信息安全-职业发展之惑系列.doc

《信息安全-职业发展之惑系列.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、职业发展之惑系列之一■■要不要做信息安全［写在前面］文章写出来之后,引起大家对于信息安全职业的悲观,这是我所不愿意看到的。从行业來说，随着人公司越来越看好安全这块蛋糕，独立的安全公司的左存的确受到一怎的威胁。但是作为个人的职业來说，信息安全的前景还是不错的，因为信息安金的厘耍件一建会随着IT应用的口益增加『U增加，所以IT人员需耍学握信息安全知识肯圧是一个必然的趋势。只是从长远来说，我们从事信息安全的人员-沱耍拓宽口己的知识面，不耍仅仅满足于了解防火墙、了解加密、了解安全管理，一左耍能够用一个更加宽广的视野来思索自己的发展。至于文屮我提到劝一些人不耍做倍息安全，那其实只是针对一些志向远人同

2、时又潜力十足的人來说。毕竟，多少作IT的人中才能产生一个CIO,而多少人中才能产生一个CEO,从这个角度來说，我们做信息安全的人做到CISO的几率反而耍人很多。虽然也许我们会觉得目而人多数组织没有CISO这个职位，但是我相信,随着信息安全重耍性的IT益増加，一定会有越來越多的CISO出现。另外，我把耍不耍做信息安全放在第-篇，并不是我口己没有信心，只是我想我们在解决示续的问题之前必须耍先明门自己到底耍什么？英实我真止希望这一系列文章的垂点在后面部分，而不是第一篇所引起的疑惑。当然，如果以前没有想淸楚这个问題，趁着这个机会想清楚也不错，免得等你做到了CISO之丿ri才示悔当初不应该做信息安全

3、而导致口C没冇机会做CIO.CEOc但是，有一点我想很重耍,就是看完第一篇后不管我们决沱是不是耍做信息安全,这个问题在很长的一段时间内祁不耍再进入我们的脑海C如果我们每年思考要不要做信息安全这个问题的次数超过一次，那么不是我故作悲观，我们真的很难在这样一种状态下成功。职业发展之惑系列小序弹指间，在IT的路上已经走过了不少个年头，在信息安全的路上也是越陷越深，回首看来，这样的职业发展之路好还是不好？真的很难冋答。不过为了解答口己的疑惑，也为了给他人提供一个参考，试着做出一些分析，希望能够让白己明门一点。问题一：我耍不耍做信息安全耍不耍做取决于个人追求与外部环境的综合作用，个人追求因人而异，但

4、是外部环境対大家来说却人致相同，在这里我就信息安全能够提供的舞台、信息安全发展的両景等一些外部因索略作分析。[separator]1.信息安全在组织内部的舞台我们先來看看信息安全在一个公司内部所承担的职责。信息安全含义很人,就是耍保护组织所有佶息的安全,保护信息的措施就是我们信息安全从业者的主要工作内容。那么，企业内部的信息现在无非就是电子的和非电子的两种,对于非电子信息的保护方法基本上都是传统的方法，流程优化、人员管理和物理保护等，这些工作基本上都由传统的管理职能实现。物理保护是行政管理部门或者专门的物理安全部门的工作，人员管理教育由人力资源部门，peoplemanager或者还包括法律

5、部门來共同完成，流程则是由相应执行部门和人员来完成，这里面在Operation层面慕本上没有信息安全部门什么事。那么还有电子信息的保护方法，皋本上就是IT技术和传统方法的结合，虽然传统方法屮加入了一些IT的技术，但是实际的操作肯眾还是可以由这些传统的笛理部门來实现。剩下的就是IT技术本身以及北管理，那么所谓的信息安全主耍的工作肯沱就耍和这-部分联系起来。那么在这些个IT技术及英管理屮，信息安全到底可以做些什么呢？我们就从IT在企业内部的构成来进行分析，看看信息安全到底可以做些什么。一般来说企业内部的IT从功能上来说可以分为皋础架构、协同办公以及业务应用程序等几部分，从生命周期上来说可以分为

6、项目篷设和口常运维两个阶段°基础架构主耍包括网络、客户端、服务器硬件甚金操作系统层面，在这个层血的信息安全的丄婆目的是保护一个完整、可用并不易被攻击的网络环境，传统意义上的网络安全也主耍是针对这一层面来设计的，防火墙、防病毒、漏洞扫描、入侵检测、甚至是H志分析、SOC等等。这部分内容棊本上就是ITSecurityOperation团队所负责的主耍内容。协同办公、业务应用程序就千差万别了，各式各样的邮件系统、工作流软件，企业门户、web2.0的推广更是把信息的传播推上了一个全新的高度，制造、流通、公用事业的ERP系统各不相同，金融、电信中的业务系统口成体系，产品研发、制造的产品管理系统更有一

7、套专门的系统，甚至更多的倍息都是以office或者专用格式文件的形式存储在我们的空户端或者服务器上。这些倍息基本上可以分为两大类，一类是有集中的信息存储地，通过专用的客八端或者是web登陆去访问、使用这些信息，应用系统有自己的帐号、权限管理体系。另一类就是以电子文档的形式存储在客八端或者服务器，文件的访问和控制依赖丁操作系统的访问控制功能。那么我们对以看到,保护这些信息的措施最丄耍的还是依赖于各种各样的访问控制或者数据加