3 或 4 年前，我在《金融时报》上写了一篇关于此的文章，但除了标题之外找不到更多。无论如何，当我倾向于实践我所宣扬的内容时，我的家中建立了由风险分隔的网络 -

• 我有一个无线路由器和两个仅连接到 Internet 的网络。一个仅使用 WEP 的 DMZ，以便我的孩子可以在线使用他们的 Nintendo DS，另一个是用于我当地社区的免费无线网络
• 另一个路由器托管一个安全的 WPA2 网络（主要用于我的 Playstation 3）
• 对于有线网络，我为家庭其他成员设置了一个低敏感度网络——他们使用我为他们构建的虚拟机进行连接，而对于我的大部分研究和非客户活动，我使用了一个更高敏感度的网络。
• 对于客户端的安全测试工作，我有一个更高的安全子网，需要强大的多因素身份验证

对于平台，我一直发现最简单的方法是使用硬化构建进行客户端测试，测试和报告完成后可以分解。该版本具有 BIOS 密码和全盘加密。我所有网络上的所有机器和服务器也都有防火墙和防病毒软件，并根据供应商指南进行了最新修补。

如果您有一名安全人员在家工作，您可能会发现很难在现场审核该套件，这在管理来自他们的风险方面可能是一个问题。您通常在这里没有很多解决方案，因为他们实际拥有该套件并且实际上是无人监督的 - 了解您需要多少信任他们，确保您的合同是适当的并根据需要配置日志记录。

我同意你确实需要物理安全——不仅在门、保险箱和计算机系绳上，而且在纸质文档和档案/备份上。

备份和保险是必不可少的！如果我的房子碰巧有飞机降落，我在一个不太可能在爆炸半径范围内的站点上使用加密备份（可能发生 - 我离爱丁堡机场只有几英里）

源代码安全

但是，根据您的设置，这可能可行，也可能不可行：

• 我将所有客户端源代码存储在可移动媒体上，该媒体一直保存在不使用的保险箱中。这可以防止物理盗窃暴露客户端源代码的 PC，并防止远程攻击者访问所述源代码。

• 当我完成应用程序发布时，我会销毁物理副本（如果我没有它，它就不能被盗。）

信息安全/完整性

• 请记住，您的家庭办公室并不是您负责安全的唯一地方。您生成/传递的信息对攻击者同样（如果不是更多）有价值。

• 实施漏洞报告的监管链。这样一来，从开发人员秘书到客户公司的首席执行官，每个人都可以访问数据。我会尽可能亲自提交所有报告，以减少妥协的可能性。

杂项

• 我喜欢为家庭办公室做的另一件事是关闭无线路由器上的 SSID 广播。这个单一（简单）的任务将阻止大多数人四处窥探。

物理安全呢？

• 加密硬盘驱动器（跨所有系统上的所有驱动器）
• 用于现场和非现场备份的防火保险箱
• 适当的门锁

1. 每年制定和实践您自己的安全计划。

我看到了很多关于入侵检测、监控等的好信息，但没有什么能比得上一个完整的安全计划，它可以在您指定的时间进行审查和实践。如果您的 USB HD 与您的客户数据一起崩溃，您知道该怎么做吗？您能否立即获得他们的数据？在你的脑海中你说是的，但是你是否拔掉了你的 HD，数据不见了，电话响了，这是客户希望尽快将数据发送给他们。如果您的本地数据遭到破坏，您不仅能检测到它，还能对其做出反应，最重要的是，恢复数据怎么办？如果您无法恢复数据怎么办，客户采取了哪些措施来解决这个问题？

1. 聘请一家公司对您的环境进行渗透测试。

我看到很多关于“我应该保护什么？”、WEP、数据等的猜测。在安全性方面，没有什么比使用“shotgun 方法”更糟糕的了。假装一秒钟，你是你自己的客户，你希望你做什么？您可以猜测需要保护的内容，或者您​​可以确定需要保护的内容。您可以创建 25 个假 SSID 和上面的所有内容，但如果存在您不知道且不解决的漏洞，那一切都是徒劳的。即使您是该领域的专家，这是您的业务和收入，让其他人“仔细检查”您的工作也没有什么坏处！

我现在要停止小说了……我很抱歉。