先杀毒还是先加密?CIO在安全治理中的厚黑学

如果问CIO这个问题,十个有八个都会说先防毒。在CIO&IT经理精英汇微信群中,大多数CIO也是选择了首先做防毒。还给出了具体步骤:先防毒,然后规范上网行为,接着文档加密。

1、谁先谁后

如果问CIO这个问题,十个有八个都会说先防毒。在CIO&IT经理精英汇微信群中,大多数CIO也是选择了首先做防毒。还给出了具体步骤:先防毒,然后规范上网行为,接着文档加密。

标准步骤就是如此,但现实操作中并不一定能完美执行。例如,一位老板就不肯批防毒的预算:都装上360就行了嘛,还是免费的。

如果你读到这里会心一笑,就说明这种情况绝不是个例。对于很多企业来说,现金流无比金贵,每一分钱都要花在刀尖尖上,先做防毒和行为规范,在老板看来就是“劳民伤财”,预算就别想啦。

此时,如果先上文件加密和介质管理,再做上网行为规范,就能达到立竿见影的效果,何乐而不为呢?

安全治理厚黑学第1条:

先做老板关心的;先做容易出成效的。

2、上网行为规范

上网行为规范是非常重要的环节,也是让CIO头痛不已的环节。近几年大火的勒索病毒,很多都是由于不规范的上网行为引起的。

员工是人,人是非常复杂的个体,不会像程序一样,你怎么设置他就怎么执行。并不是做了培训、列出上网规范条例他们就会照做的。

相反,有些人还会想尽一切办法拿你的办公电脑的admin权限,还经常关杀毒软件,轻信各种邮件等。

一位制造企业的IT总监就遭遇了一件啼笑皆非的事故。

公司以前有个HR 我们公司域名的邮箱用户,但一直没使用过。然后不知道怎么回事,密码泄露了。

有一个人就拿这个HR邮箱用户给我们公司所有人发了个邮件,说因为IT要核查邮箱,所以要公司所有人上报邮箱的用户名跟密码做为备案,再附上一个备案地址。。。点开地址就是一个外网的链接,要填邮箱用户跟密码。。。

因为是周五下班后7点多发出的邮件,我们IT没来的及发现,也没人觉得不对反馈给我们,直到当天晚上9点多我们IT的人才知道。。。然后马上进行处理,最后统计下来,居然有40多个人老老实实的提交了信息。。。

所以CIO不要指望培训和上网行为条例能起多大作用,该用上技术手段的就不要省;也不要指望他们的警惕心,再简单的骗局,也要及时发现和通知。

安全治理厚黑学第2条:

把使用者当菜鸟;把员工当小白。

3、Windows还是Linux

有CIO提出,不要用杀毒软件,服务器绝对不要用Windows。

这又回到了Windows还是Linux这个老生常谈的话题。

如果单从安全角度考虑,Linux肯定是第一选择。所以不少企业把系统都换成Linux。

一位除了ad,清一色换成Linux的IT总监说:

实话实说,LDAP还是微软的好,至少兼容性好,市场上主流第三方软件默认支持AD,你要搞OpenLDAP多少都有点额外工作量。

Linux优势在安全和稳定性方面,Windows的优势在易用性和支持方面。

如果在选型时,可以按自己需求随便选择哪个系统。如果是为了安全治理想要更换就要慎重考虑了,因为可能得了此失了彼,吃力不讨好。

安全治理厚黑学第3条:

系统能不换就不换;多一事不如少一事。

话说回来,这三条都有适用范围,请充分考虑现状后酌情使用。另外,千万不要在老板和同事面前讲。

本文来自信息化观察者网,转载请注明出处。

 

注:除标明原创外,均为网友或机构投稿分享,如有宣发需求请联系dongxizhiku@163.com。