安全策略：是什么、类型与关键组成

当你听到短语“security policy”时，可能会想到很多事情——网络攻击、恶意软件、 data breach 等。虽然这些是组织制定安全策略的一些原因，但组织的安全策略不仅涵盖对其数字资产的保护，也涵盖对其物理资产的保护。

那么，什么是安全策略呢？简单来说，安全策略是一份书面文件，旨在说明对组织的物理资产和数字资产的访问要求。根据 National Institute of Standards and Technology （NIST）的定义，安全策略明确 什么 是组织需要做的，以及 为什么 是必要的。然而，这些策略并不深入到关于 如何 实现它的具体细节。这是因为 如何 会根据具体情况以及所使用的技术而有所不同。

本文将说明安全策略的关键要素，以及组织可以制定的不同类型的安全策略。此外，还将提供安全策略示例，并回答有关安全策略的常见问题。

安全策略的关键组成部分

安全策略必须包含以下重要组成部分：

政策目的

每一项安全策略都应只涵盖一个特定主题。目的部分说明为什么制定该安全策略以及它所管辖的内容。关于政策声明该如何撰写、以及应有多长，并没有严格的硬性规定。首要标准是：应能有效且毫不含糊地阐明安全策略的根本目的。

如有需要，本节可为该政策提供额外的背景信息。例如，本节可能会说明该政策旨在避免的特定问题，或者列出组织必须满足的合规要求。

范围与适用性

不同类型的安全策略涵盖安全的不同方面。因此，必须明确说明您安全策略的范围——也就是安全策略覆盖与不覆盖的边界，以及其规则适用与不适用的地点。

本节还应明确安全策略适用于哪些对象，例如所有员工、承包商以及第三方供应商。

政策准则

这是政策的主体内容。它应当明确列出各类参与者（员工、承包商等）应该做什么以及不应该做什么。

这些指南应当与技术无关，这样即使贵组织切换到不同的应用程序、平台或设备，政策仍能保持相关性并可操作。然而，政策指南通常在业务流程、外部风险或合规要求发生变化时需要更新。

政策合规

一项政策的好坏取决于与之配套的反馈机制。基本上，本节必须回答两个问题：“我们如何知道政策是否在发挥作用？”以及“当发生某些不符合政策的情况时，我们如何知道？”

本节还可能包含有关例外处理的指南。例如，它可能会列出应由谁来批准例外，以及例外所适用的时间限制要求。

还可以包括一段对不遵从行为所带来后果的正式说明。若需要在政策中加入这类表述，请务必与人力资源团队进行咨询。

角色与职责

您的安全政策还可以明确与安全政策和流程相关的不同角色以及各角色的责任。您无需定义诸如 Auditor 或 CSO 这类通用角色，只需定义与该政策相关的特定角色即可。示例如下：

• 一项 数据安全政策 可能需要定义数据保管人的角色。
• 事件响应政策可能会定义安全事件响应团队的角色。

相关政策与程序

这是一个可选章节，可用于引用其他相关政策。例如，你的远程访问政策可能会引用密码管理政策中说明如何恢复丢失的网络访问权限以及如何重置忘记的密码的部分。

本节还可以包含指向以下具体程序的链接：如何落实该政策。

政策审查与更新

最后，每项政策都必须包含关于何时以及如何进行审查与更新的明确说明。制定安全策略并非一次性工作。随着威胁不断演变，以及组织发生变化，你的策略也应随之调整。因此，你需要概述将如何开展政策审查与更新，以及更新的频率。

安全策略的类型

根据组织的运营和使命不同，可以采用多种类型的安全策略。像 SANS 这样的权威来源能够为制定安全策略提供宝贵的指导和模板。

以下是组织可能会制定的一些安全策略：

信息安全策略

信息安全策略是组织整体安全策略的基础。它为一致且协调的安全工作提供框架，确保包括数据、技术和人员在内的信息各个方面都得到保护。

数据安全策略（数据保护策略）

数据安全策略对于保护敏感且机密的数据至关重要，因为这类数据是网络攻击的主要目标。它确保对这些数据进行适当处理，并使组织遵守诸如 GDPR 和 HIPAA 等数据保护法律。它涵盖数据如何被收集、存储、处理和共享，以维持其机密性、完整性和可用性。

数据分类策略

一项 数据分类策略 概述了贵组织如何对其所处理的数据进行分类。它有助于所有人了解正在使用的数据类型，并概述处理这些数据的规则，同时帮助你确保已采取恰当的措施来保护数据。

数据分类策略通常会根据目的和敏感度来对数据进行组织。数据的目的涉及你为什么拥有这些数据，以及你将其用于什么用途。敏感度则衡量数据对组织运营、声誉和法定义务的重要程度。

风险评估政策

本政策定义了如何识别、评估并管理与贵组织运营和资产相关的风险。通常会重点说明以下细节：

• 用于识别和编目潜在风险的方法与流程
• 用于评估已识别风险的潜在影响和发生可能性的标准与流程
• 在风险被识别并评估后，降低、缓解或转移风险的策略
• 谁负责开展风险评估、评估风险并实施缓解措施
• 风险评估结果将如何传达给相关利益相关方，包括报告的频率和格式
• 风险评估将以多长时间的频率开展，并将以多频繁的周期进行审查和更新，以适应不断变化的情况、技术和威胁

事件检测策略

本策略概述了用于在贵组织中检测安全事件的流程和工具。这对于安全或数据泄露的早期发现与遏制至关重要。它定义了事件类型、事件检测的角色与责任，以及入侵检测系统（IDS）、日志监控和其他工具的使用。

员工安全意识与培训政策

员工往往是抵御网络安全威胁的第一道防线。因此，制定员工安全意识与培训政策对于管理和预防安全事件至关重要。该政策向员工普及安全最佳实践、风险以及在维护安全的工作环境方面的职责。政策会明确培训的要求、主题和频率。也可能包含用于测试员工安全意识的措施。

密码管理政策

良好的强密码习惯有助于通过对密码的安全管理来保护敏感信息和系统，防止未经授权的访问。它涵盖密码复杂性要求、有效期策略、账户锁定规则、安全存储等内容。

对于已实施多因素认证（MFA）的组织，密码管理可以成为更广泛的用户认证政策的一部分。该政策会规定哪些系统和流程必须使用 MFA 进行保护，并列出任何例外情况。

远程访问策略

远程访问策略概述了员工在不在办公室的情况下如何访问贵组织的网络和资源的规则与流程。它明确哪些人员有资格进行远程访问，以及远程设备的身份验证方法、加密要求和安全措施。

电子邮件策略

电子邮件是最常见的商务沟通方式，而且邮件中往往包含敏感数据。因此，制定一项能够防范与电子邮件相关的安全、隐私和合规风险的电子邮件策略至关重要。电子邮件策略会规定电子邮件使用指南、加密要求、敏感信息的处理方式以及可接受的邮件使用规范。

自带设备（BYOD）策略

本政策规范个人设备用于工作目的的使用。它界定设备安全要求、数据访问与存储规则，以及设备管理责任。

可接受使用政策

可接受使用政策有助于维护网络安全，防范法律责任，并确保员工以负责任的方式使用资源。它概述了组织的计算机、网络及其他资源（例如互联网使用、软件安装以及访问社交媒体等个人用途）中，哪些做法是可接受的、哪些是不被允许的。

备份策略

备份对于从数据丢失、系统故障和安全事件中恢复至关重要，因此必须制定一项政策来明确组织进行定期备份的策略。该政策规定备份频率、需要备份的数据或系统类型、存储位置以及备份保留期限。

灾难恢复策略

一份定义清晰的灾难恢复策略可帮助组织在灾难面前通过制定恢复运营的流程与策略，将停机时间和数据丢失降到最低。该策略涵盖数据与系统的恢复，以及在恢复工作期间的角色与责任。

结论

有些组织会将安全的各个方面整合到一份单独的安全策略文档中。另一些组织则为安全的每个具体方面制定不同的策略文档。无论你选择哪种方式，都要确保你的策略具有可执行性并且可以验证。

请记住，仅仅制定策略还不够；你还需要通过有效落实、强制执行以及定期审查来适应不断演变的安全威胁和技术。让员工参与、提供培训并营造注重安全的文化，同样对于实现安全策略中概述的目标至关重要。

常见问题（FAQs）

什么是安全策略？

安全策略是一份基础性文件，用于概述组织在保护其数字资产和物理资产方面的方法。

安全策略应包含哪些内容？

安全策略可以包含任何有助于组织保护和管理其资产的信息。然而，大多数安全策略通常包括以下组成部分：

• 目的
• 范围
• 合规要求
• 审查与更新计划

安全策略有哪些示例？

安全策略的示例包括：

• 信息安全策略
• 数据安全策略（数据保护策略）
• 数据分类策略
• 风险评估策略
• 事件检测策略
• 员工安全意识与培训策略
• 密码管理策略
• 远程访问策略
• 电子邮件策略
• 自带设备（BYOD）策略
• 可接受使用策略
• 备份策略
• 灾难恢复策略

安全策略的主要目的是什么？

安全策略的主要目的在于建立网络安全框架以及一套指导方针，用于明确组织将如何保护其资产，包括数据、系统、人员以及物理资源。