设计主题练习任务

以下为信息安全规范主题的3个练习任务。每个任务均包含目标、步骤、交付物、评估标准与提示，便于直接用于课堂或企业内训。

任务1：制定数据分类与处理清单

• 学习目标

  • 掌握数据分级（公开/内部/敏感/机密）并为不同等级制定处理要求。
  • 能将具体数据项准确映射到分类等级并补充合规要求。

• 所需材料

  • 模板（建议字段：数据项、描述、分类等级、存储要求、传输要求、访问控制、保留与销毁、合规标记、责任人）。
  • 背景场景与数据清单。

• 场景与数据清单（示例）

  • 场景：一家SaaS公司，面向企业客户提供在线协作服务。
  • 数据项（至少选10项进行分类与制定规则）：
    1. 官网已发布白皮书
    2. 客户联系人姓名与工作邮箱
    3. 个人身份标识（如身份证号或护照号）
    4. 用户密码散列与盐值
    5. 生产数据库备份
    6. 内部OKR文档
    7. 销售线索名单（含电话与公司信息）
    8. API密钥与令牌
    9. 服务器访问日志（含IP、时间戳、URL）
    10. 合同PDF（含定价与折扣）
    11. 访客Wi-Fi密码
    12. 未发布产品路线图

• 任务步骤

  1. 定义分级：用4级（公开/内部/敏感/机密），为每级给出清晰处理要求（存储、传输、访问、保留/销毁）。
  2. 通读数据清单，逐项判定分类等级，并在模板中记录理由。
  3. 为每一类制定具体技术与管理控制（示例：静态加密、传输加密、MFA、白名单设备、审批流程、日志审计、最小权限）。
  4. 标注可能受法规约束的数据（如个人身份信息）并补充合规要求（如告知、目的限制、数据最小化、跨境评估等）。
  5. 给出保留周期与销毁方式（如达期自动删除、加密擦除、两人复核）。
  6. 指定责任人（数据拥有者与数据管理员），明确变更与例外审批流程。
  7. 自检：用5条检查问题验证完整性（如是否覆盖存储/传输/使用/共享/备份/销毁；是否定义审计点；是否可操作）。

• 交付物

  • 完整的《数据分类与处理清单》表格（至少10项数据）。
  • 1页《执行指南摘要》（按等级汇总关键控制与注意事项）。

• 评估标准（总分100）

  • 分类准确性（30）：能解释判定依据，避免过度或不足分类。
  • 控制措施完整性（30）：覆盖静态与传输加密、访问控制、备份与销毁、审计。
  • 合规考量（15）：正确标注个人信息等敏感数据及相应要求。
  • 可执行性（15）：指令具体、可落地，含责任人与流程。
  • 清晰性与结构（10）：模板填写规范、摘要清楚。

• 提示与常见错误

  • 提示：先按“伤害与影响”衡量分类（法律、声誉、业务、客户影响），再落到控制措施。
  • 常见错误：只写“需加密”但未指定算法/范围；未定义保留期；将网络密码、密钥误判为“内部”而非“敏感/机密”。

• 参考要点（非唯一答案）

  • 公开：官网白皮书
  • 内部：服务器日志（若含有限PII则“敏感”）、内部OKR（内部或敏感，视内容）
  • 敏感：客户联系人信息、销售线索、访客Wi-Fi密码、合同PDF（含商业敏感）
  • 机密：用户密码散列与盐值、API密钥与令牌、生产DB备份、未发布路线图、个人身份标识（视法规与风险，通常≥敏感，很多组织定为机密）

任务2：识别与响应钓鱼邮件（模拟演练）

• 学习目标

  • 识别常见社会工程信号（紧迫感、域名仿冒、异常附件/链接、二维码绕过、索要凭据）。
  • 按流程响应：隔离、报告、证据保全、验证、通知与复盘。

• 所需材料

  • 模拟邮件3封（文本或截图），一封为正常邮件对照。
  • 处置记录模板（字段：时间、来源、判断、措施、证据、升级情况、结果）。
  • 报告渠道与工具（企业安全邮箱或工单系统说明）。

• 模拟邮件（示例摘要）

  1. 主题：[发票异常] 请在2小时内确认，否则账户暂停 发件人：billing@micros0ft-bill.com 内容：含“invoice.zip”附件与登录链接 http://microsoft-bill.verify-pay.com/login
  2. 主题：IT通知：邮箱将停用，请立即验证 发件人：it-support@company-support.co 内容：要求扫描二维码重新登录，称“避免邮件安全系统误删”
  3. 主题：本周项目更新 发件人：同部门同事，指向内部SSO域链接，含具体项目细节与个人化称呼（为正常邮件）

• 任务步骤

  1. 独立审阅3封邮件，逐条标注风险信号或可信信号（域名、语气、链接、附件类型、请求行为）。
  2. 为每封邮件给出处置决策：允许/隔离/升级分析；并说明理由。
  3. 对判为钓鱼的邮件，执行标准流程：
     • 不点击、不转发、不下载；
     • 通过内网报告渠道上报安全团队；
     • 保全证据（原始.eml或完整头信息、截图、URL）；
     • 使用已知可信渠道向声称的业务部门核验（不可用邮件内提供的联系方式）；
     • 标记并通知受影响范围（若有），更新拦截策略。
  4. 完成处置记录模板，并撰写一段给全员的提醒文案（100字以内）。

• 交付物

  • 标注后的三封邮件（或清单）。
  • 处置记录与全员提醒文案。

• 评估标准（总分100）

  • 风险识别准确（40）：能抓住域名仿冒、紧迫感、压缩包附件、二维码登录等关键信号。
  • 处置流程正确（30）：报告、隔离、保全证据、二次核验、避免二次传播。
  • 记录完整（20）：时间线、证据、决策、结果清晰。
  • 沟通恰当（10）：提醒文案简明可行，包含具体防范要点。

• 提示与常见错误

  • 提示：将链接解析为纯文本查看域名；避免用邮件内链接验证；二维码是常见绕过沙箱手法。
  • 常见错误：仅看显示名不看完整地址；未保留原始邮件；直接在同一线程回复攻击者；未通知可能受影响的同事。

任务3：最小权限与访问审计（角色-权限整改）

• 学习目标

  • 识别权限过度、职责不分离、共享账号等常见问题。
  • 依据最小权限原则重构访问矩阵，并设计审批与定期复核流程。

• 所需材料

  • 初始访问矩阵（示例场景）。
  • 整改方案模板（字段：问题项、风险描述、整改措施、审批人、验证方式、截止日期）。

• 初始访问矩阵（示例问题）

  • 系统：CRM、财务系统、代码仓库、日志平台、文件存储。
  • 角色与现状：
    • 销售：CRM管理员（可删除/导出全部数据）
    • 财务：代码仓库只读访问
    • 开发：生产数据库管理员权限；文件存储“全部共享盘”可写
    • 运维：日志平台管理员；共享服务账号（多人共用）可登录生产服务器
    • 实习生：日志平台写入权限；可访问“全部共享盘”
    • 法务：无法访问合同归档文件夹（需常规读取）
    • 全员：访客共享Wi-Fi密码存放于公共文件夹

• 任务步骤

  1. 识别问题：逐项指出与最小权限、职责分离、账号规范不符的点，并描述业务与安全风险。
  2. 设计目标状态：
     • 定义基于职责的角色（RBAC），为每角色仅保留必需权限；
     • 拆分高危权限（如导出、删除、生产DB写入）并设置申请-审批-限时机制；
     • 禁用共享账号，改为个人账号+MFA，服务账号仅供服务进程使用；
     • 为法务补充最小必要读取权限并设置审计；
     • 将公共共享盘按团队/项目分区，默认拒绝、按需授权。
  3. 制定流程控制：
     • 权限申请与审批（双人审批原则，保留工单记录）；
     • 临时权限与紧急访问（带时效、自动回收、事后审计）；
     • 定期复核（至少季度，包含导出与管理权限专项检查）；
     • 离职与转岗即时回收；跨部门调动触发复核。
  4. 输出整改清单：列出每项问题的整改措施、责任人、完成时限与验证方法（如抽样审计、日志核查）。
  5. 设计3条可量化指标（例如：管理员账户数下降≥60%；共享账号归零；临时高权访问平均时长<8小时）。

• 交付物

  • 修订后的访问矩阵（按角色列出权限）。
  • 整改方案与流程文档（2–3页）。
  • 指标与验证计划列表。

• 评估标准（总分100）

  • 风险识别全面（30）：覆盖过权、共享账号、生产写权限、数据外泄面等。
  • 设计合理（30）：RBAC清晰、权限粒度适当、临时高权闭环。
  • 流程可执行（20）：审批、复核、回收、审计可落地并可被追踪。
  • 可衡量性（10）：指标明确且与风险收敛相关。
  • 文档清晰（10）：矩阵与流程表述简洁一致。

• 提示与常见错误

  • 提示：优先移除高危权限（删除/导出/生产写），对不可避免的高权设置“时限+审计”。
  • 常见错误：仅列出新矩阵而无落地流程；保留共享账号“以备不时之需”；未定义自动回收机制与审计点。

使用方式建议

• 将三项任务按“分类→识别与响应→权限治理”的顺序安排，循序渐进覆盖信息安全规范从制度到实操的关键环节。
• 每个任务可在1–2小时内完成并评审；结合小组互评提高实战与沟通能力。

Below are 3 practice tasks to help you develop strong short-form video scripts. Each task includes clear constraints, step-by-step instructions, and a checklist so you can focus on execution.

Task 1: 30-second How-To Explainer (TikTok/Reels) Objective

• Write a concise tutorial script that teaches one simple action clearly and quickly.

Constraints

• Duration: 30 seconds
• Voiceover length: 65–85 words (typical speech rate ~140–160 wpm)
• Format: Vertical (9:16), 3–5 shots
• Include: Hook in first 2 seconds, 3 steps, 1 call to action (CTA), on-screen text (OST) for each step

Steps

1. Pick a micro-topic with a single outcome (e.g., “How to chop an onion safely” or “How to set a 25-minute focus timer”).
2. Draft a 1–2 second hook that promises a clear benefit or solves a common pain point.
3. Outline 3 steps only. Make each step actionable and measurable.
4. Write the voiceover lines. Keep sentences short and conversational.
5. Assign one shot per step (plus opening and closing if needed). Specify shot type (close-up, overhead, POV).
6. Add on-screen text for each shot (max 6 words per shot). Make it skimmable and supportive of the voiceover.
7. End with a simple CTA (e.g., “Save this for later” or “Try it today”).

What to submit

• Script with labeled sections:
  • Hook (VO + OST)
  • Step 1 (VO + OST + Shot type)
  • Step 2 (VO + OST + Shot type)
  • Step 3 (VO + OST + Shot type)
  • CTA (VO + OST)
• Total estimated runtime and VO word count

Checklist

• Hook is benefit-driven and specific
• Exactly 3 steps, each actionable
• OST ≤ 6 words per shot
• VO 65–85 words and reads smoothly aloud
• Visuals and words are not redundant; OST complements the VO
• Clear, single CTA

Pro tips

• Use active verbs (“tap,” “cut,” “set”).
• Test the read-aloud pace; trim filler words first.

Task 2: 45-second Narrative Problem–Solution (YouTube Shorts/Reels) Objective

• Craft a mini-story that shows a relatable problem, a turning point, and a solution with a result.

Constraints

• Duration: 45 seconds
• Voiceover/dialogue length: 100–120 words
• Structure: 5–7 beats (Hook → Problem → Attempt → Insight → Solution → Result → CTA)
• Include: One character POV, specific setting, sound cues or music note, visual transitions

Steps

1. Define the audience and the everyday problem they face (one sentence).
2. Write a 1–2 second hook that previews the transformation or stakes.
3. Outline the 5–7 beats. Assign an approximate time to each beat (e.g., 0–3s Hook; 3–10s Problem).
4. Draft VO/dialogue for each beat. Keep lines short; avoid exposition you can show visually.
5. Assign shot types (e.g., shaky handheld for Problem, locked-off for Result) and at least one transition (e.g., whip pan) to create momentum.
6. Add one sound note per beat (e.g., “alarm buzz,” “whoosh,” “music lifts”).
7. Close with a CTA that fits the story outcome (e.g., “Download the checklist,” “Follow for part 2”).

What to submit

• Beat sheet with timestamps (0–45s)
• Script lines (VO/dialogue) mapped to beats
• Shot list (shot type + quick visual description)
• Sound/music notes

Checklist

• Clear arc: problem → insight → solution → result
• One cohesive POV; no extra characters unless necessary
• Visual choices reinforce emotions (e.g., problem = cluttered frame, result = brighter framing)
• VO/dialogue ≤ 120 words; reads under 45 seconds
• CTA is aligned with the outcome

Pro tips

• Use pattern interrupts between Problem and Insight (e.g., rapid cuts, a visual reveal).
• Replace generic adjectives with specifics (e.g., “3 taps” instead of “fast”).

Task 3: 60-second Myth-Buster with Evidence (TikTok/Shorts) Objective

• Debunk three common myths on a chosen theme using concise evidence and clear framing.

Constraints

• Duration: 60 seconds
• Voiceover length: 130–160 words
• Structure: Hook → Myth 1 → Fact 1 → Myth 2 → Fact 2 → Myth 3 → Fact 3 → CTA
• Include: At least one on-screen citation or “source: [name/site]” in OST or caption
• Visuals: 6–8 shots; include at least one data visual (text overlay or simple graphic)

Steps

1. Choose a theme you know or can verify (e.g., language learning, budgeting, home workouts). Avoid medical/financial claims you can’t source.
2. List three specific myths your audience likely believes. Keep each myth to one sentence.
3. For each myth, write a concise fact that references a credible source or principle. Paraphrase; avoid quoting long text. Note the source for caption or OST.
4. Draft the hook as a bold claim or challenge question that promises clarity.
5. Write VO lines for each Myth/Fact pair. Use parallel phrasing (e.g., “Myth: … Fact: …”).
6. Plan visuals: pattern interrupt on each Myth, clean graphic or OST for each Fact (e.g., “short bursts count as activity — source: CDC”).
7. Add a CTA to save/share or “check sources in caption.”

What to submit

• Script with labeled sections:
  • Hook (VO + OST)
  • Myth 1 → Fact 1 (VO + OST + source note)
  • Myth 2 → Fact 2 (VO + OST + source note)
  • Myth 3 → Fact 3 (VO + OST + source note)
  • CTA (VO + OST)
• Shot list and where the data visual appears
• Caption copy with source names/links (short, reputable sources only)

Checklist

• 3 myth–fact pairs, each specific and verifiable
• At least one visible source credit in OST or caption
• Data or principle stated clearly; no overclaiming
• VO 130–160 words; pacing allows brief pauses after each fact
• Visual rhythm alternates between “myth” (pattern interrupt) and “fact” (clean clarity)

Pro tips

• Use “because” to connect fact to mechanism (“Fact: Intervals boost VO2 because short high effort increases cardiac output.”). If unsure, remove the mechanism to avoid inaccuracies.
• Prefer institutional or peer-reviewed sources; avoid unsourced statistics.

Optional topic prompts (use for any task)

• Productivity: “Beat procrastination with a 2-minute start.”
• Language learning: “Learn 10 words a day without memorizing.”
• Cooking: “5-ingredient weekday pasta.”
• Personal finance: “Zero-based budget in one page.”
• Sustainable living: “Reduce plastic with one swap.”

How to self-test before submitting

• Read aloud and time the script; trim filler first.
• Check that each shot adds new information not already said in VO.
• Verify any factual claim and include a concise source.