企业安全建设方案_开题报告

互联网整体安全态势不容乐观。企业每天都面临着来自各方面的安全威胁，网络攻击、勒索、安全漏洞、信息泄露等事件时有发生，企业自身对安全需求不高，安全资源贫乏，领导重视业务忽略安全等，这样内外不良的环境下，一旦发生安全事件，都会对企业的运营、业务的发展造成影响，如：经济损失、用户流失、声誉受损、公信力下降等。

随着《中国人民共和国网络安全法》的落地实行，加之近些年频出的各类安全事件，企业安全也逐渐进入了各公司中高层领导的视野范围；企业安全不止是发现漏洞然后修复漏洞，现在的安全行业里要么是安全理论，要么就是一边倒的攻防，要么就是过于超前、浮在表面没有落地方案的新概念，这些声音对企业安全实操都缺乏积极的意义。有些方法论是有实操意义的，并不像攻防研究者声称的是纯务虚的东西，纯粹是位置决定想法的问题。还有些流行的概念在解决实际问题上的效果有待验证，并不像市场鼓吹的那么好。由于大部分企业对安全投入不足，从而很多实践止于思考，真正可实践落地的内容少之又少，设计了各种安全管理措施和流程，领导很支持，雷厉风行，安全预算和安全人员也都给足，结果还是出问题，安全有效性出了问题，基于此我们的企业安全建设不能只谈建设不谈有效性，需要安全的工程化以及体系化的安全架构设计。

企业的安全体系建设是一个根据具体业务环境、各部门间使用习惯、安全策略要求、安全等级保护、安全标准等多个方面构建的一套企业安全纵深防御体系，涉及众多的安全技术，实施过程需要涉及大量的调研、咨询等工作，还会涉及到众多的安全厂家之间的沟通协调、产品的选型，安全系统建成后怎么维持这个生态体系的平衡，是一个复杂的系统工程，从技术到管理，逐步实现企业安全建设的战略目标。

企业安全系统性建设主要涉及的网络安全、办公终端安全、业务安全、应用数据安全、代码审计这几个维度，技术之外，还包括流程和审计需求，建设初期对于大部分的互联网公司，开源+商业解决方案一般可以应对，如果这两个方案无法应付和解决现实存在的安全问题，可选择进行自研安全产品，如HIDS、WAF、态势感知、蜜罐系统、日志审计系统等；当初步成体系之后，进入运营环节，就是所谓的PDCA工作，把每一个防御点做到极致。这一部分工作很重要，但可能并不显得那么容易被“看见”，可能不容易受到管理者的重视，但安全管理人员应该清楚，如何在这部分工作投入资源和量化对应的KPI产出是需要考虑的问题。最后安全建设趋于完善，对标业界的领导厂商，不断更新迭代。二、范文提纲••

1.绪论

1.1办公数据安全

1.1.1数据防泄露

1.1.2权限控制

1.1.3桌面虚拟化

1.1.4终端防病毒

1.1.5准入系统

1.1.6办公网安全加固及隔离

1.2网络数据安全

1.2.1安全域划分

1.2.2主机加固

1.2.3入侵检测、

1.2.4蜜罐系统

1.2.5 DDOS防护

1.3存储数据安全

1.3.1存储数据库的加密

1.3.2敏感文件的扫描发现

1.3.3数据的销毁

1.4应用数据安全

1.4.1数据库安全

1.4.2数据交换平台

1.4.4大数据安全

1.5代码审计

1.5.1代码审计产品

1.6安全运营及管理

1.6.1安全运营

1.6.2安全管理

三、参考文献

[1]刘焱.企业安全建设入门.机械工业出版社.2018/02

[2]赵炎,江虎,胡乾威.互联网企业安全高级指南.机械工业出版社.2016/08

[3]江明灶(Meng-Chow Kang).响应式安全：构建企业信息安全体系.2018/04

[4]吴翰清.白帽子讲Web安全.电子工业出版社.2012/03

[5]〔美〕Christopher Hadnagy.社会工程:安全体系中的人性漏洞.人民邮电出版社.2013/12

[6]〔美〕Christopher Hadnagy.社会工程卷2:解读肢体语言.人民邮电出版社.2015/02

[7]〔美〕Christopher Hadnagy.社会工程卷3:防范钓鱼欺诈.人民邮电出版社.2016/03

[8]〔美〕埃里森（Christopher C.Elisan）.恶意软件、Rootkit和僵尸网络.机械工业出版社.2016/03

[9]ISO/IEC 27002.2013

[10]ISO/IEC 27005, Information technology — Security techniques — Information security risk management

[11]ISO/IEC 27035, Information technology — Security techniques — Information security incident management

[11]ISO/IEC 27036-4, Information technology — Information security for supplier relationships — Part 4: Guidelines for security of Cloud services

[12]ISO/IEC 27040, Information technology — Security techniques — Storage security[4])

[13]ISO/IEC 29101, Information technology — Security techniques — Privacy architecture framework

[14]ISO/IEC 29134, Information technology — Security techniques — Privacy impact assessment — Methodology