概况简述

该文章主要分享在中小互联网企业，作为安全负责人，在只有一个人的情况下，如何承担好公司的安全职责，做好公司的安全保障，并体现自身价值。由于国家对企业安全的越来越重视，相继出台了很多法律法规，从而影响到整体环境对企业安全要求更高。

需考虑问题

存在什么风险，如何处理

如何让公司合理性看待安全

如何用较小成本来实现所需要达到的安全目标

前言

对于中小企业来说，公司在合规性上的考虑往往比安全性来得多。因此，在接手公司的信息安全工作时，特别是刚入职人员，首要任务是对公司当前的安全状况进行全面的审视和了解，包括但不限于组织情况、主要业务、评估现有的网络基础设施、信息系统管理、数据保护措施等情况以及公司领导层对安全的态度。这将在很大程度上影响你后续工作上的侧重点。同时，深入研究《网络安全法》、《数据安全法》及《个人信息保护法》等法律法规要求，结合企业的业务特点和风险承受能力，制定出一套全面且有针对性的安全规划，尽可能地根据阶段性情况去推动，虽然不一定都会实现。

风险管理

1、风险识别

1.1 合规风险

企业在安全方面的合规风险与业务性质和内容紧密相关。

对于TOB企业，往往需要获取并维持特定行业或合作伙伴要求的高标准安全认证，比如：ISO-27001、等保三级认证等。若未获得相关证书或不符合信息安全等级保护要求，可能导致业务合作受阻，甚至面临法律诉讼和监管处罚。另外需遵守严格的保密条款和数据处理规定，如果发生数据泄露或未能妥善保管商业秘密，可能违反合同约定，并造成巨额赔偿。倘若为关键信息基础设施提供产品或服务的企业面临的合规压力更大，必须按照国家法规要求采取高级别的安全防护措施，防止系统遭受攻击导致重大损失。

对于TOC企业，由于直接收集和使用消费者的个人信息，必须严格遵循《数据安全法》、《个人信息保护法》、《个人信息安全规范》等法律法规，否则可能受到高额罚款、声誉损害及用户信任度降低的风险，也是监管单位的重点关注对象。比如：《个人信息安全规范》规定了详尽的个人信息处理原则和义务，涵盖从信息收集、使用、共享到销毁的全生命周期管理以及各项安全要求。除此之外，在应用市场或小程序上线也有可能因为合规问题，导致无法上线或被下架。

因此，在处理安全合规风险时应主动了解相关的法律法规要求，及时调整和完善自身的合规策略，构建并维护有效的信息安全管理体系，结合技术和法律手段双重保障，确保企业运营始终处于合法合规状态。

1.2 安全风险

网络攻击风险：企业信息系统面临外部恶意行为者的入侵威胁，包括但不限于黑客攻击、病毒和恶意软件的传播、拒绝服务攻击（DDOS）、中间人攻击（MITM）等。

内部操作风险：员工误操作或蓄意破坏可能导致信息泄露或系统故障。例如：不规范的密码管理、点击钓鱼邮件、未经授权的数据传输等。

物理安全风险：企业的服务器机房、数据中心以及纸质文件存储区域可能遭遇物理破坏、盗窃或者自然环境影响带来的安全问题。如果是使用云服务，主要就是评估服务商的能力和资质。

供应链风险：依赖于第三方供应商和服务提供商的企业，其合作伙伴的信息安全管理缺陷也可能成为自身信息安全的风险来源。

数据保护与隐私风险：企业处理大量敏感数据，如客户信息、商业秘密等，如果缺乏有效的加密机制、备份策略及灾难恢复计划，一旦发生数据丢失、泄露或篡改事件，不仅会导致经济损失，还可能严重损害企业声誉和客户信任度。

2、风险处置

从合规方面，可以通过参考信息安全体系《信息安全等级保护2.0标准》来建设企业信息安全体系，可以通过参考DSMM认证评估内容来建设数据安全体系，涉