引言：“人是最薄弱的环节。你可能拥有最好的技术、防火墙、入侵检测系统、生物鉴别设备，可只要有人给毫无戒心的员工打个电话。。。。。。” KevinMitnick
我在单位IT部下辖的信息安全部门供职，平时除了响应和处理一些信息安全事件以外，就是制定安全章程和举办安全意识培训。这么巧，最近在备考信息安全方面的证书，有时候学累了，就上来潜水看帖，看到各位前辈和大牛既讨论了安全理论和技术也谈到了人员和管理，真是受益匪浅。小可也来灌点水吧。就算是对自己复习的一种笔记和总结方式吧。因为我向来就不擅长写作，所以可能表述出来很多地方只是一些点或线的东西，很难形成面更谈不上行文了。也有一些日常工作中信息安全运维的心得。
尽职尽责，其中尽职（Duediligence）：企业全员有一定的信息安全意识，安全操作流程规范执行，能发现安全事件的迹象并予以汇报或采取措施。尽责（Duecare）：管理层支持或委托技术部门制定安全策略、标准或流程，并采取必要的措施来保护企业资产，并使其固原免遭可能的风险所带来的影响。
管理和技术部门应当做到“Duecare”而一般员工和普通用户则要有“Due diligence”的素质。我记得备考资料上有反复提到，信息安全策略的实施一定要有领导层的支持，这个非常重要。有了领导的公开表态，后面的事情执行和操作起来就方便多了。在此我分享一下自己的一点经验（也许大家一直都是这么做的）：重要的通知一定要抄送领导层哦，因为他们有Duecare的责任；更好的操作是和领导层在邮件发送以前达成默契，领导看到你的邮件后马上以回复全部的方式表述支持。这样效果乃是绝佳的！
我们IT部门人员只是各种信息的保管者（Custodian）不是所有者（Owner），所以在处理信息的时候不能任性，没有擅自修改或删除（虽然可能是“去重”这样的good will）。这里跟大家分享一个真实的例子，我们单位有个IT为了服务器空间着想，擅自将某用户共享盘下的两个内容和文件夹完全一致的顶级目录进行了去重与合并。几日后，用户发现了，坚持两个文件夹虽内容一致但创建时间不同分属两个客户。此事一直闹到了部门总监那里。所以IT人员在没有信息所有者的permission之前千万不要自说自话的进行操作。
话说回来，信息所有者应担在IT人员的辅助下对其信息进行分级。在实际操作中，可以让IT人员给信息定制安全级别属性，比如按照“机密（confidential）,私密（private），敏感（sensitive）和公开（public）”创建信息标签或是文件夹存放路径。这是最基本的，也是识别风险所必须的。
以信息安全部（如无，IT部也可）为核心组建一个“计算机事故响应小组（CIRT –Computer Incident Response Team）”。在安全事件发生时起到定性类型、评估损害提供响应和收集证据等作用。记住千万不要闭门造车，有条件的话，一定要让各个部门派一个代表来参与。这样既可以帮忙传达和转述小组的新近安全政策与事故，又能收集来自各个部门的安全相关需求与现状，更能调动各个部门对信息安全参与积极性，发挥主人翁精神。
这里多说一点我的经验，不要搞得像东场的宪兵纠察队一样，与各部门用户为敌。发现安全隐患不要急于进行越俎代庖式的纠正，而是应当在调研清楚的基础上形成报告提交给信息所有者或是其领导。这样在告知了风险是情况下，让其定度是抑制风险、转移风险还是接受风险，并予以书面回复。这样做的好处，相信大家一看就明白了。
说到开头，貌似后面宏篇大作，结果我涨红了脸也只写出来这么点，而且深感亚历山大。我和版主算是同行吧，向你致敬，我敬你是条汉子！
