RSA总裁认为企业要以安全为先(2)

　企业要安全先行

　　当前，由于很多安全厂商的解决方案还缺乏协作，网络犯罪分子有很多可乘之机。尤其是企业在采用新技术的时候，更容易暴露在高风险之下。科维洛援引IDG研究和顶级信息安全官的建议，提醒企业在采用新技术时，一定要安全先行。

　　“很多企业日益成长为‘超级扩展型’企业，它们比以往任何时候，以更丰富的方式相互交换信息，” 科维洛说道，“新生的Web技术、云计算、虚拟化、社会网络、移动通信等技术方案的快速采用，正在迅速消融组织和信息资产的传统边界。当前，企业的安全战略必须要进行重大转变，以确保公司能够实现削减成本和完成收入的目标，同时不会造成新的、具有危险性的业务漏洞。”

　　科维洛的观点与IDG研究报告的结果一致，IDG针对收入超过10亿美元公司的100位顶级安全高级管理人员进行调查研究，该报告的结果显示，越来越多的企业热衷于全新的信息通信技术，但他们在部署这些技术的同时，却没有对关键的流程和数据提供足够的保护。IDG 报告的主要结果包括：

　　· 70%以上的被调查者认为新的Web技术和通信技术给信息交换带来了提升，使公司越来越向超级扩展型企业发展。多数被调查企业在过去24个月增加了虚拟化、移动技术、社会网络技术的使用，超过三分之一的被调查企业增加了云计算应用。

　　· 多数被调查的公司并没有采取任何战略对应用新技术所带来的风险进行评估。有些公司在使用新技术之前，安全团队甚至没有得到任何的通知。

　　超过30%的被调查公司已经有一部分应用或业务流程运行在云环境中，还有16%的被调查公司计划在未来的12个月内开始迁移到云环境中。在这些公司中，有三分之二还没有实施云计算环境下的安全策略。

　　· 10个受访者中有超过8个感觉到削减成本和创造收益的压力使它们大大增加了暴露在安全风险下的可能性，并在过去的18个月中经历过安全事件。被调查企业均表示，需要改变和提高企业的安全战略，以适应超级扩展型企业的现状。

　　与此同时，RSA业务创新安全理事会本周公布了它的第四份报告《构建大道：在前所未有的风险环境下打造“超级扩展型”企业》。这份研究报告从实际需求出发，强调了企业在面临预算和资源限制时，不让创新技术面临安全风险的重要性。这份报告显示，顶级公司的领导者在促进创新的同时，还不忽略企业的安全实践和政策。报告总结了世界顶级安全官们的指导意见，提供了创建企业全新安全模型的七个步骤。内容包括：

　　· 在保护环境中进行限制。更加有效地利用资源的方式。限制安全资源对不相干的信息资产、存储数据、以及设备进行保护的战略。通过在保护环境中进行信息资源的限制，企业同时还能够降低成本，减少风险并释放资源，以用于高优先级的项目。

　　· 取得竞争力。在经济艰难的时候，如果企业领导人感觉不能从内部安全组织中得到他们所需要的，那么转向外部服务供应商，而不将公司安全团队包含进来将会增加企业的总体风险。安全团队专注于企业服务的质量和效率，并清晰了解购买服务的价格。

　　· 积极利用相关领域的科技。信息安全部门必须认识到阻止新兴web和通信技术的使用是不可行的;相反他们必须推动这些技术的安全使用。企业应该从被动安全措施转变到预防性安全措施。

　　· 从保护载体转向保护数据。在超级扩展型企业的时代，越来越多的企业数据都是在不为企业所控制的载体中进行存储和处理的。例如，数据可能在服务供应商的设备中进行处理，或保留在员工使用的PDA中基。在这样的环境中，企业应该将信息安全的保护重点从设备转移到保护数据上来。

　　· 采用先进的安全监控技术。在今天的威胁环境中，安全团队必须对用来监测异常和恶意活动的方法进行升级。比如从基于签名的防病毒和黑名单方法转向基于行为的监测和白名单等更精确的技术。

　　· 协同创建行业标准。就安全技术人员、第三方供应商、以及新兴的技术建立统一的信息安全标准，已经到了一个关键的时候。

　　· 分享风险情报。为了使企业能够抵御国际黑客和日益复杂的欺诈网络，应该建立起一个涵盖企业，执法机关和政府的、强有力并具协作性的情报共享生态系统。