首先要在全面地审计信息系统资产的基础上确定风险暴露和漏洞。然后，基于信息系统安全性的三个主要组成部分来分析这些资产弱点。信息系统安全性的三个主要组成部分是：

· 机密性：保证组织的信息资产不会被不恰当地泄露。

· 完整性：保证信息系统资产的准确性和可靠性。

· 可用性：保证信息系统资产以一种及时、可靠和可预测的方式可用。

接着，考虑每个部分在出现裂口的成本和影响，以确定你的风险优先级。在确定风险优先级时，请向你自己提出以下问题：

· 资产的价值是什么？

· 危及资产价值的安全有多复杂？

· 威胁发生的概率是多少？

· 如果资产被危及安全，其成本是多少？

· 恢复资产的难度有多大？

最后，采取以下步骤减轻这些风险。这些步骤涉及的范围很广，从锁定应用程序安全到删除对系统资产的物理访问都有。

保护组织不受被开除职员不适当动作的危害之关键是速度和准备。人员位置通常不允许你有很多时间去准备；因此，这就是你的计划的用武之地。例如，你应该在一个职员被开除的前几个钟头内采取以下动作：

· 删除对 IT 资产的物理访问。

· 删除网络、Web 和应用程序授权/身份验证。

· 隔离系统。（这可能包括删除 VPN、调制解调器或其它接入。）

· 要求归还所有公司资产。

· 与该职员的主管和同事进行针对该职员的风险评估。

· 实现一个离职访谈，期间你还可以评估风险。

· 保证这个职员尽快地离开其工作岗位。

· 将一个责任资源分配给一直与这个职员一起工作的人。

· 审计该职员的工作站和工作区域以确定风险等级。

· 通知他的所有同事该职员已经离职。

· 保持适当警惕地完成一个保险评估，以保证你的同事是安全的。

· 再次查看事件响应计划，并将它们都准备就绪。

虽然很多步骤看上去可能很无情，但不适当的动作造成的影响也很无情。做好准备就可以以不变应万变。

项目管理的七大原则

项目学习的10条法则

上一页123下一页