中小企业安全管理有哪些建议

重视管理层沟通和自上而下的安全意识文化建设

制定并提出应对网络安全攻击的策略/计划，每年进行一次。避免讲技术，重点提供有关新威胁的统计信息、趋势和概述。从管理层到业务人员实施“安全优先”的安全意识文化建设，要让所有员工明白，安全不是负担，而是竞争力。

利用合规性（等保）来增加安全预算

合规是一个硬性的要求，对于安全预算短缺的中小企业来说，利用合规预算来增强安全性不是负担，而是捷径和契机。

评估产品的端到端成本

在购买新的网络安全产品时，请确保了解实际产品成本和范围，包括升级频率和要求、仪表板/SIEM监控警报、误报率等以外的相关投资。要求供应商提供试用期，以便更好地理解和评估这些参数。

选择集成度高的安全平台

纵深防御意味着安全可以有很多层，每层都增加了整体IT复杂性。中小企业应该尽可能寻找那些通过设计整合多种技术的单一产品。

避免被安全警报牵着鼻子走

由于较小的团队没有资源来跟踪每个警报，因此请设置策略来定义何时需要处理特定警报。确保跟踪已经自动修复的警报，因为最初的威胁很可能是大型网络攻击的序幕。

考虑不会干扰运营的安全解决方案

员工总是会破坏那些拖慢运营的安全策略。与其为公司的所有实体创建统一的安全策略，不如针对每个角色面临的不同挑战选择多个策略。

最大限度的自动化

如果安全运营中存在多个手动任务，那么自动化可以大大减少时间投入。中小企业的安全团队应当发挥敏捷优势，充分利用新的自动化技术的力量来避免繁琐或重复的工作。

不要只盯着产品

选择安全产品或方案厂商的时候，不要只盯着产品本身，要避开那些缺乏优质客户支持和服务的产品或服务。在询问新的安全产品时，请务必了解厂商能够提供多少产品培训，是否有初始安装成本，是否有专门的客户经理，客户服务的积极程度如何，工单的服务水平协议是什么？是否提供事件服务（MDR）等等。

利用SaaS云安全产品来降低成本，开销和资源

SaaS安全解决方案可减少安全产品的部署、管理要求，以及维护资源和成本。检查自己的安全堆栈并进行研究，以确认哪些是可以用基于SaaS的解决方案替代的解决方案，在不牺牲安全性的情况下受益于云服务集的管理、处理和运营方面的成本优势。