大数据时代的大安全

big-security
大数据不仅成为互联网行业的热门词汇,更是目前信息化领域关注的创新技术焦点。

将信息系统应用于业务创新之时,不断产生的大量数据给传统IT管理带来挑战,特别是基于大数据的深度分析和有效利用,让IT重回业务创新流程的核心。IT初期建设之后的优化和改进在大数据时代朝气蓬勃,同时,如何有效利用大数据,将老旧的、不合时宜的、维护成本过高的信息系统顺利迁移到新的应用平台上呢?如何将安全威胁隔离出来呢?这是不少关注信息安全的IT管理者的头等大事儿。

通常关键性的行业如互联网、通讯、金融等领域拥有海量的数据,信息化程度也很高,性能问题不能一直靠简单增加服务器、网络设备及带宽来解决。高可用性的需求也时刻要求我们避免系统故障和停工时间。有效预知未来可能发生的安全事件,则是大数据时代最大的安全研究课题。

信息安全技术派可能喜欢搭建强大的信息系统来监控和侦测各信息系统的使用情况,并进行大量的条件设定,以便能通过使用大数据来实现我们所期望的大安全,进而让各类安全威胁能够被自动识别、预知、报告和进行高度关联式的响应。

偏执的信息安全技术派简单地将大安全想象成Hadoop版本的SOC,这不免有些天真的可爱。因为对于业务来讲,关心的更多的是界面和功能,对后台的深层次的技术东西,比如是用IBM,还是HP或Oracle的平台,业务部门的兴趣不大。昆明亭长朗然科技有限公司大数据安全观察员James Dong说:实际上,在后台技术方面,他们更愿意交给IT人员来做决定,当然业务部门的要求也很有道理,系统最好能够有很好的扩充性,以便满足业务不断发展的扩张的需求,此外便是价钱要合理,而且尽可能少花钱多办事儿。

那大安全如何办呢?信息安全关乎业务安全,这可是不能打折的。但是在业务眼中的信息安全是什么呢?防病毒防黑客?远不是。业务持续运行不中断,或意外中断后能快速恢复?有点道理。更重要的一点儿,业务安全期望IT安全的目标和战略能够满足到业务的目标和战略实现。

说到信息安全目标和战略,便是大数据时代大安全应该积极与其保持一致的,这不是夸夸其谈纸上谈兵来点虚妄的理论。在实践方面,大安全当然要跳出IT的思维圈子,也不仅仅是将传统的物理安全、生产安全、职业安全等纳入进来。

大安全,之所以要大,海纳百川,有容乃大。把安全做大的同时也是在创新,在安全创新方面,我们要想业务所想,急业务所急,细化业务安全目标与职责,通过大数据系统来驱动业务安全的实现。强化业务风险识别与监管、内控与合规、公司治理、防内幕交易、防腐败……

大安全不是搞一套监控信息系统的安全管理系统,而是将安全理念和安全控制内置到业务流程之中,比如在关键业务信息系统的审批和流向之中加入必要的控管措施,防止专权或渎职、防止太过于保守和太过于激进等等影响业务持续健康发展的安全隐患。

要让大安全得以成功实施,需要较多的沟通协调和人员培训。这是一项大工程,每家公司都不一样,所以需要量身定制的大安全培训解决方案。使用昆明亭长朗然科技有限公司的信息安全培训解决方案,客户可以获得物超所值的精致实用的而且贴身可靠的安全培训产品和服务。

适用性声明SoA

虽然适用性声明在ISMS中是至关重要的,并且附于认可的ISMS证书。适用性声明是一项科学态度,昆明亭长朗然科技有限公司信息安全管理顾问专员董志军补充说:针对风险评估结果,制定风险应对措施时,选择哪些控制措施,不选择哪些控制措施,控管结果可能会有差异。从科学角度讲,某些风险没有采取足够的控制措施,也是可以理解和接受的。但是总有人不明白,或者乘机捣乱,比如正好没采取控制措施的风险变成了事实。这时就不能随意说安全管理体系不行,或者安全管理者的水平不够。
从本文中,审计人员将开始确认是否有适当的控制措施部署到位和在运作之中,它的准备工作只能在风险评估计划完成,也就是风险处置计划制定完成时得到进行。
适用性声明是关于ISO 27001的附件A中的哪些控制适用于该组织,哪些不适用的声明。此外,它也可以包含来自其他来源的控制措施。

控制措施和附录A

标准中要求组织从ISO 27001的附件A中选择控制目标和控制项,这些已普遍被认为是一个组织所需要的,对这些控制的选择和排除需要有合理的解释。然而,它明确要求组织要彻底照章进行,并且表明,可以从其他的来源选择额外的控制。
ISO 27002提供了关于标准附件A中所列控制目标和部署的最佳实践。然而,一些组织可能需要做得比ISO 27002规定的要求更多,要多到何种程度,取决于其中技术和威胁的不断演进情况,毕竟ISO 27002的版本已经定稿、发布和更新。

控制

控制是安全漏洞的对策。正式的ISO 27002定义是“一种管理风险的措施,包括政策、程序、指引、实践或组织结构,它可以是一个行政的、技术的,管理的或法律的性质。”控制也用作“保障”或“对策”的代名词。
除了明知接受符合组织风险应对计划中关于风险接受准则要求的风险,以及通过合同或保险的方式转让风险之外,组织可以决定实施控制,以降低或减少风险。

残余风险

对每一项单独的风险提供全面所有的安全并不可能也不现实,但是可以通过将大多数风险控制到一个适当的水平以获得有效的安全,在这个水平管理层可接受剩余的风险。管理部门必须正式接受剩余的风险。

控制目标

从控制目标中选择控制。控制目标是一个组织企图来控制它的一些进程或资产,以及打算通过使用一些控制要达到的目的的声明。一个控制目标可能包含多项控制。
ISO 27001的附件A列出相应的控制目标,并列出要实现每项控制目标必需采用的最小控制措施。组织必须选择它的控制目标,以及选择相应的控制措施并执行,以便使它能够实现确定的目标。

安全事件响应计划

重要的是,在考虑控制时,可能出现的安全事故的检测也需要定义、考虑和计划。标准条文中要求实施控制措施以便“及时发现和响应安全事件”。实际上,在选择附录A所列的独立控制项时,应考虑包括需要搜集和保留哪些证据,控制的实施效果要得到什么样的测量。
关于实施效果的测量,要保证如下两点儿:
1.控制已得到实行,并得到有效地运作
2.如标准所要求的,每项风险都已经被降低到可接受的水平。实施控制过程中的任何错误,或执行过程中的失败,都能够被及时发现和得到及时的纠正,无论是通过自动或手动的方式,都能有效地减少或降低未来可能发生的任何风险到可接受的水平。

总之,SoA是一种科学,对于很多创新科技公司来讲,信息安全管理资源有限,要将资源用在关键的信息资产,比如核心部门和重要系统,列入到ISMS认证的范围之内,并采取尽可能全面综合的风险管控措施。