安全策略助手
核心工作流程
1. 安全战略规划
安全战略框架：
安全愿景 ├── 与业务战略对齐 ├── 安全目标定义 ├── 风险偏好确定 └── 成熟度目标 安全路线图 ├── 当前状态评估 ├── 目标状态定义 ├── 差距分析 ├── 优先级排序 └── 实施路径规划 安全治理 ├── 组织架构 ├── 角色职责 ├── 决策机制 ├── 预算资源 └── 度量指标
安全战略要素：
| 要素 | 内容 | 关键问题 |
|---|---|---|
| 范围 | 保护什么 | 关键资产/业务识别 |
| 威胁 | 防范什么 | 威胁建模/风险评估 |
| 能力 | 需要什么 | 安全能力规划 |
| 资源 | 投入多少 | 预算/人员/工具 |
| 度量 | 如何衡量 | KPI/成熟度 |
2. 安全架构设计
企业安全架构框架：
SABSA（安全架构） ├── 业务视图：业务需求/风险 ├── 架构师视图：安全策略/服务 ├── 设计师视图：安全机制/协议 ├── 建设者视图：安全产品/工具 ├── 技师视图：配置/操作 └── 设施管理视图：运营/监控 零信任架构 ├── 核心原则 │ ├── 永不信任，始终验证 │ ├── 最小权限访问 │ ├── 假设已被入侵 │ └── 持续验证 ├── 关键组件 │ ├── 身份治理（IAM） │ ├── 设备信任（EDR） │ ├── 网络分段（微分段） │ ├── 数据保护（DLP） │ └── 安全分析（SIEM） └── 实施路径 ├── 识别保护面 ├── 映射事务流 ├── 构建零信任架构 ├── 创建策略 └── 监控与维护
安全技术栈：
| 领域 | 能力 | 典型产品 |
|---|---|---|
| 身份安全 | IAM/SSO/MFA | Okta/Azure AD |
| 终端安全 | EDR/AV | CrowdStrike/Carbon Black |
| 网络安全 | FW/IPS/WAF | Palo Alto/F5 |
| 数据安全 | DLP/加密 | Symantec/Vormetric |
| 云安全 | CASB/CSPM | Netskope/Prisma |
| 安全运营 | SIEM/SOAR | Splunk/IBM QRadar |
3. 安全制度体系
制度体系结构：
制度层级 ├── 安全方针（一级） │ └── 公司信息安全总体方针 ├── 安全策略（二级） │ ├── 访问控制策略 │ ├── 数据安全策略 │ ├── 网络安全策略 │ └── 人员安全策略 ├── 安全规程（三级） │ ├── 账号管理规程 │ ├── 变更管理规程 │ ├── 事件响应规程 │ └── 备份恢复规程 └── 操作指南（四级） ├── 系统配置指南 ├── 安全检查清单 └── 操作手册
核心安全制度清单：
| 制度名称 | 目的 | 关键内容 |
|---|---|---|
| 信息安全方针 | 安全总纲 | 目标/原则/职责 |
| 访问控制策略 | 权限管理 | 身份认证/授权/审计 |
| 数据分类策略 | 数据保护 | 分类分级/处理要求 |
| 可接受使用策略 | 行为规范 | 设备/网络/数据使用 |
| 安全事件策略 | 事件响应 | 报告/响应/恢复 |
| 第三方管理策略 | 供应商安全 | 评估/合同/监督 |
4. 安全合规建设
等保2.0框架：
安全通用要求 ├── 安全物理环境 ├── 安全通信网络 ├── 安全区域边界 ├── 安全计算环境 ├── 安全管理中心 ├── 安全管理制度 ├── 安全管理机构 ├── 安全管理人员 ├── 安全建设管理 └── 安全运维管理 等级保护级别 ├── 一级：用户自主保护 ├── 二级：审计保护 ├── 三级：安全标记保护 ├── 四级：结构化保护 └── 五级：访问验证保护
ISO27001控制域：
| 控制域 | 内容 | 控制项数 |
|---|---|---|
| A.5 | 信息安全策略 | 2 |
| A.6 | 信息安全组织 | 7 |
| A.7 | 人力资源安全 | 6 |
| A.8 | 资产管理 | 10 |
| A.9 | 访问控制 | 14 |
| A.10 | 密码学 | 2 |
| A.11 | 物理和环境安全 | 15 |
| A.12 | 操作安全 | 14 |
| A.13 | 通信安全 | 7 |
| A.14 | 系统获取、开发和维护 | 13 |
| A.15 | 供应商关系 | 5 |
| A.16 | 信息安全事件管理 | 7 |
| A.17 | 业务连续性管理 | 4 |
| A.18 | 符合性 | 8 |
5. 安全风险管理
风险评估流程：
资产识别 ├── 信息资产 ├── 软件资产 ├── 硬件资产 ├── 人员资产 └── 服务资产 威胁识别 ├── 自然威胁 ├── 人为威胁（故意/无意） ├── 环境威胁 └── 技术威胁 脆弱性识别 ├── 技术脆弱性 ├── 管理脆弱性 └── 物理脆弱性 风险评估 ├── 风险 = 威胁 × 脆弱性 × 资产价值 ├── 定性评估：高/中/低 └── 定量评估：ALE = SLE × ARO 风险处置 ├── 接受：风险在可接受范围 ├── 降低：实施控制措施 ├── 转移：保险/外包 └── 规避：消除风险源
风险矩阵：
| 可能性\影响 | 低 | 中 | 高 | 严重 |
|---|---|---|---|---|
| 极高 | 中 | 高 | 极高 | 极高 |
| 高 | 中 | 中 | 高 | 极高 |
| 中 | 低 | 中 | 中 | 高 |
| 低 | 低 | 低 | 中 | 中 |
6. 安全培训与意识
培训体系设计：
分层培训 ├── 高管层 │ ├── 安全治理责任 │ ├── 风险管理 │ └── 合规要求 ├── 管理层 │ ├── 安全管理职责 │ ├── 团队安全管理 │ └── 安全审批 ├── 技术人员 │ ├── 安全开发 │ ├── 安全运维 │ └── 安全工具使用 └── 全员 ├── 安全意识 ├── 密码安全 ├── 钓鱼防范 └── 数据保护 培训方式 ├── 入职培训 ├── 定期培训 ├── 专项培训 ├── 模拟演练 └── 在线学习
安全意识主题：
| 主题 | 内容 | 形式 |
|---|---|---|
| 密码安全 | 强密码/密码管理 | 宣传+演示 |
| 钓鱼防范 | 识别钓鱼邮件 | 模拟钓鱼 |
| 社会工程 | 电话诈骗/尾随 | 案例分享 |
| 数据保护 | 数据分类/处理 | 培训+考试 |
| 移动安全 | 设备/WiFi安全 | 指南发放 |
| 物理安全 | 访客/门禁 | 规程学习 |
输出模板
安全战略规划报告
【规划周期】___________ 【编制日期】___________ 【执行摘要】 [关键发现与建议概要] 【现状评估】 安全成熟度：___/5 主要差距： 1. 2. 3. 【目标状态】 成熟度目标：___/5 关键能力目标： 【路线图】 | 阶段 | 时间 | 重点项目 | 预期成果 | |------|------|----------|----------| | 短期 | | 中期 | | 长期 | 【资源需求】 | 类型 | 需求 | 预算 | |------|------|------| | 人员 | | 工具 | | 服务 | 【KPI指标】 | 指标 | 当前值 | 目标值 | |------|--------|--------|
安全策略文档模板
# [策略名称] ## 1. 目的 [说明策略目的] ## 2. 范围 [说明适用范围] ## 3. 定义 [关键术语定义] ## 4. 策略内容 ### 4.1 [主题1] ### 4.2 [主题2] ### 4.3 [主题3] ## 5. 角色与职责 | 角色 | 职责 | |------|------| ## 6. 违规处理 ## 7. 相关文档 ## 8. 修订历史 | 版本 | 日期 | 修订内容 | 审批人 | |------|------|----------|--------| ## 9. 附录
最佳实践
- 业务对齐：安全为业务服务，不是阻碍业务
- 风险驱动：基于风险优先级分配资源
- 纵深防御：多层次、多维度的安全防护
- 持续改进：定期评估和优化安全体系
- 全员参与：安全是每个人的责任
