與安全建設(shè)相關(guān)的要素，從大體來說，一共是分為四部分。即：

建設(shè)安全的方針

實現(xiàn)安全的手段

落實安全的保障

執(zhí)行安全的實體

重要的一塊就是方針，有了得當(dāng)?shù)姆结槪缓笫褂孟鄳?yīng)的手段——產(chǎn)品，有了方針和產(chǎn)品之后，我們需要相應(yīng)的流程去執(zhí)行它，它是落實安全的保證。就相當(dāng)于我們的國家一樣，國有國法，家有家規(guī)。我們怎么樣去落實它能夠真正起到效果。應(yīng)該按照一定流程來做，只有這樣我們才能 終影響到底下的基礎(chǔ)，就是人員。因為所有計算機的安全 終由人員在使用過程中來體現(xiàn)。

這里面四者的關(guān)系在于我有了相應(yīng)的策略，安全的手段，安全的保障，就能夠解決我需要購買什么樣的產(chǎn)品。然后我的策略決定之后，我需要落實這些產(chǎn)品能夠正常的在網(wǎng)絡(luò)中運行非技術(shù)性的手段，就是行政條款以及終端的人員如何去使用這些產(chǎn)品，它有一個依據(jù)。所以在這一塊，我們還是反復(fù)強調(diào)四者之間關(guān)系的處理非常重要，它處理的好就會解決一些問題，我們可以盡量用少的產(chǎn)品，盡量少的投入來達到安全的 大化。

在這四個組成要素中，第一就是對策略的建立，我們要有一個很針對性的流程讓我正確的執(zhí)行策略，以及相應(yīng)的輔上針對性的產(chǎn)品。了解了我們需要評估的對象，我們就開始做如何評估。我們很多企業(yè)或者是我們的很多行業(yè)的服務(wù)提供商，它會給我們的客戶提供安全評估，或者是滲透性攻擊。但是它整個評估的基礎(chǔ)往往都是依賴于技術(shù)，它就看比方我們模擬一次攻擊，看看防不防不的住，它往往都是技術(shù)得分。可能往往有家企業(yè)在技術(shù)得分非常高，采購了非常多的安全產(chǎn)品及那么是不是采購了多的安全產(chǎn)品就安全呢？我們說不然。除了技術(shù)得分之外，我們還要考慮很多因素。依照組成安全要素來看我們會評估幾塊。

技術(shù)分很關(guān)鍵，但是還要通過人來落實。如何保證人能夠有效的落實技術(shù)，我們會通過策略和流程以及相應(yīng)的配備相當(dāng)多的有組織結(jié)構(gòu)的人員配備。所以我們的整體評估步驟或者要素會從幾個方面去落實。第我們會從每一個大塊中的子項里面得出相應(yīng)的分?jǐn)?shù)。大家可以看一下，我們要做得是按照這樣的流程，安全PDCA（計劃、執(zhí)行、檢查、調(diào)整）的流程。

第一塊要找出我們方針的策略目的，就是客戶希望達到什么樣的安全等級。首先我們要知道客戶主觀的安全期望，就是我希望能夠做到什么樣子。隨后，調(diào)查客戶的網(wǎng)絡(luò)客觀現(xiàn)狀。在你現(xiàn)在的情況下，我們現(xiàn)有的人員，現(xiàn)有的安全采購預(yù)案，以及現(xiàn)有的設(shè)備、防病毒解決方案，是不是能夠達到你的期望，找到他們之間的差距。我們往往會發(fā)現(xiàn)，我們的期望和現(xiàn)狀存在不小的差距。這個差距會帶來一個問號，如何去彌補。這個才是一個評估的關(guān)鍵。我們要告訴他，怎么樣去彌補這個差距，這才是評估結(jié)果所具有意義的地方。而不是說你需要采購某個解決方案，這個根本不能解決客戶的實際問題。我們希望通過找到差距、差異來告訴客戶，我們在評估之后，應(yīng)該怎么做。

而且，由于我剛才說過的這種差距以及解決方案的實效性，它在一個固定的時間段可以解決很多問題，但是它可能在一個時間段之后沒法應(yīng)對新的威脅。所以這樣一個評估會通過定期的更新。我們可以看到這張圖標(biāo)不是一個直線性進行的，而是通過一個圓循環(huán)，不斷去溝通、發(fā)現(xiàn)。只有這樣我們才會發(fā)現(xiàn)這個評估是有效的，實時的。否則很多客戶買的評估是一年評估一次，往往在一個財年結(jié)束后做資產(chǎn)評估，后來發(fā)現(xiàn)現(xiàn)有的問題沒有得到結(jié)果，新的問題又出現(xiàn)了。按照現(xiàn)有的方式再過一年又評估，這個間隔非常長，導(dǎo)致我們評估之后要做得事情非常多， 后變得人力資源不夠，問題解決不了。往往 后只能通過非常瘋狂的購買相應(yīng)的解決方案來做。所以，與以往的評估弱點在于間隔時間長、實效性比較差，以及解決方案有相應(yīng)的落差。

企業(yè)應(yīng)該如何評估



趨勢科技這一塊提出的評估方式，第一個首先客戶需要做到什么樣的安全級別要非常明確。現(xiàn)有的狀況能不能做到，如果不能做到我告訴你如何彌補。而且這個間隔我們通常會以一個季度，或者半年來做。通過這種定期更新的方式，實時地去發(fā)現(xiàn)網(wǎng)絡(luò)中有什么樣的漏洞，及時去彌補。通過這樣的方式不斷維護網(wǎng)絡(luò)客戶安全評估來維持安全的現(xiàn)狀。

說到評估就是對網(wǎng)絡(luò)中的安全的四個組成要素進行評估：策略、產(chǎn)品、流程以及相應(yīng)人員的漏洞。

一、評估防病毒框架的技術(shù)和產(chǎn)品

評估的內(nèi)容包括防病毒軟件安裝率、部署率，相應(yīng)的計算機操作補丁的安全率，以及對于整個防病毒體系監(jiān)控的效能和結(jié)果。有一點非常重要，如果我們監(jiān)控到一臺機器有問題，這臺機器是不是能夠被及時、準(zhǔn)確的定位，這是非常重要的。這個決定我們快速定位，以及快速定位問題的處理。
 

• 1
• 2
• 下一頁

【看看這篇文章在百度的收錄情況】