尽人皆知
现在几乎没有人会否认信息安全的重要性。在过去的一年Web2.0、云计算等开始广泛采用的同时，也出现了过多的关于Web安全的入侵事件，今年一季度发布的漏洞中有几乎一半都和Web应用有关。毫无疑问，在未来的几年内，组织要拿出一定量的投资用于信息安全，确保使用积极的安全策略应对不断出现的安全威胁。

尽管当前的经济环境仍然不是很明朗，不过还是有不少组织在安全项目加大了预算投入。增加预算投入的同时，组织也要考虑如何正确和聪明地花掉这些钱，安全团队可能想将更多钱用于加强安全控管的技术措施，高阶管理层则在考虑如何更有效能和效率地利用这些有限的资源来保护整个组织的安全。

误入歧途
是否应该马上询一下相关安全产品的报价，再决定该买什么产品呢？这是我们常用的做法，却经常也是迈出了重大错误的第一步。

柳暗花明
正确的起步是组织得先了解自己，不能清楚地认识自己，却被精明的厂商忽悠来忽悠去的例子虽然越来越少，却仍然屡见不鲜。要了解自己是最难的，担任相关角色的高级总监或执行总裁们往往会站在比较高的位置，他们将指出组织信息安全的战略方向、担负起相关的管理职责、设定相关的安全目标和需求，以及触发信息安全评估活动。

山穷水尽
1.传统的基于管理体系的评估方法往往更多的注重文件体系，看组织相关信息安全策略、标准及流程的文档及流程的执行记录，这种方法显然无法应对不断涌现的互联网威胁。

2.传统的基于技术的评估方法往往更多注重的是发现系统的漏洞，通过对关键Web应用系统进行安全扫描，以发现相关漏洞，但问题是这些扫描工具往往基于旧有的漏 洞库，新的漏洞总是被不断的发现出来，即使漏洞扫描的频率和更新速度可以提高，但是由于Web应用系统存在复杂性，而且每家Web网站的具体应用各不相同，所以通用的扫描工具往往不能很好的发现相关Web应用的漏洞。

3.传统的基于风险评估的方法要求组织鉴别出相关的信息资产并进行分类，然后对信息资产进行漏洞、威胁和风险的评估，这里的工作量非常大，而且往往会过于偏重“资产”，而忽略组织的运作的整体性和系统性，进而漏掉一些重要的业务流程、支撑系统和核心数据流。

亡羊补牢
那么，我们如何才能做到自知自明呢？或许您已经有了不错的想法——从攻击者动机的角度和业务持续性保障的角度出发，来审视我们的安全投资决策！

我们要及早了解攻击者的动机，而不仅仅是在出现了安全问题后才进行简单的漏洞修补和事故善后工作。此外，我们还需要做一些防范性措施，比如问问：为什么会有这次攻击？来自外部和内部的因素都有哪些？如果日后再次发生同样的攻击，当前的安全防范措施是否足以应对？如何能抵御类似的攻击？假如类似的攻击再次发生后，如何尽快恢复系统运作，以尽可能减少损失？

痛定思痛
找出需要进行安全保护的“资产”如主机系统，这种片面的想法可能导致安全保障项目的不够充分和全面。传统的观念认为需要加强网络和系统的保护，然而，当我们从业务持续性的角度出发，我们得出的结果却变成了保护商业机密“数据”的安全，确保正常业务流程不中断，保证商业“信誉”等等。

在评估自己的安全实力时，过于强调产品和技术是最大的误区，不当的配置和管理不仅不会对安全带来任何提升，相反会带来更多的阻碍和新的安全隐患。人和流程的因素是在进行安全投资时需谨慎考虑的：组织无疑需要加强安全能力，无论是队伍的安全专业资质和所有员工的安全意识，都有必要提升至相应的水准，以同目前的安全攻击状态相适应；此外，流程体系的加强也势在必行，三分技术、七分管理，建立和维护适当的安全运营流程，并将其贯彻落实，并不是简单找些模板做些更改就可以的了，组织需要在安全的成本和便利性之间进行平衡。

脱胎换骨
人的天性拒绝改变，但是在不断出现的安全威胁面前，固步自封显然只会让我们不进则退，新的理念、新的技术和新的服务不断涌现，了解外部世界正在发生的变化，多问问新兴事务能帮上我们什么？虚拟化、外包、咨询顾问、购置保险等方式越来越受到组织的欢迎，原因在于它们比传统的安全架构下的自行管理要更有竞争力，能使组织获得更好的安全同时也更能降低成本。

一言以蔽之
简单地总结一下，安全不应该实际上也不是一个单独的方面，它应该成为组织整体系统化运作的一部分，渗透进日常业务运作的各个环节。从业务持续性和攻击者的动机出发，知己知彼，方能百战不贻。道高一尺，魔高一丈，组织还需要不断地提升自己的安全实力以达到适当的应对水准。拥抱创新，通过将非组织核心价值的部分功能如安全管理功能进行剥离和外包，可使组织花费较少的投入而获得更高的安全回报，这无疑是一个聪明的信息安全投资战略选择。

随着一些国家政府签署新的关税措施，贸易摩擦加剧。多个行业面临高关税压力，企业如何应对关税风险？信息安全意识提升将是企业保护自身利益的关键一环。对此，昆明亭长朗然科技有限公司网络安全研究专员董志军补充说：这些事件反映出全球政治经济动态对国家间关系以及安全意识提升的重要性。如同一些国人被东南亚诈骗集团绑架一样，若不及时提高信息安全意识，企业很可能成为数据被“绑架”的目标。接下来，让我们通过几个案例分析，来探讨信息安全方面的应对之策。

案例一、互惠关税与信息安全风险

随着关税新政策的宣布，对外经济措施如互惠关税显得尤为重要。然而，这些经济决定往往伴随着信息安全风险增加。比如，因贸易战的局势紧张，企业和政府间的数据流通可能面临更高的网络攻击威胁。在此背景下，提升员工的信息安全意识至关重要。

案例分析：

某跨国公司因贸易战受到影响，被迫调整其供应链和数据管理策略。这一过程中，企业需要确保所有员工在处理敏感信息时的安全意识，防止外部攻击者利用可能存在的漏洞进行网络入侵。因此，该公司加强了对员工的安全培训，并实施了严格的日常监控和运维制度。

建议：

1. 持续教育与培训： 定期组织信息安全意识提升活动，确保员工了解最新的网络威胁及防范策略。
2. 完善监管制度： 通过技术手段和内部政策加强对敏感数据访问的控制，以减少信息泄露风险。
3. 应急响应计划： 准备详细的网络安全事件响应方案，确保在遭受攻击时能够迅速有效地进行处置和恢复。

案例二、贸易政策变动对技术公司影响

随着贸易政策的调整，科技公司特别是那些依赖国际市场的企业需要关注其信息安全策略。在面临新的经济环境下，企业必须不断审视和强化其内部网络安全措施。

案例分析：

一家科技公司因美中贸易政策变动而重新评估了其供应链安全性。该公司决定提升员工对信息保护的重视，特别是在国际数据传输和本地数据存储方面。企业通过实施多层次的网络防火墙、加密技术以及严格的权限管理措施来增强信息安全。

建议：

1. 供应链安全审计： 定期对外部合作伙伴进行安全性评估，确保其符合公司标准。
2. 加密与访问控制： 使用先进的加密技术和多因素认证来保护数据传输，并限制对敏感信息的访问。
3. 跨境数据管理： 在遵守各国法律法规的基础上，采取最佳实践以确保国际间数据传递的安全性。

案例三、全球政治紧张局势下的网络防护

全球贸易和外交政策的变化常伴随着地缘政治冲突，这种背景下，国家与企业都需加强信息安全保障。在相关国家之间的紧张关系中，网络攻击可能成为一种新型威胁。

案例分析：

在电诈集团绑架问题等复杂外交议题上，政府与企业需提高对网络间谍活动的警觉性。通过增强信息安全意识和建立防御机制，他们能够有效抵御潜在的网络攻击。

建议：

1. 国际合作： 与其他国家共享情报和最佳实践，提高全球范围内的信息安全水平。
2. 公私部门联合行动： 政府和企业应紧密合作，共同开发针对新威胁的防御策略。
3. 技术创新与投资： 持续投资于网络安全研究，不断推进相关技术的创新和应用。

案例四：动荡时期员工故意泄密防范

背景：

2018年，某公司发现商业机密遭到泄露。调查显示，一名内部员工将新品设计和生产流程等关键信息泄露给了竞争对手，该员工已被解雇。

案例分析：

此事件突显了企业在信息安全意识培训方面的不足，以及内部员工的潜在风险。在全球政治经济形势复杂多变的背景下，企业面临的商业间谍和信息泄露风险日益增加。

建议：

为了应对内外部的信息安全威胁，企业应采取以下综合性措施：

1. 加强内部安全防护：

• 提高网络防护水平： 加强对员工电脑、移动设备及服务器的管理和控制，实施严格的访问权限管理。
• 完善管理制度体系： 建立健全的信息安全管理条例，明确数据分级分类保护责任，定期开展内部审计，及时发现并整改问题。
• 定期进行网络安全扫描： 定期（每周甚至每日）对网络进行全面扫描，查找并解决潜在漏洞和弱点。
• 强化信息安全意识培训： 将信息安全培训作为新员工入职培训和老员工例行培训的重要组成部分，提高员工对网络安全威胁的识别和应对能力。培训内容应包括：如何识别钓鱼邮件和欺诈信息；如何安全使用公司网络和设备；如何保护商业机密和敏感信息；信息安全事件报告流程。
• 完善应急响应计划： 制定详细的信息安全事件应急响应计划，明确各个环节的责任人和处理流程，定期进行演练，确保在发生网络攻击或数据泄露事件时能够迅速启动，最大程度地减少损失。
• 员工行为监控与审计： 实施行为监控，及时发现异常操作，结合日志审计，还原事件过程，追溯责任。

2. 加强外部风险管理：

• 强化与合作伙伴的信息安全合作： 建立信息共享机制，及时掌握合作伙伴的安全状况，确保双方的信息安全措施能够有效对接。
• 签订信息安全保护协议： 与合作伙伴签订明确的信息安全保护协议，明确双方在数据泄露事件中应当承担的责任。
• 关注外部威胁情报： 密切关注外部安全威胁情报，了解最新的攻击手段和漏洞信息，及时更新安全防护措施。
• 边界保护增强： 建立更加完善的防火墙、入侵检测/防御系统（IDS/IPS）和Web应用防火墙（WAF），以便及早发现并阻止来自外部网络的威胁。

3. 加强合作与协同：

• 与政府部门协调合作： 积极参与政府主导的信息安全联防体系，共享威胁情报，共同应对网络安全挑战。
• 行业信息共享： 参与行业信息安全联盟，与其他企业共享经验和最佳实践。

结论：

在当前复杂多变的国际环境下，信息安全已成为企业生存和发展的关键保障。企业应充分认识到信息安全的重要性，从内部管理和外部风险防范两方面入手，不断完善信息安全体系，提高应对网络安全威胁的能力。同时，加强与政府、行业以及合作伙伴的合作，共同构建安全可靠的网络空间。

总结：企业必须将信息安全视为一项战略任务，持续投入，不断提升自身的防御能力。只有这样，才能在日益严峻的网络安全形势下，保护自身的商业机密和核心利益，实现可持续发展。

昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构提升人员的安全、保密与合规意识，我们创作了大量的宣传教育素材资源，欢迎有兴趣的客户及伙伴联系我们，预览作品并洽谈采购与合作。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898