隨著企業(yè)組織數(shù)字化轉(zhuǎn)型的深入發(fā)展，其IT基礎(chǔ)設(shè)施的邊界不斷擴(kuò)展，許多員工采取了遠(yuǎn)程或混合工作模式，基于云的服務(wù)已成為常態(tài)，邊緣計(jì)算和物聯(lián)網(wǎng)應(yīng)用也在持續(xù)增長。在此背景下，企業(yè)必須實(shí)施更加規(guī)范的IT管理制度和流程，并在新的技術(shù)用例出現(xiàn)時及時更新，才能保障企業(yè)數(shù)字化環(huán)境運(yùn)行的安全與穩(wěn)定。而以下5種基礎(chǔ)性IT管理制度，對于任何處于數(shù)字化轉(zhuǎn)型中的企業(yè)組織而言都是不可或缺的。

一、IT資產(chǎn)使用管理制度

IT資產(chǎn)管理制度是組織網(wǎng)絡(luò)安全計(jì)劃中的基礎(chǔ)要求之一，確保所有的企業(yè)員工都能正確使用IT資產(chǎn)，該制度描述了企業(yè)認(rèn)為怎樣使用資產(chǎn)和數(shù)據(jù)是可接受的。簡而言之，這項(xiàng)政策解釋了企業(yè)對員工使用公司IT資產(chǎn)時提出的要求，明確他們可以做什么、不可以做什么，同時還包括使用時的用戶行為。

這項(xiàng)政策對于維護(hù)企業(yè)IT基礎(chǔ)設(shè)施的完整性和安全性至關(guān)重要，原因包括：

• 首先，它有助于防止資源濫用，而資源濫用可能導(dǎo)致安全威脅。比如說，員工可能因訪問未經(jīng)授權(quán)的網(wǎng)站或使用不安全的個人設(shè)備而無意中下載惡意軟件。
• 其次，有助于保護(hù)敏感數(shù)據(jù)，提供了如何處理、存儲和傳輸數(shù)據(jù)方面的指南，這對于確保遵守?cái)?shù)據(jù)保護(hù)法規(guī)至關(guān)重要。

二、AI技術(shù)應(yīng)用制度

人工智能（AI）對許多企業(yè)來說越來越重要，但這項(xiàng)技術(shù)也存在著風(fēng)險，用戶需要在如何正確使用工具和數(shù)據(jù)方面接受指導(dǎo)。企業(yè)需要為AI技術(shù)應(yīng)用制定清晰的可接受使用制度。如果已有關(guān)于數(shù)據(jù)泄露的制度，則應(yīng)予以更新，添加針對大語言模型（LLM）的具體內(nèi)容。比如說，政策應(yīng)明確規(guī)定禁止向ChatGPT等工具輸入使用公司信息作為提示。

企業(yè)不僅要制定可接受的AI技術(shù)應(yīng)用制度，還要通過已定義的保護(hù)措施來落實(shí)這些制度要求。實(shí)施這些措施有助于防范未經(jīng)授權(quán)的數(shù)據(jù)使用和潛在的安全漏洞。越來越多的公司在不再允許使用專有數(shù)據(jù)進(jìn)行LLM模型訓(xùn)練，這有助于避免風(fēng)險，并確保企業(yè)牢牢控制AI的使用。

三. 數(shù)據(jù)安全管理制度

保護(hù)數(shù)據(jù)資產(chǎn)（尤其是高度敏感的信息）是IT管理制度的關(guān)鍵部分。企業(yè)應(yīng)制定并實(shí)施一項(xiàng)數(shù)據(jù)保護(hù)和隱私的管理制度，以確保遵守?cái)?shù)據(jù)保護(hù)法規(guī)并保護(hù)個人數(shù)據(jù)。這應(yīng)該包括：數(shù)據(jù)收集、處理和保留方面的指南，政策執(zhí)行機(jī)制，數(shù)據(jù)存儲和傳輸方面的安全控制措施以及數(shù)據(jù)泄露響應(yīng)程序。

此外，企業(yè)需要數(shù)據(jù)保留和處置政策，從而為保留和安全處置數(shù)據(jù)明確指導(dǎo)原則。這需要包括基于數(shù)據(jù)分類的數(shù)據(jù)保留時間表、安全處置不再需要用于合法商業(yè)用途的數(shù)據(jù)的程序、遵守?cái)?shù)據(jù)保留的法律法規(guī)要求以及數(shù)據(jù)處置活動的文檔和審計(jì)記錄。

四. 安全事件響應(yīng)制度

網(wǎng)絡(luò)攻擊事件難以避免，因此企業(yè)需要在發(fā)生任何類型的數(shù)據(jù)泄露或網(wǎng)絡(luò)攻擊時，讓安全團(tuán)隊(duì)能夠快速做好響應(yīng)的準(zhǔn)備。事件響應(yīng)時間的長短可能決定了組織最終的危害和損失程度。

安全事件響應(yīng)制度概述了管理和響應(yīng)網(wǎng)絡(luò)安全事件的方法。這應(yīng)該包括：界定何謂事件，明確事件響應(yīng)團(tuán)隊(duì)的角色和責(zé)任，事件檢測、分析、遏制、根除和恢復(fù)的步驟，規(guī)定在多長時間內(nèi)由誰上報(bào)相關(guān)機(jī)構(gòu)，以及事件后的審查和改進(jìn)流程。

事件響應(yīng)可能是為管理和保護(hù)公司信息資產(chǎn)確立框架的總體信息安全政策的一部分。這應(yīng)該包括信息安全的目標(biāo)和范圍、與信息安全相關(guān)的角色和責(zé)任以及總體安全原則和實(shí)踐。

五. 遠(yuǎn)程訪問管理制度

在數(shù)字化環(huán)境下，企業(yè)原有的工作模式已經(jīng)改變，很多員工需要在家或遠(yuǎn)程工作?；旌?遠(yuǎn)程模式帶來了一系列安全挑戰(zhàn)。比較常見的風(fēng)險包括：更大的攻擊面、未遵守?cái)?shù)據(jù)隱私法規(guī)、更容易遭到網(wǎng)絡(luò)釣魚及其他攻擊，以及用來訪問企業(yè)系統(tǒng)和數(shù)據(jù)的設(shè)備和網(wǎng)絡(luò)沒有采取適當(dāng)?shù)陌踩胧?/p>

企業(yè)需要制定有關(guān)遠(yuǎn)程訪問的管理制度，該制度必須兼顧網(wǎng)絡(luò)安全性和可訪問性。由于金融服務(wù)和醫(yī)療保健等領(lǐng)域的法規(guī)增加，加上全球范圍內(nèi)數(shù)據(jù)隱私和保護(hù)法律紛紛出臺，這項(xiàng)任務(wù)變得很艱巨。如果遵守嚴(yán)格的遠(yuǎn)程訪問管理制度，企業(yè)可以保護(hù)基礎(chǔ)設(shè)施并鼓勵創(chuàng)新。

參考鏈接：https://www.csoonline.com/article/556309/critical-it-policies-you-should-have-in-place.html