策略与流程

政策和程序将安全从依赖少数人的经验，转变为可重复、可执行的实践。它们规定预期行为、分配责任，并提供审计人员所要求的证据。

如果没有形成书面记录，就无法持续执行或证明这些要求。

安全文档分为多个层级：

• 政策：高层次的意图和规则（说明做什么以及为什么做）。
• 标准：具体的强制性要求。
• 程序：分步骤说明如何操作。
• 指南：推荐的最佳实践（可选）。

请明确区分二者：

• 政策规定规则：密码长度必须至少为 12 个字符。
• 程序说明如何执行：在身份提供商中设置密码政策的具体步骤。

政策相对稳定；程序会随着工具变化而变化。

大多数安全计划都包括：

• 可接受使用政策。
• 访问控制/身份政策。
• 数据分类与处理政策。
• 事件响应政策。
• 业务连续性/灾难恢复政策。

AUP规定用户可以以及不可以如何使用公司的系统和数据。它涵盖电子邮件、互联网、设备以及违规后果，通常会在入职时由员工确认。

访问控制政策将最小权限原则和审查频率正式写入规定。

• 如何申请和批准访问权限。
• 角色定义和职责分离。
• 多久审查和撤销一次访问权限（例如在员工离职时）。

该政策规定组织如何检测、报告和处理安全事件。它明确角色、升级路径和沟通规则，使危机处理遵循计划，而不是临时 improvisation。

每项政策都需要一名负责确保其内容保持最新的负责人，并且需要明确分配责任。没有责任归属，文档就会逐渐过时并失去权威性。

• 负责人批准并维护文档。
• 相关方负责实施并遵循文档要求。

文档必须经过正式批准并进行版本控制。

• 记录作者、批准人、批准日期和版本号。
• 跟踪变更，以便审计人员查看历史记录。
• 设定审查周期，通常为每年一次。

没人阅读的政策毫无价值。请分发文档、培训员工并收集确认记录。提高安全意识可以将书面规则转化为实际行为，并提供执行政策的证据。

政策必须具有约束力。请定义违规后果，并在可能的情况下通过技术控制措施支持这些后果（例如，在身份提供商中强制执行密码标准，而不只是把要求写在纸面上）。一致的执行能保持政策的可信度。

文档让安全工作变得可重复且可证明：

• 使用层级体系：政策、标准、程序、指南。
• 政策规定规则；程序提供步骤。
• 分配负责人，完成批准、版本控制并定期审查。
• 通过沟通、培训和执行，让文档真正发挥作用。