国外网络安全合规计划的技术要素

2023年8月3日09:59:51评论16 views字数 1705阅读5分41秒阅读模式

网络安全一词之所以被广泛使用，是因为它涵盖了如此多的风险。网络安全以及该术语中包含的技术要素没有通用的定义。从技术角度来看，网络安全涵盖多种类型和层次的技术保护。

公司需要识别和了解其信息技术基础设施的元素，包括特定类型的设备和用途。目标是识别可能允许网络钓鱼攻击发生或允许黑客未经授权访问公司 IT 系统或云应用程序的风险区域。此过程的困难在于识别可能被黑客利用的网络漏洞以及他们用来获得未经授权的访问的不同工具。

国外网络安全合规计划的技术要素

尽管如此，网络安全计划仍存在某些共同要素：

应用安全
信息安全
灾难恢复规划
网络安全
端点/用户安全
操作安全

应用程序安全是对软件应用程序的保护。错误配置安全设置的企业可能会导致云账户数据泄露。依赖主要云服务的公司必须设计其安全设置。造成这种错误配置的原因有很多：（1）对云安全策略不熟悉；(2) 缺乏足够的控制和监督；(3) 用户错误。在这一领域，多因素控制和管理权限是加强应用程序安全性和防止应用程序遭到破坏的关键步骤。

信息安全是为保护公司内部数据以及从客户、客户和供应商收集的数据而采取的措施。在数据方面，公司必须遵循严格的安全标准来保护个人身份数据。此类数据的重要性可能取决于特定行业，因为个人健康信息、财务数据和其他敏感类型的业务相关数据存在特定的数据风险。为了了解风险，公司必须检查他们如何收集、存储和传输数据。为了保护数据，公司将采用加密和其他策略来保护数据免遭可能的泄露。

灾难恢复保护包括两个重要功能：（1）防止漏洞或恶意软件感染传播的策略；(2) 准备恢复协议以响应可能的攻击。在这一领域，公司必须实施备份和恢复系统、事件响应演习和端点保护。

网络安全涵盖对公司物理网络和网络中使用的设备的保护。大多数公司使用防火墙来监控传入和传出流量是否存在网络威胁和攻击。此外，公司必须保护其无线网络并确保远程连接经过加密。网络安全的重点是保护系统，确保只有授权用户才能访问，并检测可能的异常或网络入侵。

最终用户安全通常称为端点安全。这包括保护员工使用的设备。鉴于网络钓鱼攻击的盛行，公司必须关注这一重要领域，因为黑客通常通过端点（例如员工笔记本电脑或移动设备）获得未经授权的访问。

最终用户安全通常包括：(1) 确保设备通过安全程序和防火墙进行更新；(2) 安装防病毒应用程序；(3) 可用 DNS 过滤来阻止恶意网站；(4)安装固件保护；(5) 屏幕锁定密码保护；(6)远程监控和设备检测服务。

鉴于端点安全的重要性，对员工进行网络培训以提高认识是保护公司端点免受可能访问网络并传播病毒的黑客侵害的重要补充。员工必须了解如何检测网络钓鱼电子邮件、维护密码安全、敏感数据的处理以及其他重要的网络卫生习惯。

运营或整体安全涉及整体检查，以确保安全策略在整个组织中有效运行。换句话说，公司必须考虑系统的整体运行方式，并识别可能被黑客利用的任何潜在漏洞。这是确保公司跟上当前威胁和安全发展的计划的一个重要方面。

最终，如果缺乏足够的控制和安全准备，网络安全就会失败。公司在开发 IT 控制和网络安全系统时必须做出明智的战略决策。关注人为因素始终很重要——常见错误、控制的有效性以及黑客利用任何弱点的策略的漏洞。员工必须了解和理解网络风险以及防御可能攻击的步骤。

网络安全等级保护：从第三级防雷击测评项引发的一点点思考

思维导图下载：GB-T 39276-2020 网络产品和服务安全通用要求

网络安全等级保护：第三级与第四级安全物理环境差异化要求

网络安全等级保护：第三级与第四级安全管理制度要求异同点

网络安全等级保护：移动互联安全扩展测评PPT