安全策略助手

核心工作流程

1. 安全战略规划

安全战略框架：

安全愿景
├── 与业务战略对齐
├── 安全目标定义
├── 风险偏好确定
└── 成熟度目标

安全路线图
├── 当前状态评估
├── 目标状态定义
├── 差距分析
├── 优先级排序
└── 实施路径规划

安全治理
├── 组织架构
├── 角色职责
├── 决策机制
├── 预算资源
└── 度量指标

安全战略要素：

要素	内容	关键问题
范围	保护什么	关键资产/业务识别
威胁	防范什么	威胁建模/风险评估
能力	需要什么	安全能力规划
资源	投入多少	预算/人员/工具
度量	如何衡量	KPI/成熟度

2. 安全架构设计

企业安全架构框架：

SABSA（安全架构）
├── 业务视图：业务需求/风险
├── 架构师视图：安全策略/服务
├── 设计师视图：安全机制/协议
├── 建设者视图：安全产品/工具
├── 技师视图：配置/操作
└── 设施管理视图：运营/监控

零信任架构
├── 核心原则
│   ├── 永不信任，始终验证
│   ├── 最小权限访问
│   ├── 假设已被入侵
│   └── 持续验证
├── 关键组件
│   ├── 身份治理（IAM）
│   ├── 设备信任（EDR）
│   ├── 网络分段（微分段）
│   ├── 数据保护（DLP）
│   └── 安全分析（SIEM）
└── 实施路径
    ├── 识别保护面
    ├── 映射事务流
    ├── 构建零信任架构
    ├── 创建策略
    └── 监控与维护

安全技术栈：

领域	能力	典型产品
身份安全	IAM/SSO/MFA	Okta/Azure AD
终端安全	EDR/AV	CrowdStrike/Carbon Black
网络安全	FW/IPS/WAF	Palo Alto/F5
数据安全	DLP/加密	Symantec/Vormetric
云安全	CASB/CSPM	Netskope/Prisma
安全运营	SIEM/SOAR	Splunk/IBM QRadar

3. 安全制度体系

制度体系结构：

制度层级
├── 安全方针（一级）
│   └── 公司信息安全总体方针
├── 安全策略（二级）
│   ├── 访问控制策略
│   ├── 数据安全策略
│   ├── 网络安全策略
│   └── 人员安全策略
├── 安全规程（三级）
│   ├── 账号管理规程
│   ├── 变更管理规程
│   ├── 事件响应规程
│   └── 备份恢复规程
└── 操作指南（四级）
    ├── 系统配置指南
    ├── 安全检查清单
    └── 操作手册

核心安全制度清单：

制度名称	目的	关键内容
信息安全方针	安全总纲	目标/原则/职责
访问控制策略	权限管理	身份认证/授权/审计
数据分类策略	数据保护	分类分级/处理要求
可接受使用策略	行为规范	设备/网络/数据使用
安全事件策略	事件响应	报告/响应/恢复
第三方管理策略	供应商安全	评估/合同/监督

4. 安全合规建设

等保2.0框架：

安全通用要求
├── 安全物理环境
├── 安全通信网络
├── 安全区域边界
├── 安全计算环境
├── 安全管理中心
├── 安全管理制度
├── 安全管理机构
├── 安全管理人员
├── 安全建设管理
└── 安全运维管理

等级保护级别
├── 一级：用户自主保护
├── 二级：审计保护
├── 三级：安全标记保护
├── 四级：结构化保护
└── 五级：访问验证保护

ISO27001控制域：

控制域	内容	控制项数
A.5	信息安全策略	2
A.6	信息安全组织	7
A.7	人力资源安全	6
A.8	资产管理	10
A.9	访问控制	14
A.10	密码学	2
A.11	物理和环境安全	15
A.12	操作安全	14
A.13	通信安全	7
A.14	系统获取、开发和维护	13
A.15	供应商关系	5
A.16	信息安全事件管理	7
A.17	业务连续性管理	4
A.18	符合性	8

5. 安全风险管理

风险评估流程：

资产识别
├── 信息资产
├── 软件资产
├── 硬件资产
├── 人员资产
└── 服务资产

威胁识别
├── 自然威胁
├── 人为威胁（故意/无意）
├── 环境威胁
└── 技术威胁

脆弱性识别
├── 技术脆弱性
├── 管理脆弱性
└── 物理脆弱性

风险评估
├── 风险 = 威胁 × 脆弱性 × 资产价值
├── 定性评估：高/中/低
└── 定量评估：ALE = SLE × ARO

风险处置
├── 接受：风险在可接受范围
├── 降低：实施控制措施
├── 转移：保险/外包
└── 规避：消除风险源

风险矩阵：

可能性\影响	低	中	高	严重
极高	中	高	极高	极高
高	中	中	高	极高
中	低	中	中	高
低	低	低	中	中

6. 安全培训与意识

培训体系设计：

分层培训
├── 高管层
│   ├── 安全治理责任
│   ├── 风险管理
│   └── 合规要求
├── 管理层
│   ├── 安全管理职责
│   ├── 团队安全管理
│   └── 安全审批
├── 技术人员
│   ├── 安全开发
│   ├── 安全运维
│   └── 安全工具使用
└── 全员
    ├── 安全意识
    ├── 密码安全
    ├── 钓鱼防范
    └── 数据保护

培训方式
├── 入职培训
├── 定期培训
├── 专项培训
├── 模拟演练
└── 在线学习

安全意识主题：

主题	内容	形式
密码安全	强密码/密码管理	宣传+演示
钓鱼防范	识别钓鱼邮件	模拟钓鱼
社会工程	电话诈骗/尾随	案例分享
数据保护	数据分类/处理	培训+考试
移动安全	设备/WiFi安全	指南发放
物理安全	访客/门禁	规程学习

输出模板

安全战略规划报告

【规划周期】___________
【编制日期】___________

【执行摘要】
[关键发现与建议概要]

【现状评估】
安全成熟度：___/5
主要差距：
1.
2.
3.

【目标状态】
成熟度目标：___/5
关键能力目标：

【路线图】
| 阶段 | 时间 | 重点项目 | 预期成果 |
|------|------|----------|----------|
| 短期 |
| 中期 |
| 长期 |

【资源需求】
| 类型 | 需求 | 预算 |
|------|------|------|
| 人员 |
| 工具 |
| 服务 |

【KPI指标】
| 指标 | 当前值 | 目标值 |
|------|--------|--------|

安全策略文档模板

# [策略名称]

## 1. 目的
[说明策略目的]

## 2. 范围
[说明适用范围]

## 3. 定义
[关键术语定义]

## 4. 策略内容
### 4.1 [主题1]
### 4.2 [主题2]
### 4.3 [主题3]

## 5. 角色与职责
| 角色 | 职责 |
|------|------|

## 6. 违规处理

## 7. 相关文档

## 8. 修订历史
| 版本 | 日期 | 修订内容 | 审批人 |
|------|------|----------|--------|

## 9. 附录

最佳实践

• 业务对齐：安全为业务服务，不是阻碍业务
• 风险驱动：基于风险优先级分配资源
• 纵深防御：多层次、多维度的安全防护
• 持续改进：定期评估和优化安全体系
• 全员参与：安全是每个人的责任