信息安全組織三
當(dāng)使用移動(dòng)設(shè)備(包括筆記本電腦、平板電腦、智能手機(jī)登)或遠(yuǎn)程工作(從家庭或出差地遠(yuǎn)程訪問(wèn)公司內(nèi)部網(wǎng)絡(luò))時(shí),應(yīng)特別注意確保業(yè)務(wù)信息不外泄。移動(dòng)設(shè)備方針應(yīng)考慮與非受保護(hù)環(huán)境移動(dòng)設(shè)備同時(shí)工作時(shí)的風(fēng)險(xiǎn)。當(dāng)在公共場(chǎng)所、會(huì)議室和其他不受保護(hù)的區(qū)域使用移動(dòng)計(jì)算設(shè)施時(shí),要加以小心。應(yīng)采取保護(hù)措施以避免通過(guò)這些設(shè)備存儲(chǔ)和處理的信息未授權(quán)的訪問(wèn)或泄露,如使用加密技術(shù)、強(qiáng)制使用秘鑰身份驗(yàn)證信息、移動(dòng)設(shè)備本身支持的各種安全技術(shù)(不允許安裝未知來(lái)源的APP、啟用多因素身份鑒別、移動(dòng)設(shè)備丟失后的遠(yuǎn)程鎖定和敏感數(shù)據(jù)清除等)。
要對(duì)移動(dòng)計(jì)算設(shè)施進(jìn)行物理保護(hù),以防被偷竊或因?yàn)槭韬鲞z失,例如,遺留在汽車和其他形式的交通工具上、旅館房間、會(huì)議中心和會(huì)議室。要為移動(dòng)計(jì)算設(shè)施的被竊或丟失等情況建立一個(gè)符合法律、保險(xiǎn)和組織的其他安全要求的特定規(guī)程。攜帶重要、敏感或關(guān)鍵業(yè)務(wù)信息的移動(dòng)設(shè)備不宜無(wú)人值守,若有可能,要以物理的方式鎖起來(lái),或使用專用鎖來(lái)保護(hù)設(shè)備。
對(duì)于使用移動(dòng)計(jì)算設(shè)施的人員要安排培訓(xùn),以提高他們對(duì)這種工作方式導(dǎo)致的附加風(fēng)險(xiǎn)的意識(shí),并且要根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果實(shí)施相應(yīng)的控制措施。
在允許遠(yuǎn)程工作時(shí),組織要制定相應(yīng)的安全方針,定義遠(yuǎn)程工作的條件和限制。安全方針要包括物理、通信、網(wǎng)絡(luò)、軟件、數(shù)據(jù)、使用人員、安全技術(shù)等方面的要求。這里的遠(yuǎn)程工作包括了辦公室以外的所有形式的工作,包括非傳統(tǒng)工作環(huán)境比如那些被稱為“遠(yuǎn)程辦公”、 “彈性工作場(chǎng)所”、 “遠(yuǎn)程工作”和“虛擬工作”環(huán)境。