服务

安全策略制定与审查

一份安全策略究竟是为持有它的组织写的，还是从模板里复制后稍作修改的，我通常几分钟内就能看出来。复制来的策略里，会出现公司并不使用的系统、并不存在的角色，以及从未有人执行过的要求。它们只是为了满足审计员的打钩项，而所有相关的人心里都明白，这就是它们的全部用处。

真正管用的策略，篇幅短到人们愿意读，具体到能告诉人们在真实情境中该怎么做，涵盖可接受使用、数据分类、事件上报、远程访问，并且与您的组织切实能够执行的内容保持一致。一份要求您的系统在技术上根本无法强制的密码策略，或一条没人检查的数据处理规则，会让人们认为策略只是做样子，而这种态度会蔓延到真正重要的策略上。

我如何编写和审查

我先了解您的组织实际如何运作，而不是直接拿某个框架的模板填上公司名称。人们日常需要如何处理数据，哪些系统在范围内，对于使用个人设备或远程访问之类的事情，您的风险容忍度如何。在此基础上，我编写反映现实的策略，明确由谁负责执行，以及违反时会怎样。

如果您已有策略，我会对照实际做法进行审查，这通常会发现两个方向上的缺口：策略要求但没人在做的事，以及人们在做但策略完全没有涉及的事。我宁愿把一份六十页的策略文件精简成人们真正会读、会遵守的内容，也不愿交给您一份面面俱到却躺在共享盘里无人问津的文件。

哪些组织需要

如果您现有的策略是继承来的、套模板得来的，或自从最初编写后就再没动过；如果您正在建立安全体系，却不知道文档工作从何入手；或者审计发现了策略与实践之间的差距，那么这件事值得认真解决。

联系我，我们来谈谈您的策略究竟需要涵盖哪些内容。