一切工作的开始：信息安全策略
信息安全策略（Policy）是一个概括性的文档，制定企业内部和信息安全有关的所有方面和行为规范，必须获得高级管理层的批准和支持。
在制定时，需要在战略层面重点考虑以下几个方面：
- 所处行业的监管规范性要求和企业对信息安全的管理要求
- 企业的业务目标
- 企业的风险接受度
- 企业对资产的价值和实施保护的成本进行比较，进行成本评估
经过战略层面的汇总过滤，形成大体的信息安全策略，然后通过CIA安全原则，在战术层面制定相关的标准，指导方针，流程和基线。
C：机密性，如何保障企业敏感信息不被非法窃取或曝光，在敏感数据的各个环节，安全保障能够得到强制执行。典型做法就是加密。
I：完整性，如何防范数据遭到非法篡改，确保数据的准确性。典型做法就是应用哈希。
A：可用性，如何保障用户在访问资源时，获得可靠的服务。典型做法就是高可用和备份。
什么是标准（Standard）？
强制执行的规章制度和行为准则，比如敏感数据在传输中必须采用某种算法进行加密。
什么是指导方针（Guideline）？
在实施前，指导用户的推荐方法，参考意见和操作指南。
什么是流程（Procedure / Process）？
对于某项任务的详细操作指导。
什么是基线（Baseline）？
最低限度的安全措施。
在制定的章节中运用PDCA，逐步描述，比如：
- 在P环节，可以描述总体的管理要求，对资产，数据，系统及人员进行分析，概括其所面对的风险和威胁，识别出高风险领域，确保策略和业务目标一致。
- 在D环节，可以分别对各个保护措施进行描述，包括管理上的和技术上的，典型的几个方面：AAA，防火墙，加密技术，安全培训等，可以参考ISO 27001或NIST框架。
- 在C环节，可以对监测和响应做描述，比如IDS,IPS, 日志记录系统，SOC及安全事件响应等。
- 在A环节，技术上可以分别对加固，漏扫，安全测试等方面进行描述，管理上，定期组织全员培训，签署确认书等方式强化每个人是信息安全第一责任人意识。
每年根据新技术和新要求进行审阅和修订，获得高级管理层的审批和支持。
总之，在安全策略的制定上，遵循自顶向下，先政策，再制度，最后落实在流程上，层层相扣，层层细化。