3、信息与数据安全基础及威胁态势解析

信息与数据安全基础及威胁态势解析

1. 信息安全计划实施基础

1.1 风险评估与业务影响

识别风险对业务的潜在影响至关重要。每个企业主都有其独特的风险关注点，且每项业务风险都与特定业务功能或金额相关。修复和缓解风险的建议应与投资回报率（ROI）挂钩。例如，违反《健康保险流通与责任法案》（HIPAA）可能使组织损失数百万美元，但解决该风险的方案每年可能仅需 38,000 美元，这不仅能降低风险，还能改善整体风险状况。若有 11,000 名用户可访问相关数据，分摊后每位用户降低风险的成本仅为 3.45 美元，如此清晰的投资回报率有助于获得领导层支持。

基于前期评估和风险评估结果，可制定具体的 IT 实施计划，该计划应包含风险评估过程中确定的优先级事项。通过风险评估，我们能了解组织的首要风险、最有价值的资产、最可能发生的风险以及风险发生时的影响，从而构建有充分依据的信息安全计划，推动组织采用现代信息安全实践。

1.2 信息安全标准

信息安全标准由专业组织发布，旨在为保护 IT 系统提供指导。不同行业适用不同标准，如支付卡行业和医疗行业，但通常涵盖网络设备、工作站、服务器、软件、用户与系统交互、系统进程交互、数据传输和存储等系统相关组件。需注意，信息安全标准并非简单的清单。

在为组织实施安全标准时，需结合实际情况决定如何落地。多数标准不会明确规定使用何种工具及如何实施，因此需与 IT 和业务团队协作，确定最适合的工具及在基础设施中的实施方式。实施标准并不意味着组织已得到有效保护，不能将标准视为清单，而应将其作为起点，由信息安全专业人员以有效方式实施，确保组织安全并将风险降低到可接受水平。

以下是全球常