2、信息保护：全面策略与风险管理

信息保护：全面策略与风险管理

1. 信息保护的多面性

有效的信息保护需要一种全面的方法，这种方法要考虑信息技术领域内外的多个方面。信息保护计划不仅仅是为计算机存储的数据建立控制措施。早在1965年，“无纸办公室”的概念就被首次提出，这是第三代计算机出现带来的理念。然而，时至今日，员工和其他人员所能获取的大部分信息仍然以印刷形式存在。因此，一个有效的信息保护计划必须超越信息技术的狭隘范畴，解决企业范围内的信息保护问题。一个全面的计划要涵盖信息资产从创建到最终销毁的整个生命周期的各个阶段。

2. 员工对控制措施的态度

信息的访问以及处理信息的环境是动态变化的。技术、用户、系统中的数据和信息、与系统相关的风险以及安全要求都在不断变化。信息保护支持企业业务目标或使命的能力可能会受到各种因素的限制，比如当前员工对控制措施的态度。

一种衡量员工当前对信息保护态度的有效方法是进行“巡视”。可以在下班后或周末，对特定区域（通常是一个部门或一层楼）的工作站进行检查，重点关注以下五项基本控制活动：
1. 办公室是否安全锁定
2. 办公桌和文件柜是否安全锁定
3. 工作站是否安全锁定
4. 信息是否得到安全保护
5. 软盘是否安全存放

在进行首次“巡视”时，典型的办公环境中至少有一项基本控制机制的不遵守率会达到90% - 95%。这次检查的结果应作为初步风险分析的基础，以确定工作站的安全要求。在进行此类检查时，必须牢记员工隐私问题。

下面是一个简单的mermaid流程图，展示“巡视”的基本流程：

graph