制定網路安全計劃目標，比方說先……

網路安全戰備狀態是每個企業都應該努力達到的狀態。在本文中將探討網路安全計劃的話題。

網路安全計劃目標

對於任何目標來說，若想實現它，最重要的是制定計劃來確定實現目標的指導方針。網路安全同樣也是如此，在這方面，網路安全戰備狀態是目標，而網路安全計劃是第一個任務。

網路安全計劃應該能夠清楚地描述企業想要實現什麼樣的網路安全目標。如果我們看一看每天報告的計算機和網路安全問題種類，可以從中看到一些明顯的安全規劃主題。為實現網路安全戰備狀態，網路安全規劃目標可包括：

1. 保護智慧財產權防止網路內部或外部的攻擊者盜竊，智慧財產權代表著企業的核心價值和市場差異化。
2. 保護客戶和員工的個人身份資訊和受保護的健康資訊。
3. 能夠看到和了解進入和離開企業網路每個資料包的安全狀況。為了監控和了解哪些資訊流入、流出和流經網路，以及知道資訊流是否是想要或不想要的，合適或不合適的。
4. 完全保密的電子郵件系統，無論位置如何以及無論電子郵件的傳輸是在本地網路內還是網際網路。電子郵件系統應該提供高度保密，以防郵件被盜取。

選擇目標

這四個網路安全行動計劃目標都應該作為獨立的專案，包含時間表、里程碑、測量和指標。第一個和第二個目標可能會有很多相同的控制和安全做法，第三個目標將在後續的文章中進行探討。 本文中，我們將實現機密電子郵件系統作為網路安全計劃目標示例。這個示例包括發現障礙和測量及指標示例(用於測量朝向目標的進展)。

機密電子郵件

機密郵件的目標可通過電子郵件加密來實現。電子郵件加密技術已經存在幾十年，那麼，為什麼大型企業、政府機構和政黨的電子郵件仍然會在維基解密網站和類似網站定期被披露?加密似乎像是免費出獄卡，你可能甚至不需要報告加密郵件和其他資訊的丟失或盜竊。那為什麼不使用它? 通常系統管理員並沒有很好地理解加密，特別是公鑰基礎設施(PKI)加密;它很難得到正確的部署，且有著非常高的管理成本。如果加密系統管理不善，大量資訊可能會丟失。這也是有些企業拒絕採用加密的原因。對於PKI，特別值得關注的是，如果需要接收加密郵件的人沒有自己的PKI金鑰對，他們將無法參加安全郵件會話。對於大型企業、政府、軍方和情報機構，PKI的成本可能物有所值。對於這些企業，自動加密、解密和安全儲存每封郵件訊息的優勢非常明顯。

同時，還有其他成本更低和更易於管理的可用產品或工具，特別是當並非每個郵件訊息都需要加密時。這些其他選項基本上是Web郵件服務，其中加密郵件的收件人需要去安全電子郵件門戶讀取加密電子郵件。收件人可能需要在入口網站註冊並設定身份驗證憑證——通常是使用者名稱和密碼，但不需要PKI式的金鑰對。安全Web郵件的問題包括確保郵件在伺服器儲存時的加密，而不只是在傳輸中，無論你的加密郵件提供商是否可解密你的郵件;引入新郵件系統的複雜性，使用者需要決定哪些電子郵件需要保護以及哪些不需要。 現在有些電子郵件閘道器係統可在傳送前掃描未加密郵件，尋找關鍵字和資訊(例如社會安全號碼和信用卡資訊)，並根據內容過濾規則轉發電子郵件到安全web門戶以供收件人登入和下載。這個系統可用於任何郵件系統，但需要建立和維護關鍵字列表以及內容過濾規則。

在這個系統中，只有內容過濾器標記的郵件會受到保護，並無法確保所有需要保護的郵件被過濾器識別。 還有很簡單的郵件加密系統，使用郵件客戶端外掛和對稱共享金鑰，解密使用與加密相同的金鑰。同時，使用者必須決定哪些郵件需要加密，還有交換和維護共享金鑰的問題。在過去，交換金鑰是公共金鑰加密需要解決的問題之一。現在，與其他方法一樣，共享金鑰就像發簡訊一樣容易。

測量和指標

在選擇和構建合適的電子郵件安全計劃後，需要確定一種方法來了解產品或服務的有效性。這裡不能根據因電子郵件安全系統沒有丟失多少資訊來確定，但現在有簡單的方法來表明“機密郵件”的網路安全目標的進展。 簡單的測量方法可能是每天、每週或每月傳送電子郵件總量。網路安全目標進展的指標將會展示多少電子郵件已加密，即所有傳送電子郵件的百分比。

本文轉自d1net（轉載）