移动科技及持续性威胁推动信息安全管理创新

大数据、云计算时代来临,CIO及IT总监经理们越来越发现要赶上变化响应时代潮流并不容易。

在整个IT团队中,总监经理们往往能站在业务及IT战略的高度看待IT未来的巨大变革,但是在具体的工作目标的制定和分解、以及战术的执行上会遇到困难,这是因为,新形式下,IT部门需要更多复合型以及实战型的人才。

传统的IT大分工,一个萝卜一个坑,让IT专业人员只需专注其相对狭小的领域,总监经理们便可轻易掌握全盘,传统的基础架构(数据中心、网络、通讯、语音、服务器)、应用程序(分析、开发、测试、运营)和最终用户支持(监控中心、客服中心、桌面支持)为主的几大主要职能在新技术的考验面前需要被重新构架。

简单举例来讲,企业要上无线终端应用,安全问题如何得到解决,需要三大部门协同探讨,如果没有跨部门工作经验的实施人员从中沟通协调和推进,即便项目能够完成,也往往会留下严重安全漏洞。

再举例讲,如果准备向云计算迁移,在如何迁移数据方面,应用程序部门会首当其冲,基础架构部门则要评估带宽需求和保证必要网络安全,而最终用户支持部门则要考虑对最终用户的影响,以便提供必要的用户操作培训,而CIO安全职能除了保障各系统安全之外,还要考虑诸如云服务的服务级别协议,安全法规遵循等等,甚至根据具体的案子,旧的数据中心、旧的服务器和应用程序的去留、监控和客户支持的流程变化等等都会随之而来。

窃取数据、进行破坏成为坏家伙们的主要动机,他们利用的不仅仅是网络基础架构和应用系统的安全弱点,更多是利用人性的弱点,比如借助社会工程学的网络钓鱼、电话诈骗和工作场所渗透等等,更有高级持续性威胁APT,一旦被盯上,几无逃脱可能。

CIO及IT总监经理们如何使IT战略与业务战略保持一致,如何顺应新形势的要求,如何才能获得复合性的人才,又如何应对新型的安全威胁呢?从外部雇佣高手或向员工提供交叉培训是必选之路,首先,让IT人员懂得基本的业务流程知识,让他们能用非技术的语言同业务部门员工进行沟通;其次,让不同IT子部门的经理主管们互相学习,采用交叉培训甚至轮岗的方式可以帮助强化沟通、发现问题和改进效率;最后,扩大T技术人员们知识领域,让他们的工作能力和经验可覆盖到周边职位,同时让他们互相切磋技艺,以便提高知识的全面性和提升动手操作的实践能力。

在结束之前,新的科技创新以及业务需求正在改变IT的组织架构,IT员工的角色和职责也需适应这种变化,一个萝卜一个坑、老死不相往来的时代已经完结,信息安全是所有员工的职责,各个职能的IT人员更需要加强信息安全理论知识的学习和实践经验的积累,向所有员工提供信息安全意识培训应该成为CIO和IT总监经理的重要任务。

大数据时代的大安全

big-security
大数据不仅成为互联网行业的热门词汇,更是目前信息化领域关注的创新技术焦点。

将信息系统应用于业务创新之时,不断产生的大量数据给传统IT管理带来挑战,特别是基于大数据的深度分析和有效利用,让IT重回业务创新流程的核心。IT初期建设之后的优化和改进在大数据时代朝气蓬勃,同时,如何有效利用大数据,将老旧的、不合时宜的、维护成本过高的信息系统顺利迁移到新的应用平台上呢?如何将安全威胁隔离出来呢?这是不少关注信息安全的IT管理者的头等大事儿。

通常关键性的行业如互联网、通讯、金融等领域拥有海量的数据,信息化程度也很高,性能问题不能一直靠简单增加服务器、网络设备及带宽来解决。高可用性的需求也时刻要求我们避免系统故障和停工时间。有效预知未来可能发生的安全事件,则是大数据时代最大的安全研究课题。

信息安全技术派可能喜欢搭建强大的信息系统来监控和侦测各信息系统的使用情况,并进行大量的条件设定,以便能通过使用大数据来实现我们所期望的大安全,进而让各类安全威胁能够被自动识别、预知、报告和进行高度关联式的响应。

偏执的信息安全技术派简单地将大安全想象成Hadoop版本的SOC,这不免有些天真的可爱。因为对于业务来讲,关心的更多的是界面和功能,对后台的深层次的技术东西,比如是用IBM,还是HP或Oracle的平台,业务部门的兴趣不大。昆明亭长朗然科技有限公司大数据安全观察员James Dong说:实际上,在后台技术方面,他们更愿意交给IT人员来做决定,当然业务部门的要求也很有道理,系统最好能够有很好的扩充性,以便满足业务不断发展的扩张的需求,此外便是价钱要合理,而且尽可能少花钱多办事儿。

那大安全如何办呢?信息安全关乎业务安全,这可是不能打折的。但是在业务眼中的信息安全是什么呢?防病毒防黑客?远不是。业务持续运行不中断,或意外中断后能快速恢复?有点道理。更重要的一点儿,业务安全期望IT安全的目标和战略能够满足到业务的目标和战略实现。

说到信息安全目标和战略,便是大数据时代大安全应该积极与其保持一致的,这不是夸夸其谈纸上谈兵来点虚妄的理论。在实践方面,大安全当然要跳出IT的思维圈子,也不仅仅是将传统的物理安全、生产安全、职业安全等纳入进来。

大安全,之所以要大,海纳百川,有容乃大。把安全做大的同时也是在创新,在安全创新方面,我们要想业务所想,急业务所急,细化业务安全目标与职责,通过大数据系统来驱动业务安全的实现。强化业务风险识别与监管、内控与合规、公司治理、防内幕交易、防腐败……

大安全不是搞一套监控信息系统的安全管理系统,而是将安全理念和安全控制内置到业务流程之中,比如在关键业务信息系统的审批和流向之中加入必要的控管措施,防止专权或渎职、防止太过于保守和太过于激进等等影响业务持续健康发展的安全隐患。

要让大安全得以成功实施,需要较多的沟通协调和人员培训。这是一项大工程,每家公司都不一样,所以需要量身定制的大安全培训解决方案。使用昆明亭长朗然科技有限公司的信息安全培训解决方案,客户可以获得物超所值的精致实用的而且贴身可靠的安全培训产品和服务。