9、网络安全策略、流程、合规性与审计全解析

网络安全策略、流程、合规性与审计全解析

网络安全流程

网络安全流程是一系列逐步操作的说明，旨在指导用户达成符合特定策略的结果。通常，策略会包含或提及多个流程，以指导用户如何执行任务来遵守策略。例如，身份与访问管理（IAM）策略可能会涉及以下流程：
- 如何从Active Directory（AD）中移除用户
- 如何删除禁用的ID
- 如何存档访问日志
- 如何提升UNIX服务器上的权限
- 如何提升Windows服务器上的权限
- 用户通知流程

这些无形的层面常被网络安全专业人员忽视，但投入时间、知识和资源确保它们被正确创建、更新、分发、推广和执行至关重要。

CUDSE方法

在网络安全领域，一个常见的错误是缺乏创建策略和流程的明确指南。为填补这一空白，设计了CUDSE方法（www.cudse.com），它涵盖了创建网络安全策略和流程时需要考虑的所有重要方面。

创建（Create）

创建有意义且对自己和组织有价值的策略，需遵循以下规则：
- 易于理解 ：人们讨厌阅读策略，是因为它们往往枯燥复杂。所以要用简单语言编写，保持简洁。如下表所示，糟糕的策略复杂，使用大量专业术语，未提供明确合规指南，且提及未知资源（无链接）；而好的策略清晰，简要说明问题，并提供解决问题和合规的明确方法。
|策略类型|特点|
| ---- | ---- |
|糟糕的策略|复杂，使用大量专业术语，无明确合规指南，提及未知资源|
|好的策略|清晰，说明问题，提供解决方法和合规途径|
- <