的服务有哪些：邮件、网页还是数据库?该网络真的需要即时消息么?某些情况下，贵公司拥有什么并不重要，重要的是怎么利用它。相对于将整个预算花在一个“花架子”似的防火墙上，实现多层防御是一个很不错的策略。尽管如此，我们还是有必要去查看一下整个网络，并弄清楚如何划分才会最佳。
1.基本安全需求
保护企业网络中设备的正常运行，维护主要业务系统的安全，是企业网络的基本安全需求。针对企业网络的运行环境，主要包括：网络正常运行、网络管理、网络部署、数据库及其他服务器资料不被窃取、保护用户账号口令等个人资料不被泄露、对用户账号和口令进行集中管理、对授权的个人限制访问功能、分配个人操作等级、进行用户身份认证、服务器、PC机和Internet/Intranet网关的防病毒保证、提供灵活高效且安全的内外通信服务、保证拨号用户的上网安全等。
2.关键业务系统的安全需求
关键业务系统是企业网络应用的核心。关键业务系统应该具有最高的网络安全措施，其安全需求主要包括：访问控制，确保业务系统不被非法访问;数据安全，保证数据库软硬系统的整体安全性和可靠性，保证数据不被来自网络内部其他子系统(子网段)的破坏;安全预警，对于试图破坏关键业务系统的恶意行为能够及时发现、记录和跟踪，提供非法攻击的犯罪证据;系统服务器、客户机以及电子邮件系统的综合防病毒措施等。
第三步：制定解决方案
1. 网络边缘防护
防毒墙可以根据用户的不同需要，具备针对HTTP、FTP、SMTP和POP3协议内容检查、清除病毒的能力，同时通过实施安全策略可以在网络环境中的内外网之间建立一道功能强大的防火墙体系，不但可以保护内部资源不受外部网络的侵犯，同时可以阻止内部用户对外部不良资源的滥用。
2. 内部网络行为监控和规范
网络安全预警系统可对HTTP、SMTP、POP3和基于HTTP协议的其他应用协议具有100%的记录能力，企业内部用户上网信息识别粒度达到每一个 URL请求和每一个URL请求的回应。通过对网络内部网络行为的监控可以规范网络内部的上网行为，提高工作效率，同时避免企业内部产生网络安全隐患。
3. 计算机病毒的监控和清除
网络杀毒软件是一个专门针对网络病毒传播特点开发的网络防病毒软件，可以实现防病毒体系的统一、集中管理，实时掌握了解当前网络内计算机病毒事件，并实现对网络内的所有计算机远程反病毒策略设置和安全操作。
4. 用控制台和Web方式管理
通过这两种方式管理员可以灵活、简便地根据自身实际情况设置、修改安全策略，及时掌握了解网络当前的运行基本信息。
5. 可进行日志分析和报表统计
这些日志记录包括事件名称、描述和相应的主机IP地址等相关信息。此外，报表系统可以自动生成各种形式的攻击统计报表，形式包括日报表、月报表、年报表等，通过来源分析、目标分析、类别分析等多种分析方式，以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理。
6. 功能模块化组合
企业可以根据自身企业的实际情况选择不同的产品构建不同安全级别的网络，产品选择组合方便、灵活，既有独立性又有整体性。
你好，我罗列了以下几点： 1．系统开发的总体安全保障措施
（1）对新开发的管理信息系统项目要进行严格审查，严格地按照预算进行。
（2）对于需求规格说明书中的用户需求目标必须达到。
（3）要满足预定的质量标准。
（4）管理信息系统要建立相应的系统和业务操作文档资料。
2．硬件的安全保障措施
选用的硬件设备或机房辅助设备本身应稳定可靠、性能优良、电磁辐射小，对环境条件的要求尽可能低，设备能抗震防潮、抗电磁辐射干扰、抗静电，有过压、欠压、过流等电冲击的自动防护能力，有良好的接地保护措施等。
3．环境的安全保障措施
（1）合理规划中心机房与各部门机房的位置，力求减少无关人员进入的机会。
（2）机房内采取了防火、防水、防潮、防磁、防尘、防雷击、防盗窃等措施，机房内设置火警装置。
（3）供电安全，电源稳定。
（4）安装空调设备，调节室内的温度、湿度和洁净度。
（5）防静电、防辐射。
4．通信网络的安全保障措施
（1）采用安全传输层协议和安全超文本传输协议，从而保证数据和信息传递的安全性。
（2）使用防火墙技术。
（3）采用加密这种主动的防卫手段。
（4）采用VPN（Virtual Private Network）技术。
5．软件的安全保障措施
软件是保证管理信息系统正常运行的主要因素和手段。
（1）选择安全可靠的操作系统和数据库管理系统。
（2）设立安全保护子程序或存取控制子程序，充分运用操作系统和数据库管理系统提供的安全手段，加强对用户的识别检查及控制用户的存取权限。
（3）尽量采用面向对象的开发方法和模块化的设计思想，将某类功能封装起来，使模块之间、子系统之间能较好地实现隔离，避免错误发生后的错误漫延。
（4）对所有的程序都进行安全检查测试，及时发现不安全因素，逐步进行完善。
（5）采用成熟的软件安全技术，软件安全技术包括软件加密技术、软件固化技术、安装高性能的防毒卡、防毒软件、硬盘还原卡等，以提高系统安全防护能力。
6．数据的安全保障措施
数据的安全管理是管理信息系统安全的核心。
（1）数据存取的控制
存取控制常采用以下两种措施。
① 识别与验证访问系统的用户。
② 决定用户访问权限。
（2）数据加密
第一层面是物理性的信息安全措施，方法主要是拆除光驱软驱，封掉USB接口，限制上网等来进行限制；或者安装一些监控软件，监控员工的日常工作，或者安装各种防火墙，入侵检测，防病毒产品来防范黑客的攻击和病毒侵袭。但这些方法会使员工抵触，或者影响工作的方便性。
第二层面是软件性的信息安全措施，主要是安装一些加密产品，比如SDC沙盒，员工不用受一些限制，可以自由上网，在加密环境中办公，不对任何硬件做修改，公司文件只能放在公司范围内，拿不出加密空间，如果想拿出需要走审批流程。加密中的文件也不会改变文件类型和大小，并不会造成文件损坏，文件丢失等情况。
以下解答摘自谷安天下咨询顾问发表的相关文章。
风险管理包括风险评估和风险处理两个过程，两者相辅相成缺一不可，风险评估输出安全需求，而风险处理针对安全需求降低风险。没有风险评估的输出，风险处理既是无根之萍，没有风险处理中控制措施的选择和实施，风险评估也毫无意义。为能选择合适的控制措施，就需要分析其成本效益和可行性。
成本效益分析
评估一个控制措施的普遍标准是成分效益（经济可行性）分析。当降低某个风险时，并非所有的控制措施都具有相同的经济可行性。每个组织都会有自己的安全预算，如何合理的在预算范围内解决风险就成为需要思考的问题。资产的保护投入不应该超出资产本身的价值，这样的分析过程被称为成本效益分析或经济可行性分析。
效益对于组织来说，是其最关注的，它通常由资产的价值所决定，准确的确定资产的价值在事实上是不可能的。评估资产价值是信息安全项目中最富挑战性的工作。其范围包括开发和获取硬件、软件以及服务的成本、培训成本、实施成本、维护及升级成本，以及其产生的价值，简单的说就是成本及收益。成本较易计算，但是收益则不可能精确计算，比如说新产品新方案的泄露，造成的经济损失是无法被精确计算出来的。
对于收益的评估可以从两个方面考虑：
1、资产不可用时生产力的损失：比如，断电时，使用UPS可以防止数据丢失，但是不能够维持正常工作，另外还必须采取其他的措施恢复电力，虽然这种风险并不会损坏信息，但是，员工时间的浪费、恢复电力的成本以及控制措施的保护成本都属于评估的范围。
2、资产不可用时组织收入的损失：收入的损失是最难评估的一个部分，举个例子来说，如果淘宝网服务器当机，当机期间直接收入的损失是多少？流失的客户对后期收入的间接损失是多少？
成本效益分析公式
经济可行性（CBA）决定了一个控制方案是否符合其成本投入。这种分析通常会在控制方案实施前和投入实施和运作一段时间之后使用。后期的观察会增加防护效益评估的精确性以及防护是否按要求运作的确定性。虽然目前存在多种成本效益分析方法，但使用最多的仍然是评估ALE值，ALE=SLE x ARO。
单一期望损失（SLE）是根据每次安全事件造成的损失的价值计算，包括资产的价值和事件所造成损失的期望百分比。
SLE=资产价值（AV）x 暴露因子（EF）
EF是已知漏洞所造成的损失的百分比
比如，假使一个网站的评估价值为100万（资产评估所得），黑客的蓄意破坏导致该网站的10%会受到损坏（暴露因子），那么该网站的单一损失期望就是SLE=100万x 0.10=10万，这将用来计算另一项价值---每年的期望损失。
量化评估威胁发生的可能性很难，大多数情况下，威胁发生的可能性会以一个容易推导的形式来描述。利用在已知时间内（比如说过去10年）威胁发生的可能性，这个值通常被称为年发生几率（ARO）。比如，黑客蓄意破坏网站的安全事件每两年发生一次。那么，其ARO就是50%。
确定了资产价值以及某个事件的ARO和SLE，就可以计算出每年的期望损失，以此来表明此风险的总体损失。ALE=SLE x ARO。使用前面的示例，可以计算出ALE=10万x50%=5万。
这样，除非提高网站的安全等级，否则每年都会在黑客攻击上损失5万。但是实质上要量化出这样的财务价值是非常难的，我们只是使用它作为一个指导就好。
CBA（经济可行性）=ALE（控制措施实施之前）-ALE（控制措施实施之后）-ACS
ACS=每年的防护成本
可见CBA越大就越有经济可行性，反之如果是负值那就说明，控制措施的成本超出了资产的价值，是得不偿失的。
其他可行性分析
前面讨论了一下成本效益分析（也就是经济可行性），一个控制措施的选择还要考虑其他的可行性因素，包括机构可行性、技术可行性、运作可行性、政策可行性等。
组织可行性
组织可行性分析将检验信息安全方案对组织运作的高效性和有效性。换句话说，控制方案必须对组织的战略目标有利。方案的实施要与信息系统的战略计划一直，要考虑是否背离当前系统的扩展和管理计划？而不应一味迎合技术投资。比如说：一个软件开发公司，员工需要去网络上搜索相关的学习资料，公司却使用防火墙阻断开发员工对互联网的访问，这样就破坏了方案的组织可行性，应该加以修改或更新。
技术可行性
技术可行性检验组织是否具备实施和支持控制方案的技术必要条件，同样也检验是否拥有管理新技术所需的技术专家。技术可行性是对控制方案相关的设计、实施和管理的分析。一些安全措施，特别是基于技术的控制对实施、配置和管理都是极其复杂的。一些组织往往盲目的投入方案，而未检验是否可以有效实施和管理这些控制的需求和能力。
运作可行性
运作可行性检验的是用户认可和支持、管理层认可和支持。运作可行性也可称为行为可行性，因为它要检验用户的行为，系统开发最基本的原则之一就是要获得用户对项目的认可。如果用户并不愿接受新的技术、策略或计划，那么项目迟早会失败；用户可能不会公开的反对某种变化，但如果他们不支持某个控制方案的话，就会寻找其他的途径来绕过这个控制措施，而这样又产生了别的漏洞。取得用户认可和支持最普遍的方法是让用户成为其中的一部分，具体实现需要通过：交流、教育和参与。
组织在信息安全改进工作中应始终保持与用户（员工）的交流。包含时间表、实施进度等以及即将进行的培训。应让受影响的人了解这样的改动的目的是什么。
除此之外，为了避免方案实施产生的消极影响，还应让用户乐于去接受相应的教育和培训。用户不喜欢太多的培训妨碍他们的工作。
最后，需要从用户那里了解他们希望从新系统中获得什么，一种方法就是从用户中选出代表。
政策可行性
政策可行性检验的是所选择的控制措施是否违反了行业的监管要求、相应标准及政策等。
综上，控制措施的选择和实施需要考虑经济可行性、组织可行性、运作可行性及政策可行性，综合这些因素才能选择出适合组织自身的安全控制措施，满足组织的安全需求，起到降低组织安全风险的作用。
重庆分公司
重庆分公司
