企业信息安全建设三期

企业信息安全建设三期，介绍企业信息安全三期规划

企业信息安全建设三期

• 1、源代码安全审计
  • 1、程序源代码检测
    • 白盒测试
      • 代码审计
        • 动态分析
          • 上传漏洞
          • 弱口令
          • 注入
          • 恶意代码执行
          • 密码破解
          • 密码找回功能
          • ......
        • 静态分析
          • 工具分析
          • 人工代码分析
        • 综合分析
          • 人工模拟攻击测试
    • 墨盒测试
  • 2、编制《代码安全规范》
    • 输入验证
    • 数据库访问
    • 文件操作
    • 异常管理
      • 警报
      • 行为日志
    • 输出处理
• 2、上线/变更管理
  • 上线安全管理
    • 安全控制
    • 规范验收标准
  • 上线/变更安全检测
    • 检测提供的安全相关文件合理性
    • 主机/应用的漏洞检测
    • 渗透测试
    • 安全配置进行基线检查
• 3、数据防泄露
  • 1、现状
    • 1、机密文档U盘COPY带走
    • 2、机密文档通过邮件、QQ、微信发送
    • 3、复制机密文件带走
    • 4、机密文件刻录光盘后带走
    • 5、电脑被盗、维护等原因落入外人手中
    • 6、公司网络漏洞导致被黑客盗取
    • 7、云平台存储等
  • 2、防护项
    • 机密文档
      • 财务资料
        • 企业银联
        • 营收额
        • 工资
      • 项目资料
        • 招投标
        • 收支费用
        • 项目成果
      • 营运资料
        • 客户信息
        • 量化指标
      • 员工资料
        • 合同
        • 学历
        • 身份证
        • 关系网等
    • 源代码
    • 服务器
      • iP
      • 账号
      • 版本信息
    • 图纸
      • 专利
      • 论文
      • 设计图
    • 通讯录
  • 3、防护措施优化及建议
    • 技术与管理
    • 产品部署实现
      • 涉密文件自动加密
      • 涉密网络内部流畅、隔离外来设备
      • 文档外发控制
        • 流程化管理
      • 操作日志记录
      • 移动办公监控
      • 涉密文档自动备份
      • 服务器端数据保护
• 4、信息安全体系建设
  • 1、安全制度体系
    • 安全策略
    • 安全规范
    • 操作流程
    • 细则
  • 2、体系管理能力
  • 3、审计能力
• 5、构建漏洞知识库
  • 1、漏洞类
  • 2、检测方法
  • 3、加固方案