5、信息与数据安全准备指南

信息与数据安全准备指南

在当今数字化时代，信息安全对于组织的生存和发展至关重要。本文将深入探讨信息安全的多个关键方面，包括漏洞管理、信息安全计划的制定、成功因素、与系统开发生命周期（SDLC）的集成、成熟度模型，以及政策、标准、程序和指南等内容。

1. 漏洞管理

漏洞管理是信息安全的重要环节，主要包括以下三个关键步骤：
- 漏洞分类 ：信息安全专业人员需要确定特定漏洞对组织构成的风险，并有效地传达这些风险。明确是需要全员参与紧急处理，还是采用有计划的方式来缓解漏洞。
- 研究、规划和部署缓解措施 ：漏洞缓解可能涉及多个任务。信息安全专业人员必须充分理解这些步骤，与利益相关者有效沟通，并全面部署适当的对策，以充分缓解漏洞。
- 监控信息系统 ：确保信息系统中的漏洞已得到充分缓解。利用漏洞评估工具可以在漏洞缓解过程中持续评估信息系统，了解进展情况并确定何时达到目标。

以2017年6月的Petya勒索软件为例，它利用Windows操作系统中的SMB漏洞进行传播。如果企业有强大的补丁管理程序，在Petya成为全球威胁之前几个月就部署微软发布的补丁（CVE - 2017 - 0199），就可以避免遭受攻击。

2. 建立信息安全计划

建立和成功运营信息安全计划是组织的首要任务。在规划信息安全计划时，需要考虑组织的独特方面：
- 组织规模 ：小型定制金属制造商的信息安全计划与汽车制造商的会有很大不同。
- 组织行业 ：专注于油