检测企业站点安全策略注意要点

　　站点安全策略是企业网设计的一个基本部分。它几乎和确定带宽需求或系统冗余一样重要。安全策略是对访问规则的重要设置，所需要访问某个机构的技术和信息资产的人员都应该遵守这些规则。安全策略应该由有权预算和制定策略的管理人员、知道什么服务可以支持和不可以支持的技术人员、熟悉不同策略在法律上有何区别的法律工作人员这几类关键代表人员来制定。一个成功的安全策略应该具备一些关键特性，如：能够在技术上实现;能够在企业中执行;在适当的时候必须能够使用安全工具来执行，在防范措施技术上不可行时能够通过约束来执行;必须明确规定用户、管理员和管理部门的职责范围;必须要足够的灵活性，能适应环境的变化等等。

　　安全策略不应该决定如何操作业务，而应该根据商业活动的性质来指导安全策略的制定。制定企业的安全策略看起来似乎很难，但如果能够在选择安全性方法之前就制定好安全策略，那么企业就可以避免在实施方法之后重新设计安全性。

　　如何入手进行检测

　　许多企业对于企业的环境中的安全程序都有现成的方针。这些方针可通过员工行为准则加以体现，准则从一定程度上概括了员工应该如何对待机密技术、知识产权和其他企业机密信息。由于这些方针是从业务角度来确定哪些信息对于企业是有价值的，因此可以成为建立企业网安全策略的基础。

　　对于现有的计算机网络，除了企业行为声明外，进行用户调查也可以收集到关于安全程序中可能存在的纰漏信息。调查可以从那些并无恶意，只是为了提高效率而破坏安全程序的人们那里获得许多宝贵的信息。调查结束后，应该对被破坏的安全程序进行再评估，以确定安全策略怎样才能达到实践中可实现的安全尺度。

　　应该认识到，商业机遇是驱动安全需求的最基本动力。如果一个企业没有太多机密需要保护——可能是由于网络上所有的信息和数据都不是机密的，且可以任意获取——那么，安全程序就可以很简单。但如果安全纰漏给商业带来负面影响(导致收入降低)的可能性越大，对安全策略的要求则越严格。

　　企业站点威胁风险的管理

　　风险管理是确定适当的企业安全措施的系统化方法。对于如何提供安全性、在哪些方面提供安全性以及所应采取的安全控制的类型和强度等都需要认真加以考虑。在计算机网络诞生之前，机密数据都是用锁和钥匙保护，人们相信将机密文件保存在安全的地方就可以提供有效的保护。如今，计算机网络的出现使所有这些物理检查都变的毫无意义。如果可以把磁盘中的文件加密，以电子邮件发送出去，又有谁还会将磁盘偷偷带出去呢?计算机网络带来了自由的环境，要是不用电子锁和电子钥匙的机制来保卫企业安全的话，那么网络上的所有数据都可以自由地访问、转移或删除。因此网络的出现给企业安全带来了新的风险，必须对此加以管理。对风险管理基本上包括风险评估、风险缓解和安全成本。

　　风险评估包括明确关键资产、对资产进行估价和确定出现破坏的可能性。当关键资源已经明确，且出现关键资源可能已经被损坏、破坏或者不能使用以及由此所导致的损失代价也已经被评估，那么就可以确定企业可以接受的风险等级。因为评估需要依据具体的商业需求、用户的可信赖性以及关键资产的位置等，所以对不同企业进行风险评估的结果并不完全一样。

　　在风险评估前应该对网络资产鉴别、资产的价值和威胁和脆弱性进行分析。对于所有可能的威胁，必须对风险进行评估。测量风险可以有很多种方法。最常见的方法包括定量方式、定性方式或二者的组合。定量风险评估采用经验数据和已知的可能性及统计结果来进行评估。定性风险分析则根据直觉进行评价。不论采用哪种机制，重要的是如何对损失及损失发生的可能性进行量化，且保证量化结果对于负责风险决策的人是一致和有意义的。

　　当所有风险都已经评估之后，企业就必须确定它能接受多高的风险，以及资产需要保护到什么程度。风险缓解是选择以适当的控制方式将风险降低可接受水平的过程。通过把暴露安全漏洞所带来的风险和实现以及强制执行安全策略所需的费用进行比较，就可以确定企业可接受的风险水平。倘若某些威胁是极不可能发生的，那么就不值得花钱来制定严格的安全策略保护受威胁的资产设备。比较好的方法是估计损失的价值，不要花比实际损失还要多的钱来提供安全性保护。