信息安全产业破局在普及信息安全意识

security-the-future
IT领域的技术安全专家们通常不认为安全意识教育是信息安全管理体系的重点,教育员工似乎只是很简单的安全事务,并不需要多少安全方面的“硬”能力,信息安全高手的价值似乎应该在发现信息系统或流程中的安全漏洞。

另一方面,中国顶级黑客们却认为国内缺乏系统安全漏洞的专业挖掘者,实际上值得尊重的会独立挖掘漏洞并能能力进行设计和编写攻击程序的技术高手不超过5个。大多数都是在行业里混,简单讲都是只会简单编译利用代码的“脚本小孩儿”。

那规模庞大的地下黑产呢?无疑白帽子黑客并不屑于这些不讲道德的丑恶行径,技术高手们也不至于下流到骗广大小老百姓的血汗钱财。聪明的安全高手们一方面天赋异常,出生高贵;另一方面能洒脱到不受环境影响,十足的理想主义者。

中国在信息技术方面仍然在奋起直追,但创新环境仍然很落后,成功的准则是快速复制。信息安全领域方面,也是注重表面应用忽视基础研究,整个行业整个大环境如此,混迹于其中的安全从业者能有多大能耐有所突破有所建树有所不同呢?

我们不是打击国内计算机网络信息安全从业者的自信,我们缺乏的是基础理论研究和普世安全理念,核心的安全基础技术研究需要大量的投入,走出国门的大型跨国公司已经不再服于国际大玩家们在知识产权特别是专利权的压力而加大了研发力度,国内也在逐渐强化对知识产权的保护力度,相信在信息安全基础技术研究上中国会引来明媚的春天。

大环境的改善需要时间,从业人员不懂安全理论只知“按图索骥”、“照葫芦画瓢”地在安全应用层面瞎折腾的做法已经害人不浅,需要认真反省。倘若偏爱某家产品的防火墙管理员不懂访问控制理论,您能指望出入站安全规则得到正确的配置吗?再说了,五百家公司研发出五百个防火墙有本质的操作区别吗?昆明亭长朗然科技有限公司信息安全顾问James Dong接触了不少有识之士,大家都表达了几乎同样的观点和担忧,能改变这种现状的有效方法是普及信息安全基础理论知识。

普及信息安全基础理论知识说到底是在一定范围内进行信息安全意识教育培训以及各类宣传活动,这不仅利于个人和部门,更利于整个业务群体以及整个国家层面的产业升级大计。

简言之,掌握核心创新科技,占领丰富利润领域,需从安全意识教育抓起。让各个层面的使用者不仅了解到信息安全需要“如何”做,更要知道“为什么”要这样做。

移动科技及持续性威胁推动信息安全管理创新

大数据、云计算时代来临,CIO及IT总监经理们越来越发现要赶上变化响应时代潮流并不容易。

在整个IT团队中,总监经理们往往能站在业务及IT战略的高度看待IT未来的巨大变革,但是在具体的工作目标的制定和分解、以及战术的执行上会遇到困难,这是因为,新形式下,IT部门需要更多复合型以及实战型的人才。

传统的IT大分工,一个萝卜一个坑,让IT专业人员只需专注其相对狭小的领域,总监经理们便可轻易掌握全盘,传统的基础架构(数据中心、网络、通讯、语音、服务器)、应用程序(分析、开发、测试、运营)和最终用户支持(监控中心、客服中心、桌面支持)为主的几大主要职能在新技术的考验面前需要被重新构架。

简单举例来讲,企业要上无线终端应用,安全问题如何得到解决,需要三大部门协同探讨,如果没有跨部门工作经验的实施人员从中沟通协调和推进,即便项目能够完成,也往往会留下严重安全漏洞。

再举例讲,如果准备向云计算迁移,在如何迁移数据方面,应用程序部门会首当其冲,基础架构部门则要评估带宽需求和保证必要网络安全,而最终用户支持部门则要考虑对最终用户的影响,以便提供必要的用户操作培训,而CIO安全职能除了保障各系统安全之外,还要考虑诸如云服务的服务级别协议,安全法规遵循等等,甚至根据具体的案子,旧的数据中心、旧的服务器和应用程序的去留、监控和客户支持的流程变化等等都会随之而来。

窃取数据、进行破坏成为坏家伙们的主要动机,他们利用的不仅仅是网络基础架构和应用系统的安全弱点,更多是利用人性的弱点,比如借助社会工程学的网络钓鱼、电话诈骗和工作场所渗透等等,更有高级持续性威胁APT,一旦被盯上,几无逃脱可能。

CIO及IT总监经理们如何使IT战略与业务战略保持一致,如何顺应新形势的要求,如何才能获得复合性的人才,又如何应对新型的安全威胁呢?从外部雇佣高手或向员工提供交叉培训是必选之路,首先,让IT人员懂得基本的业务流程知识,让他们能用非技术的语言同业务部门员工进行沟通;其次,让不同IT子部门的经理主管们互相学习,采用交叉培训甚至轮岗的方式可以帮助强化沟通、发现问题和改进效率;最后,扩大T技术人员们知识领域,让他们的工作能力和经验可覆盖到周边职位,同时让他们互相切磋技艺,以便提高知识的全面性和提升动手操作的实践能力。

在结束之前,新的科技创新以及业务需求正在改变IT的组织架构,IT员工的角色和职责也需适应这种变化,一个萝卜一个坑、老死不相往来的时代已经完结,信息安全是所有员工的职责,各个职能的IT人员更需要加强信息安全理论知识的学习和实践经验的积累,向所有员工提供信息安全意识培训应该成为CIO和IT总监经理的重要任务。