關于安全部和運維部門如何高效的協同工作，保障企業整體性安全。

目前安全熱度已經上升國家安全的層次，伴隨著各種有影響范圍的安全事件頻發，無論是來自國際的，還是國內的，使安全類工作逐漸在企業管理中成為了重要工作項之一。
今天博主就和大家討論一下如何使安全部和運維部門如何高效的協同工作。
目前國內企業安全部和運維部在企業管理中所處的關系型如下幾種：

1、死掐型
安全部站到安全視角發現識別安全風險，運維以運維帶來成本砍掉安全需求。
2、相安無事型
安全部和運維部在處理已識別的企業安全風險時，大家明面不發生沖突，但是暗地是太極推手，左右互博，盡顯甩鍋技能。
3、協同型
安全部和運維部共同識別企業系統中資產存在的脆弱性，使用科學的風險評估的方法，將風險進行定量和定性的分析，識別了風險項和等級以后，雙方能夠根據實際業務系統的重要程度和影響范圍，制定風險處置計劃，劃分風險種類分為可接受的風險、需處置的風險、不可處置風險。雙方積極響應，共同推進。

安全無小事，安全問題不容忽視，因為一旦發生安全事件，幾乎都不是小事。

博主在學習安全時候甚至大家學習安全的時候，都是將如何采取技術防護或者管理制度去提高整體安全防護能力，其實安全工作能否落地其核心因素：就是高層領導、決策層領導是否支持安全工作，整個環境是否存在安全方針和綱領。

在這一點，必須的點贊央企或國企，一般信息安全小組總指揮都會是常務副總或者總經理擔任，所以安全工作在央企或者國企中安全部和運維部有可能是一個cto管理，若是協同性關系，則安全工作一般都會按照風險處置計劃推進，安全問題也都能落實。

那么如何分別站在安全視角和運維視角做好安全工作呢？

安全部
博主，始終提倡的一句話，人是辦成一件事的最主要因素，事在人為，所以對人的要求是最高的。

畢竟是“三分靠技術，七分靠管理”

有多少漏洞利用，×××事件是由于人的使用不當，和操作不當導致，甚至是程序的編譯代碼設計額度邏輯缺陷是漏洞。

安全建設

關于企業信息化建設過程中，是否具備和運維部門等同能力的安全架構設計能力，具體可落地的安全管理規范及相關操作指南和基線的形成。大家都是做技術的尤其是跨部門協作，只有知己知彼才會被技術同仁所尊重，最怕的是溝通不在一個頻道。

安全合規
相關的合規檢查項自身的理解程度是否能結合自身現有基礎環境制定可落地可執行的改進計劃指導運維部門落地。（等保2.0 27000、行業相關的合規要求等）
安全管理
管理要求的相關管理制度、規范、流程是否能夠結合企業本身現狀設定，并且能在企業管理中起到約束、預防、和執行。制度是約束人不去做違反規定的事。所以制度一定是經過高層領導多部門評審之后，擇其善者而發布的具有力度的可執行條例。
安全教育和培訓，新人入職培訓，安全防范月考核，安全知識與個人kpi關聯，考試不合格者相應處罰，使安全意識深入每個人內心，有益于安全工作的開展。
安全運營
應急響應能力和應急處置的能力，也就是互聯網公司的sec或者src，對于應急處置事務一定是和運維部門高度配合協同的事，首先是應急處置的人擁有安全能力，其次是具有整體協調資源和跨部門溝通的能力。
應急工作一定是建立在具有應急預案和應急流程的前提下，指導我們工作。
應急工作進展需及時向相關干系人通報。
應急處置報告應當具有應急步驟 風險分析 風險處置 和預防措施，甚至高要求還需有樣本分析。需要按時復盤，提高應急響應能力。
對全網日志及鏡像流量的審計和分析，提取異常行為。

安全運維

負責運維公司安全安全設備，制定相關安全策略，負責網路、主機、數據庫、中間件、數據、云等安全基線的推進和落地。配合安全建設完成相應的安全架構的設計。對安全策略的定期審計，識別不合理的策略。
配合運維部門完成技術架構支撐的實施相關工作。

web安全測試及產品內測

這部分工作對于對外有交易業務及產品的企業至關重要，對于對社會團體有影響力的組織對外發布的網站群也至關重要，具有適應企業現狀的測試方法，能熟練使用各種安全工具，熟悉sdl安全開發流程，開發自動化測試工具。具備測試開發能力，都是企業安全保障的重要一環。

個人對這方面認識還是比較粗淺，還請各位專業人士指正。

關于運維部門的要求我也就不顯丑了，論壇內的各種itil大神及itsm大神太多，總體參照ITIL最佳實踐的落地，還是強調的人的問題，人也是干好運維的唯一主要因素。

規劃、設計、實施、變更、配置管理、知識庫記錄都應該是完善完備的，

關于運維工作我還是強調的是cmdb這個事，資產識別無論是安全還是運維，都是重要的，因為我們要知道有什么，才能做整體規劃，才能考慮到冗余、災備。業務可持續性等問題。

對于安全來講只有識別了資產的脆弱性才能做風險管理。

運維的工作我還是建議大家看一下bmc的itsm系統，其中bbna（網絡自動化工具）bppm（主機自動化工具），對于網絡自適應和自發現，甚至是apm應用監控等都是提升運維能力都有所幫助。

最近實在是太累心，沒有寫技術類博客，等有時間一定精心制作技術博，還希望大家多多關注我。

Mr.wang

2018.6.1