擦亮眼睛,走出迷茫,信息安全投资黄金通用指南

尽人皆知
现在几乎没有人会否认信息安全的重要性。在过去的一年Web2.0、云计算等开始广泛采用的同时,也出现了过多的关于Web安全的入侵事件,今年一季度发布的漏洞中有几乎一半都和Web应用有关。毫无疑问,在未来的几年内,组织要拿出一定量的投资用于信息安全,确保使用积极的安全策略应对不断出现的安全威胁。

尽管当前的经济环境仍然不是很明朗,不过还是有不少组织在安全项目加大了预算投入。增加预算投入的同时,组织也要考虑如何正确和聪明地花掉这些钱,安全团队可能想将更多钱用于加强安全控管的技术措施,高阶管理层则在考虑如何更有效能和效率地利用这些有限的资源来保护整个组织的安全。

误入歧途
是否应该马上询一下相关安全产品的报价,再决定该买什么产品呢?这是我们常用的做法,却经常也是迈出了重大错误的第一步。

柳暗花明
正确的起步是组织得先了解自己,不能清楚地认识自己,却被精明的厂商忽悠来忽悠去的例子虽然越来越少,却仍然屡见不鲜。要了解自己是最难的,担任相关角色的高级总监或执行总裁们往往会站在比较高的位置,他们将指出组织信息安全的战略方向、担负起相关的管理职责、设定相关的安全目标和需求,以及触发信息安全评估活动。

山穷水尽
1.传统的基于管理体系的评估方法往往更多的注重文件体系,看组织相关信息安全策略、标准及流程的文档及流程的执行记录,这种方法显然无法应对不断涌现的互联网威胁。

2.传统的基于技术的评估方法往往更多注重的是发现系统的漏洞,通过对关键Web应用系统进行安全扫描,以发现相关漏洞,但问题是这些扫描工具往往基于旧有的漏 洞库,新的漏洞总是被不断的发现出来,即使漏洞扫描的频率和更新速度可以提高,但是由于Web应用系统存在复杂性,而且每家Web网站的具体应用各不相同,所以通用的扫描工具往往不能很好的发现相关Web应用的漏洞。

3.传统的基于风险评估的方法要求组织鉴别出相关的信息资产并进行分类,然后对信息资产进行漏洞、威胁和风险的评估,这里的工作量非常大,而且往往会过于偏重“资产”,而忽略组织的运作的整体性和系统性,进而漏掉一些重要的业务流程、支撑系统和核心数据流。

亡羊补牢
那么,我们如何才能做到自知自明呢?或许您已经有了不错的想法——从攻击者动机的角度和业务持续性保障的角度出发,来审视我们的安全投资决策!

我们要及早了解攻击者的动机,而不仅仅是在出现了安全问题后才进行简单的漏洞修补和事故善后工作。此外,我们还需要做一些防范性措施,比如问问:为什么会有这次攻击?来自外部和内部的因素都有哪些?如果日后再次发生同样的攻击,当前的安全防范措施是否足以应对?如何能抵御类似的攻击?假如类似的攻击再次发生后,如何尽快恢复系统运作,以尽可能减少损失?

痛定思痛
找出需要进行安全保护的“资产”如主机系统,这种片面的想法可能导致安全保障项目的不够充分和全面。传统的观念认为需要加强网络和系统的保护,然而,当我们从业务持续性的角度出发,我们得出的结果却变成了保护商业机密“数据”的安全,确保正常业务流程不中断,保证商业“信誉”等等。

在评估自己的安全实力时,过于强调产品和技术是最大的误区,不当的配置和管理不仅不会对安全带来任何提升,相反会带来更多的阻碍和新的安全隐患。人和流程的因素是在进行安全投资时需谨慎考虑的:组织无疑需要加强安全能力,无论是队伍的安全专业资质和所有员工的安全意识,都有必要提升至相应的水准,以同目前的安全攻击状态相适应;此外,流程体系的加强也势在必行,三分技术、七分管理,建立和维护适当的安全运营流程,并将其贯彻落实,并不是简单找些模板做些更改就可以的了,组织需要在安全的成本和便利性之间进行平衡。

脱胎换骨
人的天性拒绝改变,但是在不断出现的安全威胁面前,固步自封显然只会让我们不进则退,新的理念、新的技术和新的服务不断涌现,了解外部世界正在发生的变化,多问问新兴事务能帮上我们什么?虚拟化、外包、咨询顾问、购置保险等方式越来越受到组织的欢迎,原因在于它们比传统的安全架构下的自行管理要更有竞争力,能使组织获得更好的安全同时也更能降低成本。

一言以蔽之
简单地总结一下,安全不应该实际上也不是一个单独的方面,它应该成为组织整体系统化运作的一部分,渗透进日常业务运作的各个环节。从业务持续性和攻击者的动机出发,知己知彼,方能百战不贻。道高一尺,魔高一丈,组织还需要不断地提升自己的安全实力以达到适当的应对水准。拥抱创新,通过将非组织核心价值的部分功能如安全管理功能进行剥离和外包,可使组织花费较少的投入而获得更高的安全回报,这无疑是一个聪明的信息安全投资战略选择。

infosec-investment

信息安全体系中的人员教育要素及实践探索

在保护网络安全方面,大多数信息安全管理者倾向于只使用访问控制防火墙、恶意软件防范、敏感数据加密、安全漏洞评估与管理、客户信息访问记录等安全措施,通常会忽略一个明显的安全漏洞,就是最终用户的弱点。对此,昆明亭长朗然科技有限公司网络安全观察员董志军表示:传统的网络基础架构安全体系已经非常成熟,这是因为很多组织机构已经投资了尖端的安全软件,并且拥有了出色的IT人才。不过,网络的连通性越来越强,最终用户可以借助强大的网络终端设备,随时随地连接到信息系统、获得并处理信息,这给传统的网络安全架构体系带来新的挑战,并非强化终端计算设备的安全管理就可以解决的,近来,网络钓鱼诈骗、社会工程攻击等等都是很多企业入侵事件的原因。

用户无疑是网络安全防范体系中最薄弱的环节,不过话说回来,也可能是最大的财富。网络大神通常说:在安全性方面,用户既是最大的资产,也是最薄弱的环节。用户了解遵循的流程和策略以及被忽略的流程和策略的真实情况,他们可以成为衡量安全措施有效性的一个很好的指数标和晴雨表。

教育最终用户关于他们在组织安全最佳实践中的作用是加强安全策略的最有效方法之一。为什么网络安全培训教育至关重要呢?有几个原因。技术几乎融入了现代生活的各个方面,包括我们的工作、电话、汽车到房屋。随着智能技术的发展,网络犯罪对我们的生活产生巨大影响的方式急剧增加。不幸的是,问题的范围常常被忽视。这是因为,当我们想到网络犯罪和黑客攻击时,往往会想到是上了全国头条新闻的坏事,例如大规模的网站入侵、身份盗窃和股票操纵。实际上,网络犯罪有无数种方式可以影响人们的个人和商业生活,并且必须意识到,这些犯罪的最严重后果并不总是金钱损失。

想象在不久的将来,大多数人都拥有自动驾驶汽车。再想象一下,即使其中一家汽车公司的网络安全受到破坏,也可能造成昂贵又致命的潜在损害。在技​​术不断以指数级增长的世界中,更相关的问题是,网络安全意识培训该如何进入到组织机构和社会大众,以便引起全民的重视?全国层面的网络安全宣传周流于形式,目标受众往往是没有信息基础的中老年人,缺乏有深度的内容。

昆明亭长朗然科技有限公司开发了大量的安全意识课程,该课程涵盖从如何识别最终用户最常见的威胁到使用强密码到与BYOD相关的风险以及如何防止常见安全漏洞的所有内容。我们将课程框架的重点放在最终用户面临的持续的日常威胁以及如何应对这些威胁上,并结合了动手学习。例如,我们希望最终用户知道网络钓鱼电子邮件是什么样子,以及他们如何检查邮件的的合法性以识别出那些社会工程手段。最终用户在应该了解最佳实践背后的原理时积极参与组织的安全策略,而不是死板地遵循IT安全部门下达的命令。

安全意识教育是双向的,有效的安全教育需要定期的沟通,并且必须共享信息,使安全性对话成为日常业务的一部分可以帮助最终用户理解安全性是每个人都应该关注的问题。通过发送定期的电子邮件公告或时事通讯,并提供更正式的基于计算机或讲师指导的教育和课程,将大大增强沟通的频率和效果。此外,还可以使宣教内容具有针对性,适用于人们的家庭生活,这样,安全意识信息才更容易被理解、接受和保留。

通常来讲,每年进行一次大型的全面的基于在线课程学习的活动,加之每月定期的安全公告或知识更新,每季度混合使用互动的安全测试及教学游戏,加之安全检查及整改行动,即可以达到良好的安全意识沟通效果。员工们即拥有了全面的知识体系并保持年度更新,又能了解到近期的安全态势和吸取安全事故原因,切能在实际工作中加以践行。

总之,人员是网络安全防范体系中的第一道防线,技术往往是最后一道防线。在技术控管方面,应该采用防病毒、反垃圾邮件和数据丢失防护解决方案等等,来监视所有的通信渠道包括电子邮件、网络浏览甚至所有终端设备上的关键信息丢失。不过,永远记住,信息安全管理是基于人员教育,作业流程和技术控管的解决方案的组合,只有三者紧密结合,方可帮助组织最大程度地降低其信息安全风险。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898