安全与风险管理-02

知识产权

1. 商业秘密
2. 版权（著作权）
3. 商标
4. 专利
5. 内部知识产权保护：企业必须告诉员工该资源的秘密或机密级别，并向员工解释与该资源相关的期望行为。
6. 软件盗版

个人隐私保护

• 个人身份信息（Personally Identifiable Information ，PII）指可用于识别唯一身份，联系或定位个人，或与其他资源一直用于标识唯一个人的数据。

数据泄露

数据泄露是指未授权人员对受保护信息的机密性或完整性构成实质或潜在危害的安全事件。

安全计划

安全计划的文档应该由安全方针、策略、程序、标准、指南和基线组成。战略目标可视为终极目标，战术目标则是实现终极目标必须经历的步骤。

安全方针及策略

安全方针及策略(Security Policy) 是由高级管理层制定的一份全面声明，规定了安全在组织内扮演的角色。全方针必须涉及相关法律、法规和责任问题，还必须涉及如何遵从这些规定。组织安全方针为组织内所有未来的安全活动提供范围和方向，还说明了高级管理层愿意接受的风险程度。

• 组织业务目标(Business Objective) 驱动安全方针的创建、实现和执行。安全方针不应该阻碍业务目标的实现。
• 组织安全方针应该是一份为管理层和全体员工提供参考的、易于理解的文档。
• 组织安全方针应建立、实现安全性，并将其集成到所有业务功能和流程中。
• 组织安全方针应借鉴并支持适用于公司的所有法律法规。
• 组织安全方针应随公司的发展变化进行审核和修订。
• 组织安全方针的每一次更迭都应注明日期，并严格进行版本控制。
• 组织安全方针监管的部门和个人必须能方便地查看该方针的内容。
• 组织安全方针制定应考虑未来几年的状况。这有助于确保策略具有足够的前瞻性，以应对可能发生的变化。
• 组织安全方针表述的专业水平能强化其重要性以及遵从的必要性。
• 组织安全方针中不应包含任何无法理解的行文风格。必须使用清晰、易于理解和令人可接受的陈述性声明。
• 定期对组织安全方针进行审核，并根据自上一次审核和修订以来发生的事件加以修订。

安全策略的类型

1. 合规性策略（Regulatory）：确保组织遵从特定行业法规制定的标准。这是一种非常详细且具有行业针对性的策略类型。该策略类型用于金融机构、医疗设施、公共事业和其他受政府监管的行业。
2. 建议性策略（Advisory）：强烈建议员工在组织中应该彩的或不应该彩的某些行为和活动。该类型的策略也对员工不遵守法规的情况作出了相应的处罚规定。
3. 指示性策略（Informative）：用于告知员工相关信息，这并非一种强制性策略，而用于传达个人与公司相关的特定问题的策略。

标准

标准(Standard) 指强制性活动、行动或规则，可为策略提供方向上的支持和加强。

基线

基线(Baseline)用于定义所需的最低保护水平。在安全领域，可为每类系统定义特定的基线，这些基线规定必要的设置和提供的保护水平。

指南

南(Guideline) 是在没有特定标准可用时，向用户、 IT 人员、运营人员及其他人员提供的建议性举措和操作指导。

程序

程序(Procedure) 是为了实现某个目标而执行的包含详细步骤的任务。如：如何安装操作系统、配置安全机制、实现访问控制列表、设置新用户账户、分配计算机权限、审计活动、销毁材料和报告事件等方面的程序。

实施

人们不知道规则的存在，就不会遵守规则。公司及其管理人员在实施安全策略及其支持的项目时负有“适度关注(Due Care)“ 责任。告知员工他们应该遵守的规则以及违反规则可能需要承担的责任。