初探供应链安全
当我遇到一个新事物之后,我的习惯不是马上去看标准、找书、问产品,而是先听听身边人的观点、看法,分析判断他们为什 …
半年多前,刚入职现东家的时候,就有人问我:“咋样,金融行业和科技行业差别大不?”答曰:“过半年回答你”,现在终 …
接上篇。发现金融、互联网金融、游戏行业居然也大量存在小规模信息安全团队(有时甚至只有1个人),团队形成成因、工作思路和关注点还是有显著差别,因此在上篇基础上再写一篇。有些段落和上篇差不多,只是为了保证文章完整性的需要。同时本人并未从事过金融、互金和游戏行业,只是试图做一些总结和概括,以飨读者;文中观点如能让读者参考或引发思考,目的也就达到了。请各位同行指正。本文创作过程中得到了业内人士唐勤、姚飞、杜宏保、王军军、金文佳、董黎波、谢涛的指正,一并谢过。
想写这个话题很久了。自己以前有很长时间的大团队工作经验,看各位大佬探讨交流大公司的信息安全架构和运作方法,总是有很多共鸣;这2年在一家高科技企业负责信息安全,团队最多时4人、现在就2个人,于是就一直思考小团队应该如何开展信息安全工作,应该如何基于大团队运作的方式做优化和剪裁。同时也看到,能够构建信息安全大团队的中国企业应该是少数,大量企业还是在小团队层面上运作。于是,总结提炼、共享交流小团队的信息安全工作经验成为一种必然。业内既然鲜有提及,咱就斗胆抛砖引玉。
这个“CSO怎么做”的系列,到这一章算是收个尾。我一直在琢磨这几个问题:信息安全市场到底是甲方引领,还是乙方引领驱动?为什么国内很多安全产品、长期以来没有适应国内科技创新型企业的需求?
本章还是着重讨论数据防泄漏的体系如何运作,包括建立和运营。同时,概念定义上,“防泄漏”强调机密性的保护,“数据”包括需要保护的电子信息和纸件信息,电子信息包括静态和流动的信息;“数据”不仅包括结构化信息,还包括非结构化信息。
本来这一篇的标题是“如何满足信息安全合规要求”,但是2018年发生的一些事情让我重新审视这个话题,并且根据与一些同行的交流发现,很多中小企业主其实对于信息安全应该干什么、不干什么其实并不清晰,因此我修改了本篇的话题内容,并提前来聊聊这个内容。
从CSO的角度看,信息安全工作是一项管理工作还是技术工作?当然是管理工作,即便CSO的工作量主要投入在技术方向上,它也还是一项管理工作。为什么,因为技术工作也是需要基于框架、架构和方法论,这些框架、架构和方法论能够保障信息安全工作按照正确的方向前进、并提供企业所需要的价值,这些框架、架构和方法论在我看来就是管理体系。因此,CSO的工作范围之内必须要有信息安全管理体系。
一个CSO上任之后,他的第一个任务应该是什么?排除一些紧急事件处理的因素之外,我认为应该是设计和明确企业的信息 …
这是最难写的一个章节,没有之一。工作了十几年,和不同企业的同行探讨过不少回,没有得到一个一致的答案。但是,大家 …
当一个公司开始设置CSO这个岗位的时候,意味着公司高层希望在某种程度上把信息安全工作抓起来、需要有人对此统筹、 …
什么叫信息安全工作的驱动方式?就是回答一个企业为什么要做信息安全。正确理解一个企业为什么做信息安全,可以(1) …
整整1年前,想写一系列文章,把CSO这个岗位的工作套路总结一下,不止包括自己掌握的,也包括听到的、看到的、从别 …