尽人皆知
现在几乎没有人会否认信息安全的重要性。在过去的一年Web2.0、云计算等开始广泛采用的同时，也出现了过多的关于Web安全的入侵事件，今年一季度发布的漏洞中有几乎一半都和Web应用有关。毫无疑问，在未来的几年内，组织要拿出一定量的投资用于信息安全，确保使用积极的安全策略应对不断出现的安全威胁。

尽管当前的经济环境仍然不是很明朗，不过还是有不少组织在安全项目加大了预算投入。增加预算投入的同时，组织也要考虑如何正确和聪明地花掉这些钱，安全团队可能想将更多钱用于加强安全控管的技术措施，高阶管理层则在考虑如何更有效能和效率地利用这些有限的资源来保护整个组织的安全。

误入歧途
是否应该马上询一下相关安全产品的报价，再决定该买什么产品呢？这是我们常用的做法，却经常也是迈出了重大错误的第一步。

柳暗花明
正确的起步是组织得先了解自己，不能清楚地认识自己，却被精明的厂商忽悠来忽悠去的例子虽然越来越少，却仍然屡见不鲜。要了解自己是最难的，担任相关角色的高级总监或执行总裁们往往会站在比较高的位置，他们将指出组织信息安全的战略方向、担负起相关的管理职责、设定相关的安全目标和需求，以及触发信息安全评估活动。

山穷水尽
1.传统的基于管理体系的评估方法往往更多的注重文件体系，看组织相关信息安全策略、标准及流程的文档及流程的执行记录，这种方法显然无法应对不断涌现的互联网威胁。

2.传统的基于技术的评估方法往往更多注重的是发现系统的漏洞，通过对关键Web应用系统进行安全扫描，以发现相关漏洞，但问题是这些扫描工具往往基于旧有的漏 洞库，新的漏洞总是被不断的发现出来，即使漏洞扫描的频率和更新速度可以提高，但是由于Web应用系统存在复杂性，而且每家Web网站的具体应用各不相同，所以通用的扫描工具往往不能很好的发现相关Web应用的漏洞。

3.传统的基于风险评估的方法要求组织鉴别出相关的信息资产并进行分类，然后对信息资产进行漏洞、威胁和风险的评估，这里的工作量非常大，而且往往会过于偏重“资产”，而忽略组织的运作的整体性和系统性，进而漏掉一些重要的业务流程、支撑系统和核心数据流。

亡羊补牢
那么，我们如何才能做到自知自明呢？或许您已经有了不错的想法——从攻击者动机的角度和业务持续性保障的角度出发，来审视我们的安全投资决策！

我们要及早了解攻击者的动机，而不仅仅是在出现了安全问题后才进行简单的漏洞修补和事故善后工作。此外，我们还需要做一些防范性措施，比如问问：为什么会有这次攻击？来自外部和内部的因素都有哪些？如果日后再次发生同样的攻击，当前的安全防范措施是否足以应对？如何能抵御类似的攻击？假如类似的攻击再次发生后，如何尽快恢复系统运作，以尽可能减少损失？

痛定思痛
找出需要进行安全保护的“资产”如主机系统，这种片面的想法可能导致安全保障项目的不够充分和全面。传统的观念认为需要加强网络和系统的保护，然而，当我们从业务持续性的角度出发，我们得出的结果却变成了保护商业机密“数据”的安全，确保正常业务流程不中断，保证商业“信誉”等等。

在评估自己的安全实力时，过于强调产品和技术是最大的误区，不当的配置和管理不仅不会对安全带来任何提升，相反会带来更多的阻碍和新的安全隐患。人和流程的因素是在进行安全投资时需谨慎考虑的：组织无疑需要加强安全能力，无论是队伍的安全专业资质和所有员工的安全意识，都有必要提升至相应的水准，以同目前的安全攻击状态相适应；此外，流程体系的加强也势在必行，三分技术、七分管理，建立和维护适当的安全运营流程，并将其贯彻落实，并不是简单找些模板做些更改就可以的了，组织需要在安全的成本和便利性之间进行平衡。

脱胎换骨
人的天性拒绝改变，但是在不断出现的安全威胁面前，固步自封显然只会让我们不进则退，新的理念、新的技术和新的服务不断涌现，了解外部世界正在发生的变化，多问问新兴事务能帮上我们什么？虚拟化、外包、咨询顾问、购置保险等方式越来越受到组织的欢迎，原因在于它们比传统的安全架构下的自行管理要更有竞争力，能使组织获得更好的安全同时也更能降低成本。

一言以蔽之
简单地总结一下，安全不应该实际上也不是一个单独的方面，它应该成为组织整体系统化运作的一部分，渗透进日常业务运作的各个环节。从业务持续性和攻击者的动机出发，知己知彼，方能百战不贻。道高一尺，魔高一丈，组织还需要不断地提升自己的安全实力以达到适当的应对水准。拥抱创新，通过将非组织核心价值的部分功能如安全管理功能进行剥离和外包，可使组织花费较少的投入而获得更高的安全回报，这无疑是一个聪明的信息安全投资战略选择。