网络安全成熟度模型/评估

=Start=

缘由:

总结、提高需要

正文:

参考解答:
网络安全成熟度评估

&

网络安全合规成熟度示意图
参考链接:

网络安全法即将生效,企业如何识别差距并采取行动?#nice
https://www2.deloitte.com/cn/zh/pages/risk/articles/cybersecurity-law-self-assessing-maturity-model.html

企业信息安全的两个成熟度模型
http://www.ctocio.com/ccnews/18447.html
https://krebsonsecurity.com/
http://www.esg-global.com/
http://blue-lava.net/

首届中国数据安全峰会上阿里和华为都讲了啥 #nice
http://www.aqniu.com/industry/26134.html

2.0新防御体系下,网络安全成熟度模型以及各级别安全关键实践
https://zhuanlan.zhihu.com/p/28325198
https://www.zhihu.com/people/LeoPerfect/posts

=END=

声明: 除非注明,ixyzero.com文章均为原创,转载请以链接形式标明本文地址,谢谢!
https://ixyzero.com/blog/archives/3563.html

《网络安全成熟度模型/评估》上有10条评论

  1. 平安集团企业信息安全实践
    https://mp.weixin.qq.com/s/ODrosVqnfG0NckiPSyvDaQ

    企业信息安全一般关注点
      业务连续性
      业务安全
      数据安全
      网络安全

    企业信息安全风险关注点
      交易欺诈风险
      黑客攻击风险
      员工操作风险
      数据泄密风险
      法律合规风险

    企业信息安全一般技术框架
      终端
      应用
      系统
      网络
      数据
      物理

  2. 【视频】TechWorld2017热点回顾 | 大型互联网企业安全实践
    http://blog.nsfocus.net/company-security-techworld2017/

    安全建设方法:
    第一,进不来。这是目前市场上讲的最多的部分,通过各种纵深防御体系,安全产品、威胁情报、态势感知等手段尽可能的将威胁阻挡在外。
    第二,看不到。假设入侵者进来了,即使渗透了一些服务器,也不知道我的数据在哪。可能我的数据都是加密的,甚至内网流量都是加密的。攻击者也分不清资产分布,我的代码也不是明文,找密钥也得找半天。
    第三,拿不走。假设更坏的情况,攻击者能看到我的一些重要资产,但当他想拿的时候,我这时候就会采取一些措施让他尽可能拿不走。
    第四,解不开。假设攻击者拿走了数据,我的加密很强或者有一部分加密的密钥链的顶层密钥没有办法通过入侵手段拿到。即使攻击者拖了我的全站数据库,还是解密不了。

    反入侵方法:
    纵深防御
    降维
    入侵容忍

  3. 再谈SIEM和安全管理平台项目的失败因素(1)
    http://yepeng.blog.51cto.com/3101105/1983449

    SIEM/安全管理平台建设是一个复杂的工程性问题,而不是Yes OR No的技术性问题。

    SIEM部署失败的六大通病:
    计划不周、范围不清、期望过高、噪声过大、情境不够、资源不足。
    对应原文是:
    Failure to Plan Before Buying
    Failure to Define Scope
    Overly Optimistic Scoping
    Monitoring Noise
    Lack of Sufficient Context
    Insufficient Resources。

  4. 【企业安全】企业安全项目-测试环境内网化
    https://mp.weixin.qq.com/s/lkfA7-Ii3KJtodWdcZUfog

    经过长时间的风险发掘与分析,企业面临的安全风险已逐渐清晰并有了比较全面的视野。从投入与产出比的角度出发,结合当前正在承受的危害和实施难易程度考虑,可以将前期所规划的安全项目排入实施计划周期并进行推动。按照优先级从左往右可以分为P0~P3,依次落地:
    P0:正在遭受损失
    P1:影响较大且容易做
    P2:影响较大且难以做
    P3:影响不大且比较难做

    外部白帽子提交漏洞
    内部漏洞分析与风险调研
    组织安全接口人召开会议
    邮件搜集资产(效果不好)
    正确资产梳理
    QQ群沟通(效果欠佳)
    优化推动思路
    分布式进行内网化
    持续优化测试环境管控

发表评论

电子邮件地址不会被公开。 必填项已用*标注