Cybersecurity Starter Kit: Section 2
在本节中，您将学习：
第2节：确定责任人
一旦明确了需要保护的对象，就应决定由谁来做出决策、采取行动并进行跟进。.
在小型非营利组织中，安全工作往往非正式地由熟悉技术的人来承担。此人可以做出宝贵贡献，但需要明确的期望、支持，以及在决策超出其职权范围时能够寻求帮助的对象。.
您无需专门的IT团队来建立这些机制。不妨从组织内现有人员着手，并就每个人负责的事项达成一致。.
将决策与任务区分开来
负责一项安全决策并不意味着要亲自完成每一项技术任务。.
例如，执行董事可能会批准使用密码管理器，运营协调员可能会组织其引入工作，而服务提供商可能会协助进行配置。随后，员工和志愿者将按照商定的流程使用该工具。.
需要涵盖以下四个功能：
批准决定
设定预期、审批资源并解决影响组织的各类问题。.
由谁负责：执行董事或其他授权负责人；必要时由董事会参与
协调保障措施
跟踪已商定的行动，维护相关文件，并将存在的问题提请领导层注意。.
谁来处理这件事呢: 运营负责人、管理员或指定协调员
执行任务
管理设置、更新设备、调整访问权限或检查备份。.
谁来处理这件事呢: 工作人员、合格志愿者或服务提供者
报告问题
按照商定的做法，报告可疑活动、错误和困难。.
谁来处理这件事呢: 各位，请通过指定的联系人
一个人可能身兼数职。关键在于，他要清楚自己的职责，并拥有履行职责所需的权限、时间和支持。.
请具体说明人们负责处理什么
像“萨姆负责网络安全”这样宽泛的职责描述，留给人的解读空间太大。请详细说明该职位的工作内容及职责范围。.
对于服务提供者和志愿者，请确认哪些内容包含在内、哪些内容不包含在内，以及何时可以获得帮助。请记录这些安排，以便他人查阅。.
模糊赋值
明确的任务
缺勤和人员流动的应对计划
当某人缺席或离职时，贵组织应能够继续开展必要的工作。.
关于重要账户和服务：
– 指定一名替补人员，并说明他们何时应接手。.
– 记录说明和可信赖的支持联系人的存放位置。.
– 确认组织账户已制定适当的所有权和恢复安排。.
– 在撤销离职人员的访问权限之前，应安排好工作交接事宜。.
– 根据每个人的角色，授予其所需的访问权限；备用人员无需对所有内容拥有无限制的访问权限。.
避免仅依赖某一个人的记忆、个人收件箱或个人设备作为获取重要信息的唯一途径。.
将职责转化为明确的规则
职责说明了由谁来完成工作。政策说明了组织对员工的期望。流程则描述了员工如何落实这些期望。.
政策
我们有什么要求？
只有因工作需要的人员才能访问客户信息。.
责任
由谁来审批、实施和检查？
项目经理批准访问权限；账户管理员负责实施。.
程序
我们该如何实施呢？
请通过项目经理申请访问权限，并在有人离职或岗位变动时进行审核。.
一条有用的政策可以简短，并采用通俗易懂的语言撰写。它应具体到让人们清楚该怎么做，同时又应切合实际，以便人们能够遵守。.
请从您清单中的优先事项开始。本工具包后面的章节将帮助您制定关于账户保护、信息处理、备份和事件响应的预期目标。.
一个简短的政策示例
访问客户信息
目的
在保护客户信息的同时，允许授权人员提供服务。.
范围
本政策适用于接触本组织客户信息的员工、志愿者和承包商。.
要求
访问权限必须经项目经理批准，且仅限于该人员履行其职责所需范围。客户信息必须保存在经批准的地点。如职责发生变更或人员离职，必须及时上报，以便调整或撤销访问权限。.
责任
项目经理负责批准访问权限，并核查其是否仍然合适。账户管理员负责实施已批准的变更。任何人若发现不当访问或共享行为，应立即向指定联系人报告。.
例外情况
任何例外情况均须经执行董事或其授权代表批准，并记录理由、防护措施以及有效期或审查日期。.
评论
应至少每年审查一次该政策，并在相关系统、服务或职责发生变更时进行审查。.
使政策切实可行
在批准一项规则之前，应先确认人们是否能够合理地遵守该规则。.
如果需要多因素认证（MFA），必须为用户提供可行的配置和恢复流程。如果禁止在个人设备上存储客户文件，请提供一种经批准的访问这些文件的方式。如果员工必须报告问题，请确保联系方式易于查找。.
在入职培训期间介绍相关政策，说明这些政策的重要性，并结合与员工工作相关的事例进行说明。为员工和志愿者提供提问和反映实际困难的渠道。.
鼓励及时报告错误。如果有人上传了错误的文件或批准了意外的登录请求，即使不确定发生了什么，也应知道立即联系谁。.
如果某项规则经常被绕过，应调查原因。组织可能需要更明确的指导、不同的工具、额外的支持，或者修订该规则。.
商定各自的职责分工
请回到第1节中您选择的三个优先事项。针对每个优先事项，请在每个部分中分别填写一个答案。.
与指定人员讨论任务安排。确认他们理解并接受该工作，清楚其范围，且有足够的支持来完成它。.
然后选择一项需要制定书面规则的优先事项。.
起草您的第一份政策
请根据练习题中的提示，起草一份简短的草稿。.
在正式实施之前，请让受该政策影响的人员阅读一下。他们能否解释清楚自己需要做什么？他们是否具备遵守政策所需的条件？
您的收获
学习完本节内容后，您应该能够：
- 关于您前三个优先事项的职责分工已达成一致。.
- 关键任务和决策的后备方案。.
- 明确的报告联系人，以及该联系人无法联系时的备用联系人。.
- 一份简短的政策草案，其中包含审批和实施计划。.
接下来，您将了解多因素身份验证——这是您可以用来保护组织账户的安全措施之一。.
第 3 节：使用多因素身份验证保护账户
贵非营利组织的账户将人们与电子邮件、文件、财务信息以及各项基本服务联系在一起。保护这些账户，就能保护通过它们可以访问的一切内容。.
English 
French 
Chinese 
Spanish 
Ukrainian 
