群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……

  • A+
所属分类:安全闲碎

群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……

群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……


金融业企业安全建设实践群

第88期0308-0314


上周群里共有 127 位群友参与讨论

20 个话题分为以下5类

安全管理:7 个

安全技术:2 个

求文档:3 个

产品推荐:5 个

行业思考:3 个


群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……


【安全管理】


1、请教下,大家知道在海外信息安全管控做的比较好的国内企业么(指国内企业,在海外有业务,在海外的机构和业务这块在安全方面管的比较好)。目前企业在国内机构做了很多监控措施,但在推广到国外时,都会比较担心合规的问题,这块有哪些企业做的比较好?先问个具体的,监控工具在国外怎么确保合规?第一步首先就是评估所在地的法规和政策要求。在这之前还有第0步,就是适不适合在那里放业务以及适合放什么业务,业务形态上,一般办公场景和数据中心和后台业务和研发环境也是天差地别,是独立运作实体还是业务分部还是简单职能办公室也是天差地别,所以需要体系化梳理,最好有当地法务参与。


2、请教一下大佬 怎么以业务视角看待HW ?(需求点是希望跟领导以业务视角汇报HW重要性必要性),但没有业务经验,不知从何入手


3、《CTO 写的低级 Bug 再致网站被黑,CEO 的号都被盗了!》我的看法:

(1)当务之急找个靠谱的CSO,专业的事交给专业的人干

(2)比特币是有用的,没有实力之前先低头

(3)这样的代码割了吧,重写。

分析Gab两次被黑:

(1)起因是Gab程序应用安全问题。这反应出虽然Gab CTO是大厂FB的程序员,但这些大厂程序员相比啥都要干的小厂程序员,可能更不清楚安全细节,因为大厂安全目标就是让程序员更少的参与安全细节。

(2)其次是Gab的研发和安全团队在第一次被黑后的应急响应中,并没有完全识别出全部漏洞点,以及溯源还原攻击者路径,很可能是因为应用日志和安全监测点不足,导致用户密码是否泄露这样最关键的问题都没搞清楚。

(3)Gab CTO删除存在bug的代码的操作也很让人困惑,他不知道网站会被缓存吗?看来CTO不仅是安全细节不清楚...


4、做2035年规划和做3年规划没有本质区别,务虚要匹配公司战略,朝着那个方向发展。公司如果2035年目标是提高营业额到省内第一,那安全就没必要追新,还是保障促发展。部门战略就是公司层面战略的分解,部门战略要融入公司的治理结构和运行体系,明确符合公司特色的信息安全实施路径,设计阶段性的目标。


5、讨论下数据安全治理的规划方向吧?制度、规范、标准、流程等落地运行可借助什么推动?安全技术上如何匹配、有效管控?目标是所有密级的数据对外流动可见、可审批等;内部流动可审计追溯等。实现无死角。关于数据安全,目前有做一下基础性工作:   

(1)终端数据U口全部禁用,按需开放(提起申请包含用户、开放原因、起始时间,留记录)

(2)对数据进行了初级分类分级定义和要求规范,对不同级别数据取数定义了不同审批层次;

(3)定期数据安全审计平台分析流向,形成月度用户行为活跃和可疑排行榜。以上都是相对被动方式,目前面临的问题是数据比较分散,且相关措施覆盖不全。

各位大佬,这个话题可能有点大,做法形式不一,你们是怎么做的?


6、你们有没有哪家,把态势感知或者防病毒网关,和邮箱联动,自动发中病毒的通知给那个人和部门管理员?


7、大家对公安发函,要求手工拷贝同步用户敏感数据是如何处理的?


【安全技术】


1、请教一下大家,在 FW 上 block IoC IP communication, 应该双向都 block 吧?inbound+outbound. 有人说只 block outbound ,我有点费解,所以请教一下大家


2、对于在dmz部署反向代理的应用架构,系统被攻破后攻击者可以直接在内网,这块的问题大家是咋解决的,有标准的架构可以参考不?


【求文档】


1、各位大佬,跪求信创方面的相关资料

2、请教各位大佬,SDL建设前后的评价指标可以从哪些维度考虑?

3、请教下各位总,国内金融业对SOC的SaaS服务或者说MSSP这种机构外部托管式的安全服务有什么文件要求吗?


【产品推荐】


1、好多信息程序员喜欢在“码云”上上传东西,大家怎么及时监测发现?

2、最近遇到测pos机的需求,想知道腾讯 src 这篇文章中提到的工具是自研发的嘛?

3、请问下各位大佬,国内有没有模拟邮件钓鱼的SaaS服务,马上能用那种

4、各位大佬,有没有开源的弱密码扫描工具,支持agent部署,支持主机,DB,服务端管理的功能

5、请教各位大佬,对于图片类型的个人数据防泄漏各位有什么推荐的产品吗?场景主要是纸质文件手写个人信息后扫描或拍照留存在各人电脑上。


【行业思考】


1、请教下,大家都有加入国内的哪些安全协会或组织?公司层面的加入

2、请教下各位群里各位大佬和同仁,产品的对外安全宣传以什么形式去做比较好?安全需要去PR吗?

3、广东省通信管理局APP监管平台正式发布。


------------------------------------------------------------------------------


群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……


企业安全建设实践群

第13期0308-0314


上周群里共有 160 位群友参与讨论

17 个话题分为以下5类

安全管理:3 个

安全技术:5 个

求文档:7 个

产品推荐:1 个

行业思考:1 个


群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……


【安全管理】


1、开发脚本监控github,但是发现了又如何处置呢?

2、个人感觉最好的安全应该像空气一样。谁也感受不到,但谁也离不开。做安全的我们也是需要一点小说中的侠客精神 。事了拂衣去,深藏身与名

3、请教各位如何向上沟通的技巧啊,在IT资源紧张,人力有限的背景下,我们提出几个hw前自查方案,比如:外网黑盒、测试环境灰盒、内网等等,如何帮助管理层去决策使用哪种方案呢?我能想的比如:预期排名?公司受关注程度?


【安全技术】


1、关于源代码防泄露,除了dlp,虚拟机,还有什么好的解决方案吗?

2、各位,在集团与子公司的网络访问和规划方面,是怎么考虑的?一般有哪些参考原则?从哪些点去分析?

3、大家对于员工在办公内网私开热点的情况是怎么解决的?看了下除了安装agent,似乎没有特别好的解决方案。

4、各位大佬,关于物联网使用的sim卡有了解的吗?一个物联网设备黑盒,现在想建个伪基站来监听它的流量,看看到底有哪些数据流向哪些地址。听说运营商对对不同物联网卡有不同的限制除了短信和语音以外,还会有专门的虚拟网。比如说我是个生产物联网的设备厂商,只有我申请的物联网卡可以通过运营商连到我的服务器端。那么运营商是否有特别的设置,才能确保完成上面类似虚拟网的功能?如果有,建伪基站是否因为没有特别的设置造成物联网设备识别出来,而不发送或者不发送全部的数据包?

5、请教下各位专家,我有一个业务如果放在云上,安全会从哪些方面考虑,请给些指导,谢谢!


【求文档】


1、有没有 类似于 安全交付标准 这样的文档

2、请教各位大佬,如果用零信任SDP来覆盖终端准入,是否可行?是否满足等保的对非授权设备私自联到内部网络的控制要求?

3、各位大佬,谁有《国家电子政务外网标准-政务云安全要求GW0013-2017》、《国家电子政务外网标准-国家电子政务外网跨网数据安全交换技术要求与实施指南 GW0205-2014》两个标准啊?

4、大佬们,【现状】 我AB两个机房已经实现热备功能了;A还做了冷备,保存在A机房。B只有热备功能。【问题】我是否满足了合规的 异地备份需求?B还需要做冷备么?

5、请教各位大佬,有做过 系统安全画像 的吗?主要从哪些维度,怎么统计落地呢?就是对各个系统做全面的安全风险机制的评估、画像、打分之类的

6、哪位大佬有个人信息跨境传输征求意见稿pdf版啊,多谢

7、请教一下,群内大佬有没有安全风险评估的框架,或者方法论相关的资源?


【产品推荐】


1、请教各位,哪个商业源代码扫描系统是误报率相对低一点的啊?


【行业思考】


1、今年感觉是个人信息保护的重点啊,昨天那个人脸识别,简直就是个经典案例,1、收集未经许可采集;2、采集后的数据供应商竟然可以使用查看;3、采集后竟然是为了后面其他分店的报价做准备,这营销也是逆天了。采集个人信息,例如人脸信息,需要当事人授权同意主要指的是主动授权。35273里定义了授权的两种方式,一个叫明示同意,一个叫授权同意,不一样的级别,个人敏感信息必须要明示同意,授权同意不行。


---------------------------------------------------------------------------------------------------------------


#群话题


【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的话题会同步在本公众号推送(每周五晚)。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球,方便大家查阅。


往期群话题


群话题 | 本期关键词:规划与预算,向上汇报的技巧,蓝军红军蓝队红队的区别,众测还是src……


群话题 | 本期关键词:安全意识培训,安全运营的人力分配,安全与研发运维岗位的磨合,安全工作价值货币化……


群话题 | 本期关键词:供应链安全管控,运营商流量清洗服务,安装准入和桌管的阻力,企业SRC的搭建托管……


群话题 | 本期关键词:关注信创安全,Google部分服务宕机,SolarWinds,标准解读,安全合规工作……


群话题 | 本期关键词:防内鬼数据泄露、国家红蓝对抗拉动产业发展、安全价值的呈现、零信任的歧义……


如何进群?

如何下载群周报完整版?

请见下图:


群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……


本文始发于微信公众号(君哥的体历):群话题 | 本期关键词:数据安全治理、安全是否需要做PR、github 监控及处置、HW前向上沟通的技巧、商业扫描系统误报率……

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: