XX公司在信息安全制度建设上存在不足，为提升信息安全，聘请了信息安全主管Tom。他推行了全面的信息安全制度，包括成立信息安全组织、制定员工行为规范、奖惩制度、数据分类管理、密码安全、客户项目保密、终端设备和物理环境安全管理。虽然初期对研发效率有影响，但通过沟通培训和制度优化，成功建立了信息安全制度，以保护公司数据和网络。然而，危机随之而来——Wannacry勒索病毒

     此前，XX公司通过自检发现了企业的终端缺乏保护、数据审计和加密，并且有着网络准入控制不严等问题。

     为提升安全，Tom采取了多项措施：引入集中管理的杀毒软件、补丁系统，限制软件安装权限；实施终端审计和加密，确保数据安全并备份；使用Windows NPS进行网络准入，限制高危端口，实施上网行为管理；对服务器和用户网络进行隔离，防止非法访问。这些整改有效控制了勒索病毒，提升了终端安全，保护了数据资产，减少了网络风险。

   整改后，XX公司才在全球Wannacry勒索病毒爆发时并未受影响。

   也由这简短的故事可见，对一个企业来说，信息安全究竟有多么的重要。

    本案例中的XX公司、安全总监Tom

    发现企业的数据安全方面的问题有如下四点：

• PC终端缺乏审计和加密系统。

  这意味着文件操作缺乏监控，数据易受攻击。

• 大量用户电脑和部分服务器的数据未做备份。

  一旦发生数据丢失或被破坏，恢复困难。

• 未对终端进行严格的准入控制。

  未经授权的设备可以接入内网，增加了数据泄露的风险。

• 所有终端和服务器都能访问互联网，服务器网络和用户网络未做有效划分和隔离。

  这增加了外部威胁的入侵可能性。
  

欢迎广大客户致电联系

企业微信公众号：

售前咨询微信：

咨询热线：16601701014

联系方式：021-60761522     

邮箱地址：wangxiwen@dyis.com.cn  

官网网址：www.dyis.com.cn