【IT】如何打造企业IT信息安全工作的规划，12步流程 (5/217)

       很多公司仍然缺乏有效并且重要的企业安全计划，这些计划包括在受到外部和内部的IT安全威胁时，企业如何做才能保护自己。当你在开发、检查和执行重要的企业IT安全计划时，可以遵循以下12个步骤，本文在不涉及企业机密的情况下姑且算是抛砖引玉吧。

　　1. 明确一位决策发起者。

      一位决策发起者——位于管理层或者是副总裁——会拥护并支持企业战略性的安全规划。

　　2. 找到一位安全程序的管理者。

      那就是你，IT经理。你也许每天都要管理 IT安全程序和活动，还要组织和管理一个跨职能的团队。你可能还要负责技术安全检查，制定实现不同安全策略的标准和实施计划;此外，还要向公司董事会汇报为了保证IT环境的安全，你都采取了哪些措施。

　　3. 定义关键的安全目标。

      你和你的团队需要定义明确的企业关键IT安全目标，并设置它们的优先级别。对于你要保证其安全的IT数据，有三个方面需要考虑：可用性、完整性和机密的级别。

　　4. 建立检查部门。

      公司里应该有两个独立的特许的检查部门。第一个是主管级别的，提供企业范围内关于IT安全问题的指导、目标和策略。第二个由高级分析师和专家组成，负责评估由主管部门提出的安全策略和建议的技术可行性;同时制定需强制实施的安全标准和流程。

　　5. 明确需求，并将其分类，同时设置优先级别。

      来自两个检查部门的代表应该通过讨论明确需求，并根据安全问题涉及的领域对其进行分类。

　　6. 评价当前的安全状况。

      你和你的团队必须列出当前IT中所有与安全相关的项目，明确哪些已经解决，哪些还需要开发或者购买。

　　7. 建立一个IT安全机构。

      现在已经有了两个检查部门讨论的结果，需求列表，当前的安全策略、工具和标准的清单，在这些基础上建立一个由IT安全经理领导的集中的安全部门。

　　8. 制定策略。

      基于现有的IT安全策略清单，排除那些过时或者无效的策略，通过修改制定出必备的新策略。

　　9. 组建设计团队。

      针对两个安全检查部门提出的IT安全策略、流程、方法和工具，建立一个跨职能的团队来开发其实施计划。

　　10. 检查并通过该计划。

      主管IT安全检查部门应该检查IT安全实施计划，同时从有效性和效率两个方面，对策略、预算、进度和优先级别进行讨论。

　　11. 评估IT安全计划的技术可行性。

      IT安全检查部门应该从技术可行性和是否符合标准两个方面对IT安全实施计划进行评估。

　　12. 分配任务，制定进度，实施计划。

      将任务及其相应的进度表分配给个人或团队，开始执行IT安全计划。计划实施后，应对其有效性进行评估。另外，评估人员应该监督员工，确保他们按照计划实施，同时履行个人职责。