6、组织应对网络犯罪与网络安全的策略

组织应对网络犯罪与网络安全的策略

1. 网络安全威胁与物理控制

在当今数字化时代，数据安全面临诸多挑战。文件系统虽有基于用户或用户组的访问控制，但这些控制是基于操作系统的设计和逻辑，并非物理强制。例如，若磁盘可被移除，或系统安装了能读取磁盘数据却不受逻辑访问限制的操作系统，就可能导致数据泄露。

为应对此类威胁，仅依靠技术实施特定实体的策略是不够的，还需结合其他控制手段，如使用锁闭的房间或建筑，防止硬盘被物理移除或其内容被篡改。通常，物理和逻辑控制相结合，才能实现信息安全的纵深防御。

以英国国家医疗服务体系（NHS）为例，其发布了许多特定系统的政策，如电子员工记录（ESR）系统特定政策，明确了目标、角色与职责、系统访问条件、访问机制、程序和流程、实施以及审计等内容。

2. 网络安全中的角色与职责

在大型组织中，众多角色都与计算机安全直接相关，以下是一些关键角色及其职责：
|角色|职责|
| ---- | ---- |
|董事会|聘请首席执行官（CEO），通常设有负责确保良好财务管理（包括信息系统审计）的下属委员会|
|执行团队|CEO及其团队直接负责管理组织的网络安全总体目标。在美国《萨班斯 - 奥克斯利法案》下，CEO对计算机安全负有法律责任，许多组织为此设立了首席信息安全官（CISO）角色|
|首席信息官（CIO）和首席信息安全官（CISO）|CIO负责管理组织内的所有信息，CISO管理安全策略和实施。CISO通常向CIO汇报，但也可能向CEO进行次要汇报，在科技公司中甚至可能进入董事会|
|职能经理|如人力资源和财务等职能领域的经理，在识别其特定应用的安全需求方面发挥关键作