2023年10月20日00:53:28评论50 views字数 3266阅读10分53秒阅读模式

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

自2023年10月起，“诸子笔会2023第二季”正式拉开帷幕。10位专家作者组成新一届“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取万元高额奖金以外，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

与时俱进的网络安全目标与规划

文 | 赵锐

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

赵锐

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

某跨国企业首席安全官，诸子云上海会长，近二十年资深科技风险、信息安全、业务安全管理经验。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

随着互联网的迅猛发展和普及，生活、工作和网络密不可分，网络攻击、数据泄露和隐私侵犯等问题层出不穷，使得网络安全成为人们关注的焦点。网络安全是一个重要且不可忽视的问题，它关乎个人信息的安全、国家安全以及社会稳定。

对于甲方的安全从业者来说，保护所在组织的网络安全，是最基本的工作职责。随着组织提供的业务服务和社会环境变化，网络安全目标与规划也需要与时俱进并不断迭代更新。设定明确的网络安全目标，并制定合理的规划，有助于我们更好地前进和取得成功。

首先，目标与规划有助于我们明确自己的方向和目的。没有目标和规划，我们很容易迷失方向，陷入无意义的忙碌中。通过设定明确的目标，我们可以知道自己想要达到什么，并且能够更好地专注于实现这些目标。同时，规划可以帮助我们确定实现目标的步骤和时间表，确保我们按照计划前进，不会偏离轨道。

当我们在组织里的时候，如何确定目标呢？首先看所在组织的情况，通常会遇到以下两种情况：

一、原来没有开展网络安全工作，或者是新建的组织，需要你从头开始建设网络安全；

二、原来已经有一定的网络安全策略和流程，需要持续运营或加强网络安全。

上述两种情况，都需要你了解企业的主营业务，以及所在行业的监管要求。同时，你还需要和各利益相关者（公司负责人、部门或团队负责人等）进行沟通，了解过往出现过的网络安全事件，以及对业务的影响，从而了解各利益相关者对于网络安全的期望和目标。这样沟通以后，至少你可以得到两个方面的网络安全目标。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

接着，我们要对目标进行分析，按网络安全工作的客观规律，以及监管合规目标和业务安全目标的重要性和实现方式，进行优先级排序。明确重点，依据现有资源制定初步的规划，并和各利益相关者进行沟通，确认网络安全目标的排序，短期目标和长期目标，以及哪些目标可以舍弃和忽略。

然后，依据目标和资源（包括现在的资源和未来会增加的资源），进行规划。在这个过程中还需要进行差距分析，对资源进行排期，考虑中间可能的变化，留出一定的缓冲。

为什么要这样做？

目标有助于我们明确自己的方向和目的。没有目标，我们很容易迷失方向，陷入无意义的忙碌中。通过设定明确的目标，我们可以知道组织想要达到什么，为什么会让我们开展网络安全工作，并且能够更好地专注于实现这些目标。

同时，规划可以帮助我们确定实现目标的步骤和时间表，确保我们按照计划前进，不会偏离轨道。目标与规划有助于我们更好地管理时间和资源。通过设定明确的目标和制定合理的规划，我们可以更好地安排时间和分配资源，从而更有效地利用它们。我们可以根据目标的重要性和紧急程度来优先处理任务，避免浪费时间和精力在无关紧要的事情上。

规划也可以让我们更好地掌握资源的使用，有助于我们应对挑战和困难。在实现目标的过程中，我们难免会面临不同的挑战和困难，但是，如果我们事先设定了明确的目标，并制定了合理的规划，我们就能更好地应对这些挑战。我们可以通过调整计划、寻求他人的支持和建议来解决问题，保持积极的态度和坚持不懈的精神，最终实现我们的目标。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

如何设定有效的目标和制定合理的规划？

一、目标应该具体明确，能够量化和可度量。我们需要清楚地知道自己想要达到什么，能够通过具体的指标或标准来衡量自己的进展，并有相应的算法或公式。例如，如果你的目标是减肥，你可以设定一个具体的体重目标，并制定每周减少多少公斤的计划。

二、目标应该是可实现的和有挑战性的。目标过于简单或太过困难都不利于体现网络安全工作的价值。一个可行的目标应该是在我们的能力范围内实现的，同时又有一定的挑战性，能够激发我们的动力和积极性。

三、规划应该是灵活和可调整的。我们必须意识到，在网络安全工作中，可能会遇到各种变化和不确定因素。因此，我们的规划应该具有一定的灵活性，能够基于现实情况进行动态调整。

以下是通用网络安全目标举例：

1.保护重要数据，不出现重要数据泄漏或丢失的事件，度量事件数。组织拥有大量的重要数据，包括客户信息、公司机密等，如果这些数据落入黑客之手，将给组织带来巨大的风险和损失。因此，保护重要数据是组织网络安全的首要目标，通过加密、备份、访问控制等措施，确保重要数据的安全。

2.及时发现和应对安全威胁，度量事件的发现率、响应时间和解决时间。网络安全威胁不断变化，黑客的攻击手段也在不断升级。因此，及时发现和应对安全威胁是组织网络安全的重要目标之一。通过建立完善的监测系统和安全事件响应机制，能够迅速发现和应对各种网络安全威胁，减少损失。

3.增强员工的安全意识，度量培训参与率、网络安全考试的通过率、安全演练员工中招率。人为因素是导致网络安全漏洞的主要原因之一，员工的安全意识水平将直接影响到组织的网络安全。因此，增强员工的安全意识，加强培训和教育，让员工了解网络安全的重要性，掌握基本的网络安全知识和技能，使其成为网络安全的守卫者。

与上述通用网络安全目标对应的网络安全规划：

1.建立网络安全团队。组织应该设立专门的网络安全团队，负责制定和实施网络安全策略，监测网络安全状况，及时发现和应对安全威胁，并提供员工安全意识培训。

2.制定网络安全政策。网络安全政策是组织网络安全的基础，通过制定明确的网络安全政策，规范员工的行为，确保网络资源的安全。网络安全政策应该包括密码要求、访问控制、数据备份等方面的内容。

3.加强访问控制。通过建立严格的访问控制机制，限制和监控访问网络资源的权限，减少未经授权的访问，从根本上提高网络安全。

4.加密重要数据。组织应该采取加密措施，对重要数据进行加密处理，确保数据在传输和存储过程中不被窃取或修改。

5.建立安全备份与恢复机制。组织应该定期备份重要数据，并确保备份数据的安全。在发生数据丢失或遭受攻击时，能够快速响应，减少对业务的影响，并开展事件调查，完善安全备份和恢复机制。

6.开展网络安全培训和演练。针对普通员工、特殊人员，按岗位和业务不同开展网络安全意识培训、网络安全专项培训和网络安全演练。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划

对于任何一个组织来说，网络安全都是至关重要，但是每个组织因为自身业务和所处环境的各异，会有不同的网络安全目标和规划，但是网络安全目标和规范不是一成不变的，需要根据组织的业务发展和不断变化的内外部风险进行与时俱进的调整。对于每个人来说，目标与规划伴随着人的一生，与时俱进地做好目标和规划管理，减少人生中的风险和不确定性，让你拥有幸福的人生。

诸子笔会2023 | 赵锐：与时俱进的网络安全目标与规划