Re: [請益] 公司要建資訊安全環境

[kujo (Pisces)]

小弟我在前些日子從製造業轉到高雄某影像製作相關的公司工作
針對你的問題一些小建議如下：


對內：(內控機制)

1. 還是趕快找到資訊工程師協助資訊安全的建置及導入
   日後在資訊系統的維護上也不需要依靠廠商

2. 貴公司的各個工作流程及資料流，可以先建置文件或流程圖
   有助於外部廠商或內部工程師瞭解公司運作及資料流轉的過程

   * 以製造業的流程來看
     就進料/領料、製造過程及製作的良率
     、半成品/成品存放、進貨/出貨等的作業流程

     以影像業為例：
     收到毛片(進料)，是電子檔還是HD，流程要怎麼走
     毛片或鏡頭後續如何進到file server上
     存放到系統上後，HD如何歸檔管理，後續檔案若有問題，借用的管理(領料)
     等等之類的....




3. 因為你們有台灣跟中國的工作地點，但不變的是都是同家公司和老闆
   所以內部作業規範和禁止事項都可以先開始規劃和宣導及教育訓練




對外：(廠商建置)

1. 當有內部的流程時，這樣廠商才能針對你們的需求進行建置佈署

2. 如果你們若有認證的規格或條文的需求，也可以將文件提供給廠商
   這樣也方便他們不走錯方向

3. 每個行業對資訊安全的要求都不同，但幾個大方向都是差不多的
   - 任何行為都要有 Record/Log
   - 管理者權限和使用者權限需分開
   - 系統與網路的管理 (集中化)
   - 網路連結的權限
   - 系統/檔案存取的權限
   - 實體安全的管理
   - 備份/災難復原



  以我的例子：

　剛到公司的第一天就被通知要協助認證CDSA (澳洲的影視認證)
  CDSA Link：http://0rz.tw/OOKWa

  二個星期後原廠要從澳洲來audit，然後大老板嚴正聲明這個認證一定要過
  但是，公司內部在內控流程及管理上，其實都沒有依據或文件
  所以在內控管理上花了不少時間在重新定義和規劃
  最後是大老板說了算，所以現在內部流程其實還是有問題
  所以出現了一堆例外管理，也都是大老板一句話，內控的流程就又不同了


  而在資訊系統嘛，看老板的態度及提供的資料
  因為稽核的內容其實相去不遠
  只是看公司有沒有提供資源或是費用讓系統或管理做的更好
  不過這還是需要跟內控做呼應
  因為沒有太多資源，所以我只能就現實狀況做調整
  最多說服老板買了一台L3 switch後，才勉強符合CDSA的某條文
  其他的，就是把AD相關架起來，用GPO去管理Windows client's USB及使用者設定
  至於MAC 就真的只能例外管理
  MAC都親信或主管在用，鎖了又會該該叫
  說太多會變抱怨，不是很好...


  這是我在這間公司三個月來的工作經驗，希望對你在尋求對外合作伙伴時
  能有些幫助....




※ 引述《vavay (愛樺愛裴)》之銘言：
: 有看到各位大大的建議
: 我是行政職   根本不懂資安
: 在台灣有找了廠商
: 但是  目前沒有找到合適的
: 因為廠商沒有分公司在北京
: 我們是拍片、剪輯後製、硬體研發的公司
: 也因此   很多的毛片、廠商往來、自製硬體
: 是不能夠被陸籍員工給copy走的
: 內網、鎖usb是可以的，
: 一切以資安為最高優先…
: 是否有收費適中的廠商，
: 或是在北京有接案幫忙建制資安的soho，
: 可以介紹的呢?
: ※ 引述《vavay (愛樺愛裴)》之銘言：
: : 高層認為在大陸「高仿、複製」等事宜，
: : 需要特別關注。
: : 比方說檔案保存/備份、
: : 誰人可使用/複製、
: : 如何傳遞/密碼、
: : 設備領用/歸還等，應該有制度和紀錄。
: : 我是行政職，
: : 被指派要跟工程部門主管，
: : 設計資料保安流程、文件及作法。
: : 想請教各位先進，
: : 可以利用什麼做法、軟體、系統，
: : 去達到資訊安全呢？
: : 最起碼鎖email、鎖usb之類的
: : 若各位前輩有管理辦法可借我修改的話
: : 就更感激了
: : PS. 已正在找MIS專業人員
: :        但至少得2個月後
: :        找人  不列在討論範圍

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 219.80.131.87
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1479625819.A.B77.html
推 vavay: 非常謝謝大大呀!! 很有幫助的建議! 我們就是想做這種的
→ vavay: 但要熟影像製作的MIS似乎也不太好找  尤其要外派
→ chang0206: 這老闆很典型啊 要過認證 但是不想花錢這樣...
→ kujo: 不用熟影像製作啊, 大概跟製造業的流程有87分像
→ kujo: 但細節的部份, 還是需要跟各部門深入瞭解和討論
→ kujo: 能自動化做資料移轉就跟他們談新流程, 不行就看能不能改善
→ kujo: 我現在也是還在跟一些部門瞭解他們的作業, 所以也沒很輕鬆
→ kujo: 有資源就做, 沒資源就提出建議書, 上面用不用是上面的事
→ kujo: 如chang 講的, 如果老板不想花錢, 真的也不能怎樣
推 aleeon: MIS不用熟影像，他要熟流程和怎麼實際控管，理想與現實會
→ aleeon: 有不少差距，所以完美流程出來都要小心，因為運作會很卡
→ athlon8250: 老闆想省錢又想過認証又不想覺得麻煩 XDD
推 andersontom: 為啥事主覺得MIS要熟影像製作才能管 蠻好玩的
→ andersontom: MIS常常這樣 結果最後都是管了阿 管了就會 不知道嗎?
→ andersontom: 資訊安全的確可以不用花錢阿 你跑文件標準化管理就好
→ andersontom: 用文件去卡 跟用電腦用軟體去卡 都是可以的
→ andersontom: 其實資訊這種東東  久了就跟孔子的一以貫之一樣