符合美国文化

社会工程学，人管理，最容易破解。安全链中，人是最薄弱环节

职责分析

# 1.8 促进并执行人员安全政策和程序

1、必须要高度重视人员安全问题。一个显著的提供人员安全意识到位的选项是，员工主动上报社会工程攻击事件数量上升。另外一个题目示例：一个超复杂的系统怎么攻破，可以通过社会工程学来攻破。

2、职责分离。（1）确保一个人不能完成关键任务，可以减少欺诈。（2）分割知识和双重控制

3、岗位轮换。行政检测手段

4、强制休假。

5、岗位描述和职责。职责明确的工作描述可以帮助招聘到合适的人选。最小特权原则：授予可以完成任务的最少权限。

6、候选人筛选和招聘。背景调查和社交网络账户审查是一种标准做法。

7、NDA保密协议。

8、入职、转职和终止流程。（1）入职。（2）转职。先删除权限，再分配权限。（3）离职。完整的离职过程可能包括禁用和删除用户账户。通常需要禁用一段时间，以便进行审计，在规定时间后完全删除；

9、SLA（Service Level Argeement）。对外部供应商要审查权限。用SLA约束供应商是满足要求d

终止流程：账号删除，权限撤销，资产归还。