小弟我在前些日子从制造业转到高雄某影像制作相关的公司工作 针对你的问题一些小建议如下： 对内：(内控机制) 1. 还是赶快找到资讯工程师协助资讯安全的建置及导入 日後在资讯系统的维护上也不需要依靠厂商 2. 贵公司的各个工作流程及资料流，可以先建置文件或流程图 有助於外部厂商或内部工程师了解公司运作及资料流转的过程 * 以制造业的流程来看 就进料/领料、制造过程及制作的良率 、半成品/成品存放、进货/出货等的作业流程 以影像业为例： 收到毛片(进料)，是电子档还是HD，流程要怎麽走 毛片或镜头後续如何进到file server上 存放到系统上後，HD如何归档管理，後续档案若有问题，借用的管理(领料) 等等之类的.... 3. 因为你们有台湾跟中国的工作地点，但不变的是都是同家公司和老板 所以内部作业规范和禁止事项都可以先开始规划和宣导及教育训练 对外：(厂商建置) 1. 当有内部的流程时，这样厂商才能针对你们的需求进行建置布署 2. 如果你们若有认证的规格或条文的需求，也可以将文件提供给厂商 这样也方便他们不走错方向 3. 每个行业对资讯安全的要求都不同，但几个大方向都是差不多的 - 任何行为都要有 Record/Log - 管理者权限和使用者权限需分开 - 系统与网路的管理 (集中化) - 网路连结的权限 - 系统/档案存取的权限 - 实体安全的管理 - 备份/灾难复原 以我的例子： 　刚到公司的第一天就被通知要协助认证CDSA (澳洲的影视认证) CDSA Link：http://0rz.tw/OOKWa 二个星期後原厂要从澳洲来audit，然後大老板严正声明这个认证一定要过 但是，公司内部在内控流程及管理上，其实都没有依据或文件 所以在内控管理上花了不少时间在重新定义和规划 最後是大老板说了算，所以现在内部流程其实还是有问题 所以出现了一堆例外管理，也都是大老板一句话，内控的流程就又不同了 而在资讯系统嘛，看老板的态度及提供的资料 因为稽核的内容其实相去不远 只是看公司有没有提供资源或是费用让系统或管理做的更好 不过这还是需要跟内控做呼应 因为没有太多资源，所以我只能就现实状况做调整 最多说服老板买了一台L3 switch後，才勉强符合CDSA的某条文 其他的，就是把AD相关架起来，用GPO去管理Windows client's USB及使用者设定 至於MAC 就真的只能例外管理 MAC都亲信或主管在用，锁了又会该该叫 说太多会变抱怨，不是很好... 这是我在这间公司三个月来的工作经验，希望对你在寻求对外合作伙伴时 能有些帮助.... ※ 引述《vavay (爱桦爱裴)》之铭言： : 有看到各位大大的建议 : 我是行政职 根本不懂资安 : 在台湾有找了厂商 : 但是 目前没有找到合适的 : 因为厂商没有分公司在北京 : 我们是拍片、剪辑後制、硬体研发的公司 : 也因此 很多的毛片、厂商往来、自制硬体 : 是不能够被陆籍员工给copy走的 : 内网、锁usb是可以的， : 一切以资安为最高优先… : 是否有收费适中的厂商， : 或是在北京有接案帮忙建制资安的soho， : 可以介绍的呢? : ※ 引述《vavay (爱桦爱裴)》之铭言： : : 高层认为在大陆「高仿、复制」等事宜， : : 需要特别关注。 : : 比方说档案保存/备份、 : : 谁人可使用/复制、 : : 如何传递/密码、 : : 设备领用/归还等，应该有制度和纪录。 : : 我是行政职， : : 被指派要跟工程部门主管， : : 设计资料保安流程、文件及作法。 : : 想请教各位先进， : : 可以利用什麽做法、软体、系统， : : 去达到资讯安全呢？ : : 最起码锁email、锁usb之类的 : : 若各位前辈有管理办法可借我修改的话 : : 就更感激了 : : PS. 已正在找MIS专业人员 : : 但至少得2个月後 : : 找人 不列在讨论范围 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 219.80.131.87 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1479625819.A.B77.html