信息安全風(fēng)險(xiǎn)及分析-資料下載頁
2025-02-28 17:11本頁面
【正文】 價(jià)殘留風(fēng)險(xiǎn)評價(jià)殘留風(fēng)險(xiǎn)信息安全人員管理u人是信息安全的關(guān)鍵因素，人員管理不善會給組織帶來非常大的安全威脅和風(fēng)險(xiǎn)。u有調(diào)查顯示，大多數(shù)重大信息安全事件通常都來自組織內(nèi)部，例如，員工受利益驅(qū)使將公司技術(shù)圖紙出賣給競爭對手，利用內(nèi)部系統(tǒng)從事經(jīng)濟(jì)犯罪活動，或者由于缺乏安全意識或操作技能而導(dǎo)致誤操作，引起信息系統(tǒng)故障等。u為降低內(nèi)部員工所帶來的人為差錯(cuò)、盜竊、欺詐及濫用設(shè)施的風(fēng)險(xiǎn)，并且避免引發(fā)法律風(fēng)險(xiǎn)，組織應(yīng)該采取措施，加強(qiáng)內(nèi)部人員的安全管理：216。對工作申請者實(shí)施背景檢查216。簽署雇用合同和保密協(xié)議216。加強(qiáng)在職人員的安全管理216。嚴(yán)格控制人員離職程序必須高度重視人員安全問題必須高度重視人員安全問題u背景檢查是工作申請過程的一個(gè)部分，組織至少會審查申請人簡歷中的基本信息。對于敏感職位，可能還會考慮進(jìn)一步的調(diào)查。調(diào)查過程中，組織可以請求訪問申請人的信用和犯罪記錄，甚至可以聘請外部公司對申請人進(jìn)行調(diào)查，以確定是否存在潛在問題或利益沖突。u通過背景檢查，可以防止：216。因?yàn)槿藛T解雇而導(dǎo)致法律訴訟216。因?yàn)楣陀檬韬龆鴮?dǎo)致第三方的法律訴訟216。雇用不合格的人員216。喪失商業(yè)秘密u員工從一般崗位轉(zhuǎn)入信息安全重要崗位，組織也應(yīng)當(dāng)對其進(jìn)行檢查，對于處在有相當(dāng)權(quán)力位置的人員，這種檢查應(yīng)定期進(jìn)行。背景檢查（背景檢查（ BACKGROUND CHECK））u組織應(yīng)與所有員工簽訂保密協(xié)議，作為雇用合同基本條款的一部分u保密協(xié)議應(yīng)明確規(guī)定雇員對組織信息安全的責(zé)任、保密要求及違約的法律責(zé)任u簽訂保密承諾旨在加強(qiáng)員工對組織信息安全應(yīng)承擔(dān)的責(zé)任，協(xié)議上應(yīng)有員工的簽名并由其保存一份協(xié)議副本u對于處于試用期的新員工，要求其簽訂一份保密承諾u在允許第三方用戶使用信息處理設(shè)施之前，要求其簽訂保密協(xié)議u當(dāng)雇用期或合同期有更改，特別是雇員到期離職或合同終止時(shí)，應(yīng)重申保密協(xié)議保密協(xié)議（保密協(xié)議（ CONFIDENTIALITY AGREEMENT ））u職務(wù)分離（ SeparationofDuties），將一個(gè)關(guān)鍵任務(wù)分成多個(gè)不同的部分，每個(gè)部分由不同的人執(zhí)行。u共謀（ Collusion），進(jìn)行欺詐（ Fraud）需要多個(gè)人共謀。u目的：216。制約，減少人為破壞的幾率。216。補(bǔ)充，減少人為疏忽和錯(cuò)誤的幾率。 職務(wù)分離職務(wù)分離u將操作人員（ Operator）分割為分離角色（Roles）的原因是：216。不同安全相關(guān)任務(wù)所需技能（ Skills）不同216。將管理員（ Administrators）任務(wù)分成多個(gè)角色以賦予不同信任級別（ Trustlevels）216。防止將所有安全相關(guān)功能委托給一個(gè)角色或人員的需要u這些角色可以包括安全管理員（ SecurityAdministrators）、安全操作員（ SecurityOperators）、帳戶管理員（ AccountAdministrators）、審計(jì)員（ Auditors）、操作員（ Operators）、系統(tǒng)程序員（ SystemProgrammers）等 操作人員的角色分離操作人員的角色分離u一個(gè)人擔(dān)任某個(gè)職位的時(shí)間不能過長216。避免過度控制（ ExcessiveControl）造成欺詐（ Fraud）的便利216。繼任人員可能發(fā)現(xiàn)前任問題形成制約u工作輪換（ JobRotation），有不止一個(gè)人能夠完成該職位所規(guī)定的工作216。提供人員的備份（ Backup）和冗余（Redundancy）工作輪換工作輪換u強(qiáng)制假期（ MandatoryVacation）具有強(qiáng)制性，在休假期間對休假人進(jìn)行審計(jì)（Audit）以便發(fā)現(xiàn)可能存在的問題。u強(qiáng)制假期（ MandatoryVacation） 具有突然性（ Unexpected），使欺詐者（ Fraud）沒有時(shí)間來掩蓋欺詐痕跡。u欺詐者為了避免他人發(fā)現(xiàn)其行為，可能長期主動放棄休假。強(qiáng)制假期強(qiáng)制假期u人員離職往往存在安全風(fēng)險(xiǎn)，特別是雇員主動辭職時(shí)u解雇通知應(yīng)選擇恰當(dāng)?shù)臅r(shí)機(jī)，例如重要項(xiàng)目結(jié)束，或新項(xiàng)目啟動前u使用標(biāo)準(zhǔn)的檢查列表（ Checklist）來實(shí)施離職訪談u離職者需在陪同下清理個(gè)人物品u確保離職者返還所有的公司證章、 ID、鑰匙等物品u與此同時(shí)，立即消除離職者的訪問權(quán)限，包括：216。解除對系統(tǒng)、網(wǎng)絡(luò)和物理設(shè)施的訪問權(quán)216。解除電話，注銷電子郵箱，鎖定 Inter賬號216。通知外部伙伴或客戶，聲明此人已離職人員離職（人員離職（ TERMINATION））謝謝大家！討論??！演講完畢，謝謝觀看！
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號-1