TF-06 · 技术与数据

网络安全态势

成长型企业的大部分风险敞口都藏在寻常之处：仍持有管理员权限的前员工、共用的登录账号，以及拥有写入权限的应用。我们先找出这些问题。

与我们探讨我们的工作

我们帮助回答的问题

谁拥有我们店铺、广告账户、会计系统和域名的管理员权限，他们是否还应当拥有？
所有能够动用资金或修改网站的账户，是否都强制启用了多重身份验证？
哪些第三方应用、代理机构和自由职业者能够读取或更改我们的客户数据？
是否有人能够冒用我们的域名发送电子邮件？
在预算有限、又没有内部安全团队的情况下，应当先修复什么？

我们的工作

访问与身份审查
审查企业各SaaS、财务和广告账户中的用户、角色、共用凭据和离职人员，并注明每个账户的多重身份验证状态。
配置审查
对照书面基线检查域名锁定、电子邮件验证、管理设置、API令牌和应用权限。
第三方风险敞口
列出能够访问客户或财务数据的应用、代理机构和承包商，注明其能查看和更改的内容，以及这些权限是否仍有必要。
整改计划
按可能性和影响对发现的问题排序，每一项都指定负责人和日期。我们负责实施您批准的配置修复。
通过合作伙伴开展专项测试
如需渗透测试或持续监控，由范围说明中列名的合格专业合作伙伴提供，其资质在工作开始前向您出示。
如何与THEFOCUS开启合作与我们探讨

我们的方法

01
先只读
评估在只读权限下进行。在发现的问题和整改计划获批之前，不作任何更改。
02
按能否动用资金或数据排序
能够付款、修改银行信息、在网站上发布内容或导出客户数据的账户，最先审查和修复。
03
与账户负责人一同修复
每项更改都与系统负责人一同完成，避免今天移除的权限下周又因图方便而被恢复。
04
修复后再次检查
后续审查确认每项修复都已生效，包括可能被平台更新或之后的编辑器保存操作重置的设置。

客户成果

相关行业

本领域内容

精选洞察

如何与THEFOCUS开启合作

首次沟通围绕您的实际情况展开。如果双方契合，我们会在任何更大的投入之前，先提出一项范围明确、交付物固定的诊断。

与我们探讨

01
一次务实的沟通
与将要主导这项工作的负责人交流45分钟。我们会了解相关决策、背后的系统以及截止期限。
02
范围明确的诊断
只读权限、固定周期和一份书面结论：记录显示了什么，代价有多大，应当先改什么。
03
可付诸执行的计划
变更内容、负责人、衡量指标和排除事项均以书面列明。随后由同一支团队负责建设和衡量，或进行清晰完整的交接。

一支对结果负全责的团队: 负责诊断的人，同样负责搭建系统并衡量结果。
按问题遴选合作伙伴: 独立专家按需参与相应环节，统一纳入一份合同。
先核对记录，再看仪表板: 任何建议在依赖订单、账簿和日志之前，都要先完成对账。

info@thefocus.solutions

高管常问的问题

你们是否开展渗透测试或运营安全运营中心？

我们自己不做，也不持有任何安全认证。当项目需要认证测试或托管监控时，由合格的专业合作伙伴以其自身资质提供，并在范围说明中列名。我们负责的是安全态势评估、整改计划以及您批准的配置修复。

这能让我们获得Cyber Essentials或ISO 27001认证吗？

我们可以对照这些认证计划所涵盖的控制项评估准备情况，并协助弥补差距。认证由获认可或获许可的认证机构颁发，而不是由我们颁发。

与我们探讨

请填写以下信息，以便我们将咨询转交给合适的负责人。标注“选填”的字段可以留空。