登陆注册
2859500000013

第13章 组织安全管理(1)

89.什么是信息安全风险评估?

信息安全风险评估是从风险管理角度,运用定性、定量的科学分析方法和手段,依据有关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁,以及威胁利用脆弱性导致安全事件的可能性,并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。从而有针对性地提出抵御威胁的安全防护对策和整改措施,最大限度地减少经济损失和负面影响。

信息安全风险评估是信息安全管理的基础和关键环节。通过开展信息安全风险评估,对网络与信息系统的资产价值、潜在的安全威胁、薄弱环节、防护措施等进行分析,可以做到心中有数,可以发现信息系统中存在的主要安全问题,并找到解决这些问题的方法,有针对性地进行管理。图9.1是风险评估的实施流程图。

90.风险评估的要素有哪些?

风险评估的基本要素包括:需保护的信息资产、信息资产的脆弱性、信息资产面临的威胁、存在的可能风险、安全防护措施等。

风险评估围绕着这些基本要素展开,通过分析信息资产的脆弱性来确定威胁可能利用哪些弱点来破坏其安全性。在对这些要素的评估过程中,需要充分考虑业务战略、资产价值、安全需求、安全事公务人员信息安全知识读本件、残余风险等,以及与这些基本要素相关的各类属性。图9.2显示了风险评估各要素之间的关系,其中方框中的内容为风险评估的基本要素,椭圆中的内容是与这些要素相关的属性。风险评估要识别资产相关要素的关系,从而判断资产面临的风险大小。

91.风险分析的主要内容是什么?

风险分析原理如图9.3所示。风险分析涉及资产、威胁、脆弱性等基本要素,每个要素有各自的属性。资产的属性是资产价值,威胁的属性可以是威胁主体、影响对象、出现频率、动机等,脆弱性的属性是资产弱点的严重程度。

风险分析的主要内容为:

①对资产进行识别并对资产的价值进行赋值。

②对威胁进行识别,描述威胁的属性,并对威胁出现的频率赋值。

③对资产的脆弱性进行识别并对具体资产脆弱性的严重程度赋值。

④根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性。

⑤根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失。

⑥根据安全事件发生的可能性以及安全事件的损失,计算安全事件一旦发生对组织的影响,即风险值。

92.开展信息安全风险评估有哪些方式?

风险评估可分为自评估、检查评估两种方式。自评估是信息安全风险评估的主要形式,是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估,以发现信息系统现有弱点、实施安全管理为目的。检查评估是指信息系统上级管理部门或信息安全职能部门组织的信息安全风险评估,检查评估是通过行政手段加强信息安全管理的重要措施。

风险评估应以自评估为主,检查评估是在自评估过程记录与评估结果的基础上,验证和确认系统存在的技术、管理和运行风险,以及用户实施自评估后采取风险控制措施取得的效果。自评估和检查评估应相互结合、互为补充。

自评估和检查评估都可依托自身技术力量进行,也可委托具有相应资质的第三方机构提供技术支持。

93.信息系统在什么时候要进行风险评估?

风险评估应贯穿于信息系统生命周期的各阶段中。信息系统生命周期各阶段中涉及的风险评估的原则和方法是一致的,但由于各阶段实施的内容、对象、安全需求不同,使得风险评估的对象、目的、要求等各方面也有所不同。具体而言,在规划设计阶段,通过风险评估以确定系统的安全目标;在建设验收阶段,通过风险评估以确定系统的安全目标达到与否;在运行维护阶段,要不断地实施风险评估以识别系统面临的不断变化的风险和脆弱性,从而确定安全措施的有效性,确保安全目标得以实现。因此,每个阶段风险评估的具体实施应根据该阶段的特点有所侧重地进行。

94.开展风险评估要做哪些准备?

(1)确定目标

根据满足组织业务持续发展在安全方面的需要、法律法规的规定等内容,识别现有信息系统及管理上的不足,以及可能造成的风险大小。

(2)确定范围

风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构,也可能是某个独立的信息系统、关键业务流程、与客户知识产权相关的系统或部门等。

(3)组建团队

由管理层、相关业务骨干、IT技术人员等组成风险评估实施小组。必要时,可组建由评估方、被评估方领导和相关部门负责人参加的风险评估领导小组,聘请相关专业的技术专家和技术骨干组成专家小组。

评估实施团队应做好评估前的表格、文档、检测工具等各项准备工作,进行风险评估技术培训和保密教育,制定风险评估过程管理的相关规定。此外,还可根据被评估方要求,双方签署保密合同,依据情况签署个人保密协议。

(4)系统调研

系统调研是确定被评估对象的过程,风险评估小组应进行充分的系统调研,为风险评估依据和方法的选择、评估内容的实施奠定基础。调研内容至少应包括业务战略及管理制度、主要的业务功能和要求、网络结构与网络环境(包括内部连接和外部连接)、系统边界、主要的硬件和软件、数据和信息、系统和数据的敏感性、支持和使用系统的人员等。

系统调研可以采取问卷调查与现场面谈相结合的方式进行。

调查问卷是提供一套关于管理或操作控制的问题表格,供系统技术人员或管理人员填写;现场面谈则是由评估人员到现场观察并收集系统在物理、环境和操作方面的信息。

(5)确定依据

根据系统调研结果,确定评估依据和评估方法。评估依据包括(但不限于)现有国际标准、国家标准、行业标准,行业主管机关业务系统的要求和制度,系统安全保护等级要求,系统互联单位的安全要求,系统本身的实时性或性能要求等。

根据评估依据,应考虑评估的目的、范围、时间、效果、人员素质等因素来选择具体的风险计算方法,并依据业务实施对系统安全运行的需求,确定相关的判断依据,使之能够与组织环境和安全要求相适应。

(6)制定方案

制定风险评估方案的目的是为后面的风险评估实施活动提供一个总体计划,用于指导实施方开展后续工作。风险评估方案的内容一般包括(但不限于)团队组织(包括评估团队成员、组织结构、角色、责任等)、工作计划(风险评估各阶段的工作计划,包括工作内容、工作形式、工作成果等)和时间进度安排。

(7)获得支持

上述所有内容确定后,应形成较为完整的风险评估实施方案,得到组织最高管理者的支持和批准;对管理层和技术人员进行传达,在组织范围就风险评估相关内容进行培训,以明确有关人员在风险评估中的任务。

95.如何进行资产识别?

信息资产是具有价值的信息或资源,以多种形式存在,有无形的、有形的,有硬件、软件,有文档、代码,也有服务、形象等。保密性、完整性和可用性是评价信息资产的三个安全属性。风险评估中资产的价值不仅以资产的经济价值来衡量,而且由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度决定。安全属性达成程度的不同将使资产具有不同的价值,而资产面临的威胁、存在的脆弱性以及已采用的安全措施都将对资产安全属性的达成程度产生影响。

信息资产作为信息系统的构成元素分布十分广泛,不同信息资产的功能、重要程度也互不相同。因此,需要对信息资产进行合理分类,分析安全需求,确定资产的重要程度。资产识别的主要工作是在评估实施方案确定的范围内,按照评估方案约定的方式进行如下四项工作。

(1)回顾评估范围内的业务

回顾这些信息的主要目的是帮助资产识别小组对其所评估的业务和应用系统有一个大致了解,为后续的资产识别活动作准备。如果在准备阶段已就这部分信息进行过交流并生成了相应的描述性文档,这部分工作不必重复进行,直接阅读上述文档即可。

(2)识别信息资产,进行合理分类

针对前一个活动中识别出来的每个主要业务或系统,识别完成业务或保证系统正常运转所必需的资产,并注明资产的类别。

资产分类的目的是降低后续分析和赋值活动的工作量。

(3)确定每类信息资产的安全需求

在对资产进行合理分类之后,便可从保密性、完整性和可用性三个方面对每个资产类别进行安全需求分析,而不是对每个资产进行安全需求分析。

(4)为每类信息资产的重要性赋值

在上述安全需求分析的基础上,按照一定方法确定资产的价值或重要程度等级。

96.如何进行威胁识别?

威胁是一种对组织及其资产构成潜在破坏的可能性因素,是客观存在的。

威胁是构成信息安全风险不可缺少的要素之一。在信息资产及其相关资产存在脆弱性和相应的安全控制措施缺失或薄弱的条件下,威胁总是通过某种具体的途径或方式作用到特定的信息资产上,并破坏该资产一个或多个安全属性,从而产生信息安全风险。

威胁识别主要是识别被评估组织关键资产直接或间接面临的威胁,以及相应的分类和赋值等活动。威胁识别活动的主要目的是建立风险分析需要的威胁场景。威胁识别主要包括以下具体活动:

(1)威胁识别

威胁识别包括实际威胁识别和潜在威胁识别。实际威胁识别即通过访谈和检测工具识别并记录被评估组织近期实际出现过的威胁;潜在威胁识别即根据被评估组织的特点,结合当前信息安全总体的威胁统计和趋势,分析被评估组织面临的潜在威胁。

(2)威胁分类

对上述实际发生过的和潜在的威胁进行分类。与资产分类的目的类似,对威胁进行分类可以简化后续分析、赋值和计算等活动的工作量。

(3)构建威胁的场景

在前面威胁识别和威胁分类的基础上,为每个或每类关键资产构建威胁场景图。

(4)威胁赋值

某些具体的风险需要在这个阶段对威胁进行赋值。因此,需要对具体威胁或威胁类别进行赋值,作为后续计算的输入。

97.如何进行脆弱性识别?

资产识别和威胁识别完成之后,就是脆弱性识别。脆弱性识别是风险评估的关键环节,包括物理、系统、网络、应用和管理五个方面。

脆弱性识别主要包括以下具体活动:

(1)脆弱性识别

通过扫描工具或手工等不同方式,识别当前系统中存在的脆弱性。

(2)识别结果整理与展示

实际评估项目中,被评估组织往往要求评估单位提交脆弱性识别活动的阶段成果,所以在脆弱性识别阶段,还应将脆弱性识别结果以合理的方式展现给被评估组织。

公务人员信息安全知识读本127(3)脆弱性赋值

某些具体的风险分析、计算方法,需要对脆弱性赋值,方能完成后续的风险计算活动。如果评估活动选用了上述类型的风险分析、计算方法,应根据一定的赋值准则,对被识别的脆弱性进行赋值。

98.如何识别与确认安全措施?

有效的安全控制措施既可降低安全事件发生的可能性,也可减轻安全事件造成的不良影响。因此,在进行风险分析计算之前,有必要识别被评估组织目前已有的安全控制措施,并对措施的有效性进行分析,为后续的风险分析提供参考依据。安全控制措施大致可分为技术控制措施、管理和操作控制措施两大类。

(1)技术控制措施的识别与确认

识别已有的技术控制措施,并对其有效性进行分析和确认。

(2)管理和操作控制措施的识别与确认

识别已有的管理和操作控制措施,并对其有效性进行分析和确认。

99.如何进行风险分析?

在完成了资产识别、威胁识别、脆弱性识别,以及对已有安全措施的识别与确认后,应进入风险分析阶段。风险分析阶段的主要工作就是完成风险的分析和计算。综合安全事件所作用的资产价值及脆弱性的严重程度,判断安全事件造成的损失对组织的影响,即安全风险。

(1)风险计算原理

风险值=R(A,T,V)=R[L(T,V),F(Ia,Va)]。

其中,R表示安全风险计算函数;A表示资产;T表示威胁;V表示脆弱性;Ia表示安全事件所作用的资产价值;Va表示脆弱性严重程度;L表示威胁利用资产的脆弱性导致安全事件的可能性;F表示安全事件发生后造成的损失。

(2)风险结果判定

为实现对风险的控制与管理,可以对风险评估的结果进行等级化处理,将风险划分为若干级,等级越高,风险越高。

评估者应根据所采用的风险计算方法,计算每种资产面临的风险值,根据风险值的分布状况为每个等级设定风险值范围,并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。

风险等级处理的目的是在风险管理过程中对不同风险的直观比较,以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响,提出一个可接受的风险范围。对某些资产的风险,如果风险计算值在可接受的范围内,则该风险是可接受的,应保持已有的安全措施;如果风险评估值在可接受的范围外,即风险计算值高于可接受范围的上限值,则该风险是不可接受的,需要采取安全措施以降低、控制风险。另一种确定不可接受风险的办法是根据等级化处理的结果,不设定可接受风险值的基准,对达到相应等级的风险都进行处理。

(3)风险处理计划

对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划,风险处理计划中应明确采取的弥补脆弱性的安全措施、预期效果、实施条件、进度安排、责任部门等。安全措施的选择应从管理与技术两个方面考虑,安全措施的选择与实施应参照信息安全的相关标准进行。

(4)残余风险评估

在对不可接受的风险选择适当安全措施后,为确保安全措施的有效性,可进行再评估,以判断实施安全措施后的残余风险是否已降低到可接受的水平。残余风险的评估可依据所采用标准提出的风险评估流程实施,也可做适当裁减。一般来说,安全措施的实施是以减少脆弱性或降低安全事件发生可能性为目标的,因此,残余风险的评估可以从脆弱性评估开始,在对照安全措施实施前后的脆弱性状况后,再次计算风险值的大小。

某些风险可能在选择了适当的安全措施后,残余风险的结果仍处于不可接受的风险范围内,应考虑是否接受此风险或进一步增加相应的安全措施。

100.什么是信息安全等级保护?

同类推荐
  • 党旗飘扬 航道辉煌(全国航道系统党建工作论文集)

    党旗飘扬 航道辉煌(全国航道系统党建工作论文集)

    本书将全国航道系统党建方面的工作论文集结成册,为四大部分组织:一是党的思想建设,二是党的组织建设,三是党的文化建设,四是党的廉政建设。尤其是对新的形势下,党的文化建设和党的廉政建设部分。论述较多,意在让全国航道系统广大干部职工增强党建工作的紧迫感和积极性,也提出了新时期党建的思政和对策。
  • 做官要学曾国藩,经商要学胡雪岩大全集(超值金版)

    做官要学曾国藩,经商要学胡雪岩大全集(超值金版)

    他们一官一商,在清朝的历史舞台上 演绎了一幕大剧。给后人留下了丰富的财富。现代人流行一种说法。,一个人若只知道曾国藩、胡雪岩做了什么,那只是皮毛之见,只有读懂 了曾国藩、胡雪岩为什么“这么做”,继而知道自己该“怎么做”,那才算 读活了他们,也读活了自己。曾国藩与胡雪岩是同一时代的人
  • 群众利益无小事

    群众利益无小事

    群众利益无小事,民生问题大于天。在社会生产生活的各个领域,不仅要把握方向做好大事,对于每一件小事,我们也必须认真对待、高度落实。本书通过生动的案例阐释了公务员工作的基本态度、基本原则等,并提供了一些详细的调查、沟通等工作技巧,帮助公务员提升提高工作效率和为人民服务的能力。
  • 蓝色战略(全集)

    蓝色战略(全集)

    学者王伟用大历史观的视野,从地缘的角度结合海洋热点,逐层剥离隐藏在南海、东海岛礁纷争背后的美国阴谋,将复杂多变的我国周边的海洋问题全景呈现出来,带我们了解其形成的由来以及未来走向。
  • 公务人员信息安全知识读本

    公务人员信息安全知识读本

    信息化是人类由工业社会向信息社会转型的必然进程。随着信息技术的迅猛发展和网络化应用的快速普及,信息化已渗透到国民经济和社会发展的方方面面,并深刻影响着人们的生产、生活和思维方式。
热门推荐
  • 仙山如此多喵

    仙山如此多喵

    一杯领衔客串的忘情之水,过期的。都说千里姻缘一线牵,你还能再难搞一点么?,为什么她发现自己的心慢慢沦落了呢?一只伪装成喵的凤凰美人,被迫嫁给妖皇的白薇。一枚土匪本质的腹黑妖皇,无间的。奈何红线太坑爹,白薇表示,却遭到妖皇的嫌弃,她誓要搅得妖界鸡犬不宁!可是,妖皇大人,失忆的
  • 中医养肾补肾速查手册

    中医养肾补肾速查手册

    养肾是健康的根本,肾好身体好。《中医养肾补肾速查手册》从本草、饮食、经络、运动等方面,详细阐述了养肾的各种方案,以及常见肾病的对症防治与调养方法。三分治,七分养,中医养肾肾不伤。一书在手,养生保健,健康无忧。
  • 无敌大小姐

    无敌大小姐

    当现代阴狠毒辣,手段极多的火家大小姐火无情,穿越到一个好色如命,花痴草包大小姐身上,会发生怎样的化学反应?火无情一醒过来就发现,自己竟然在众目睽睽之下上演脱衣秀。周围还有一群围观者。这一发现,让她极为不爽。刚刚穿好衣服,便看到一个声称是自家老头的老不死气势汹汹的跑来问罪。刚上来,就要打她。这还得了?她火无情从生自死,都是王者。敢动她的人,都在和阎王喝茶。于是,她一怒之下,打了老爹。众人皆道:火家小姐阴狠毒辣,竟然连老爹都不放在眼里。就这样,她的罪名又多了一条。蛇蝎美人。穿越后,火无情的麻烦不断。第一天,打了爹。第二天,毁了姐姐的容。第三天,骂了二娘。第四天,当众轻薄了天下第一公子。第五天,火家贴出招亲启事:但凡愿意娶火家大小姐者,皆可去火府报名。来者不限。不怕死,不想活的,欢迎前来。警示:但凡来此,生死皆与火家无关。若有残病者火家一律不负法律责任。本以为无人敢到,岂料是桃花朵朵。美男个个很妖娆一号美人:火无炎。火家大少爷。为人不清楚,手段不清楚。容貌不清楚。唯一清楚的是,他有钱。有多多的钱。火无情语录:钱是好东西。娶了。(此美男,由美瞳掩饰不了你眼神的空洞领养。)火老爷一气之下,昏了过去。家门不幸,家门不幸啊。二号美人:竹清月。江湖人称天上神仙,地上无月。大国师一枚。美得惊天动地。火无情语录:美人好,尤其是自带嫁妆又会预测未来的美人,娶了。(此美男,由东de琳琳领养)三号美人:轩辕子玉。当朝七皇子,游历四国。一张可爱无敌的脸。单纯至极。火无情语录:可爱的孩子好,可爱又乖巧的孩子更好。可爱乖巧又不用给钱的孩子,娶了。(此美男,由刘千绮领养)皇帝听闻,两眼一抹黑。他的儿啊。怎么就这么不争气呢。四号美人:天下第一美男。性格不详,籍贯不详。火无情语录:谜一样的美人,她喜欢。每天都有新鲜感。娶了。(此美男,由告别的爱情li领养。)五号美人:天下第一名伶。火无情语录:解风情的美男,如果没钱花把他卖了都不用调教。娶了。(此美男由伊眸领养。)六号美男:解忧楼楼主。相貌不详,身世不详。爱好杀人。火无情语录:凶恶的美人,她喜欢。娶了。(此美男由陈铭铭领养)七号美男:琴圣。貌如谪仙,琴音杀人。冷清眸子中,百转千回,说尽风流。(此美男由伊眸领养)夜杀:天下第一杀手。(此美男由静寂之夜领养)
  • 东宫有本难念的经

    东宫有本难念的经

    宝庆十九年春,大佑国皇太子大婚,大将军之女入主东宫。一个不是淑女的将门千金遭遇一个不是文韬武略的中庸太子,到底是佳偶天成,还是冤家路窄?成婚一年不足,太子忽然休妻。迷影重重,生死茫茫,这样一来,还是不是大团圆结局?
  • 小鬼为宝宝寻娘

    小鬼为宝宝寻娘

    凌子的圈子:有时间的进来逛逛吧,嘿嘿!(若是作者,更要进哦,哈!)圈子连接:http://m.pgsk.com/小鬼系列文之《小鬼为宝宝寻娘》******——————————醒来第一眼…“你是谁?干嘛睡在我身边!”“你说呢?连自己丈夫都不记得,看来你病的不清。”“草?我怎么会有你这种鸟人丈夫,别给我瞎说,滚,给老娘的滚出去。”“你没看我们两身上都是啥?我能胡说吗?”低头仔细一看,本姑娘昏袭…再度醒来…“娘,你醒了!”“你在叫我吗?”“对啊,爹叫我转达给娘听,别睡懒觉,要不然他会继续陪你干昨天晚上的事情。”“陪我干昨天的事情?慢,小孩,你认错人了吧,我不认识你,还有,你爹是谁?”“我爹就是他啊,爹…”抬头一瞧,天地在旋转,再度昏袭…★醒来就是一丝不褂的跟一个陌生男子睡在一起,后冒出一个小娃来认她当娘;天呐,她一定还在做梦,否则,不会出现这样的情景,更可悲的是,没结过婚、没生过孩子的她,就被眼前这个看上去,不知道像什么的男人逼着背负照顾小娃和他的责任。她不活了,那有这样的世界,居然不分清红皂白就乱栽赃名义给她…这还少事,居然还被那对父子给利用,明知道他们是在利用,却傻忽忽的还为了他们父子放弃回自己的家的念头……她中邪了吧,要不然怎么会同意去当他的娘,做他的妻子呢!★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★★☆★☆★☆★☆★☆请继续关注本人之作:★★最新作品:穿越文——《真假夫君》——现代文——《美男属于我》——这作品是凌冒着危险,大胆的创作,希望各位要是看了,可别埋怨凌!!!!穿越文——《小鬼的宠爱》(完结文)青春校园系列——《彩色羽翼》http://m.pgsk.com/info/m.pgsk.com(完结文)现代都市系列——《爱上帅气哥哥》(完结文)穿越时空系列——《穿越之煌龙传说》(完结文)凌为各位推荐下友人的佳作:零的小白文——《娘子两岁半》很不错的,偶自己也有追着看呢,值得期待哦!古怪——《我不要穿越》一部与人之争,与鬼拉扯的可爱文文,值得各位去欣赏的呢!!!咖啡姐的《魅囚凰》虐文——偶有追,不错,各位也可以去欣赏一下!小怜怜的《律政俏妈咪》——不错的哦,别有一番情味,记得看!(注:别忘记继续支持凌的文哦)——————————————————————————————————————————广告时间——预告——新文MV——?pstyle=1有时间顶一下啦,嘿嘿……
  • 鬼村密事

    鬼村密事

    西夏王朝在蒙古铁蹄的蹂躏下覆灭了,最后被屠城了,贺兰山下十几代的王陵也被一盗而空,党项后人四处离散。而一千年后,在小小的村落里面出现了诡异的事情,一个旅游项目连连发生死亡事件,身为便衣警察的郭三,凭借这异常的天赋和胆量,和同伴勇闯鬼村,引发了一段历史与现实交融的故事。
  • 中药药事管理手册

    中药药事管理手册

    医院药事管理是提高医疗质量的重要途径,在医院管理中越来越受到重视。随着医疗卫生事业的深化改革,开展以患者为中心,提高医疗服务质量,有效降低医疗费用,规范医疗行为,提高医疗质量,确保用药安全,这些内容对医院的管理提出了新的要求,医院必须把药事管理放在重要的位置。
  • 蝶魂幻舞系列(一)

    蝶魂幻舞系列(一)

    杀手问流氓:“杀人有罪吗?”天使插嘴道:“废话,杀人当然有罪。”死神站起来寒声应道:“不,好多的时候不杀人才有罪!”
  • 有时岁月徒有虚名

    有时岁月徒有虚名

    杀猪的老四,喂牲口的槐叔,牲口房的香气弥漫的童年时光,那些暧昧然而温馨的夜晚,那些甜蜜而又苦涩的游戏,像一幅画,明亮的调子,恍惚的阴影,淹死的瞎朴子,老去的槐叔,消失的猪圈和牲口房,每一天都在缓慢变化的芳村……
  • 带着快乐去工作

    带着快乐去工作

    带着快乐去工作高尔基说过:“工作快乐,人生便是天堂;工作痛苦,人生便是地狱”。可见,工作在外面的生活中的重要作用。本书教你带着快乐去工作,只有工作快乐了,我们的生活才能充满阳光,我们才能带着快乐去生活。