Duang! 和巨廉一起漫谈企业信息安全运维

[julianchen]

原创作品，未经Julian 本人授权不得转载，侵权必究。

**点击查看全部漫谈贴**

亲爱的小伙伴们，
新年快乐！感谢你们的一路陪伴和参与！
大家期盼已久的“年度大奖”出炉啦！请获奖的小伙伴快快与管理员联系，反馈您的收奖信息吧！
年度大奖获奖公告：

suzhouxiaoniu

12月份活动获奖公告：

一等奖：dourbest

二等奖：tingtingyuli，az2005，suzhouxiaoniu

幸运参与奖：louliqun, szczh

11月份活动获奖公告：

一等奖：joeji
二等奖：szczh, suzhouxiaoniu

10月份活动获奖公告：

一等奖：dourbest
二等奖：szczh，liuliyuan1980

幸运参与奖：gongym

9月份活动获奖公告：

一等奖：

suzhouxiaoniu

幸运参与奖：zhongguo2008, tingtingyuli,

louliqun

****************
版主加入了！版主回来了！版主开贴了！重要的事情说三遍！ 本人Julian Chen，以前思科中文服务社区的企业安全版块版主（如果我没记错的话，哈），终于在茫茫网络中找到了组织，回归了！现成为思科服务支持社区“安全技术”版块版主，为大家服务。
哥，江湖人称：巨廉，CISSP一枚，最近获得了由ISLA颁发的本年度信息安全从业者奖（说人话！）。我作为科班出身并从业多年的信息安全战士，在信息安全领域也不敢说是“浸淫”多年，也算是摸爬滚打了数载吧。本人平时开朗活泼，甚至有些talktive，经常热心的把自己的一些经验分享给周围的小伙伴，并供大家探讨。上周五、六两天，一向爱思考爱探索的我，有幸参加了上海首席信息官联盟的一次“企业信息安全研讨会”并参与了“企业信息化中的信息安全落地指南”第一次审议。在下本着学习、学习再学习的态度收获了不少企业信息安全治理与运维的思路和观点。会后，通过整理了自己的思路，心得和感悟，乘热打铁的写下了一些东西并准备从本期开始陆续推出《和巨廉一起漫谈企业信息安全运维》的系列帖子。
说了这些，你也许会想“然并卵”。So，we are 伐木累！你也可以在这里畅所欲言啊！在这里你不但可以看到巨廉没隔一段时间的唠叨，也能读到其他志同道合的小伙伴的分享。You can you up！我们就等你参与了。你的参与让我们十动难拒！
参与方式有两种可选：
1. 大家在批判性的阅读后，可以根据我的思路以直接回帖进行参与。
2. 参与者也可另起炉灶，在本版自行开个新帖分享idea，不过标题格式需为"【和巨廉一起漫谈企业信息安全运维】XXXX", 然后把新帖的地址以回帖的形式回复到此活动下方。
参与者发布内容要求

**原创**

，字数不少于200字，文体不限。
活动时间：
2015年9月1日-2015年12月31日，以发帖时间为准
奖项设置：
活动期间每月评出
一等奖1名，奖品 京东购物卡100 元
二等奖3名，奖品 京东购物卡 50元
幸运参与奖5名，社区提供的精美礼品一份
活动结束后，将评出 2015年度大奖 1名，奖品：京东购物卡500元
备注：除参与奖外，其他奖项以发布内容获得的评分为评选依据。

[suzhouxiaoniu]

我在想，认真的在想：如果思科能出一款移动端的安全软件，我肯定会第一个安装上去，临近年底，被各种骚扰电话弄的苦不堪言，电话不能不接，接了10个有7个都是各种推广、诈骗、投资等电话，以前以本地电话为主，最近发现，北京、上海、广州的电话越来越多，不知何故？应该与双11网络购物有关。
安装了多款电话号码识别软件，也只能实现50%左右的过滤与标记，所以思科赶紧开发一个，
用对待企业信息安全的态度来对待个人信息安全，定可解！
前提：不差钱！;P
也希望各位安全工程师指点一下，个人信息的安全如何保障，平时的大量的网站密码、银行密码、手机号码、个人住址信息等，如何安全管理的？求赐教

[dourbest]

赶在年底奉上一篇，请各位指点一二哦。
http://bbs.csc-china.com.cn/forum.php?mod=viewthread&tid=27641&extra=page%3D1

[julianchen]

suzhouxiaoniu 发表于 2015-12-15 12:28
我在想，认真的在想：如果思科能出一款移动端的安全软件，我肯定会第一个安装上去，临近年底，被各种骚扰电 ...

对于电话黑名单，我觉得运营商也应该有责任。说我上周碰到的一个事情吧。打了某品牌的保修电话上门维修后，问题再现，再打过去人家就不认账了，逼问才知，那个400不是企业注册的，分明是个人注册的“李鬼”维修热线，这分明是运营商监控不严所致。
貌似思科做的还是企业级居多，个人方面的应用，比较少。要做这样的应用估计还是要和运营商协作读取后台注册信息才行。

[julianchen]

dourbest 发表于 2015-12-15 21:40
赶在年底奉上一篇，请各位指点一二哦。
http://bbs.csc-china.com.cn/forum.php?mod=viewthread&tid=276 ...

感谢你的一贯支持和文末的祝福，我心领了！

[suzhouxiaoniu]

julianchen 发表于 2015-12-16 09:03
对于电话黑名单，我觉得运营商也应该有责任。说我上周碰到的一个事情吧。打了某品牌的保修电话上门维修后 ...

是的，政策是最大的问题，很多公司在公然违法，却不会受到任何处罚，或者是与既得利益完全不对称的处罚。比如，刚注册公司，就立即有广告公司打电话过来，我还记得当时女儿刚出生，做的新生儿登记，就开始接到各种幼儿保健机构电话，明明知道信息从哪泄露，你确无可奈何。

[tingtingyuli]

借着这次培训的机会，谈谈小故事
在这里，真的学习了很多，感谢啦
http://bbs.csc-china.com.cn/forum.php?mod=viewthread&tid=28351&extra=

[az2005]

对于外企而言，首先要明确信息安全到底是什么，外企如何做才能达到国内信息安全的标准。我认为外包安全、供应链安全以及技术安全保证之后，就能够符合中国的信息安全标准。可是中国政府深层次需要的是GDP的增长以及国家转型。所以我们不难看出，中国的政策指引，其实想要实现核心的ICT制造业向中国转移、同时力争实现ICT的部分核心技术转让；最终形成本地的超级厂商（类似于紫光等）。
但是目前存储、CPU等核心市场主要还是由少数厂商主导，中国政府只能够以打压高通、联手AMD等方式在几家厂商中做平衡，以实现制造层次上的转移。
同时我们认为目前华为、中兴等厂商在运营商、企业网取得的成功，并非直接关联于国产化、网络安全的政策，而主要是因为其深身处中国市场，了解定制化的市场需求。本土厂商的成功并不能说明国产化的加速推进，最终还是拥有好的解决方案的厂商能够占据主导市场地位；但是中国政府目前想实现ICT核心制造业转型的思路以及技术授权的想法正在进行中。

[az2005]

国内网络安全市场，还主要是靠国家投入，是一个政府市场或者是政策市场。
安全企业绝大部分收入是来源于政府：一个是政府部门的投资，另外一个有财政支持。在短期内及未来一段时间都不可能改变的事实。
在这种形成之下，国家需要什么企业就要去发展什么。所以说国家提出国产化替代，国产化替代需要啥？企业需要有关注，例如CPU、操作系统、自主可控可管服务器、网络安全产品（资本市场追捧）、安全工控产品。另外，国外企业与国内企业安全产品领域存在合作的空间，取决于国外企业产品技术的开放程度。
《网络安全法》和《国家安全法》将关键信息基础设施的保护纳入法律范畴，并提出了网络信息安全方面的明确要求。
随着上层领导关系的理顺，包括部门之间管理格局的完善，网络安全审查制度及各项关于网络信息安全法律、制度都应该会在2016年逐步出台。
但是这些文件的出台包括落实，可能还要一两年的时间，至少在2017年以前，网络信息安全爆发性的增长是不现实的，关键还要考虑目前产业的基础。

[az2005]

呵呵，现在云计算越来越成为企业和投资的热点，相适应的信息安全，也同样越来越引起重视，我们的信息安全运维和技术学习以后会大有可为，抛砖了，呵呵。。

[julianchen]

az2005 发表于 2015-12-22 09:59
呵呵，现在云计算越来越成为企业和投资的热点，相适应的信息安全，也同样越来越引起重视，我们的信息安全运 ...

写得不错哦。感谢您的分享！

[louliqun]

现在大部分的运维安全都是在照搬照套而已，大部分的脆弱性和漏洞都差不多，我们谈管理，谈技术，我到时觉得最重要的是钱，国内企业对IT的理解还没有达到外企那样的认知度，总觉得是烧钱的部门，就像我们企业，今年由于经济不好，把我们IT部门培训经费全压缩了，本来想学一学数据库安全方面的东西，现在也泡汤了，而，也许，我学了，就避免了一次大规模的数据库安全攻击呢，这个是几万元培训费能比拟的吗？

[julianchen]

louliqun 发表于 2015-12-26 08:44
现在大部分的运维安全都是在照搬照套而已，大部分的脆弱性和漏洞都差不多，我们谈管理，谈技术，我到时觉得 ...

我为你们企业扼杀了你这样一个将来的技术大牛而惋惜。也行你的企业将来会为这个具有蝴蝶效应的决定后悔不已。你能体会到我在含蓄的祝你有美好的未来吗？哈哈。

[szczh]

一直在无锡、苏州、上海三地出差，突然在苏州接到老总的电话
而这个电话与本话题有关！
真实的、自己的事实证明，网络运维安全真的很重要，最近我们老总说公司有客户资料泄密，叫我加强网络防护。我说：好！没问题！
然而，这件事，到目前为止，我还没有确认问题在哪？硬件？软件？还是人？
突然感觉都有问题，我现在能想到的暂时的方案是：
从网络安全上 可以加行为管理 PC安全上可以加防护软件等
应用安全上 对使用客户资料的软件用户做权限管理 等
因为不知道哪出的毛病 于是就全上一遍
当然最后我也建议老板吧员工的培训提上日程来，毕竟技术不是万能的。。。

[suzhouxiaoniu]

新年快乐！

[louliqun]

感谢版主和管理员，地址不变