企业信息安全:不打无准备之仗

日期: 2014-11-02 作者:赵长林 来源:TechTarget中国

如果安全人员不理解企业数据的真正价值,就很难真正理解企业面临的真正威胁,也就无法真正理解企业的安全计划、安全过程和程序是否真正有效。 安全人员的任务可能非常艰巨:从诸多担心、不确定因素和似是而非的问题中抽丝剥茧,评估不同的风险状态和这些风险在企业发生的可能性。然后再确定如何使用必要的技术使这些风险最小化。 专注于数据 许多企业花费了太多时间用于工具,而对于数据的重视程度却远远不够。

与数据相比,技术相对简单。更困难的问题是理解数据,因为大楼、LAN、主机无法限制数据。 无论IT专业人员还是一般的业务专业人士都需要认识到企业需要部署控制和保护,以跟踪数据的流向和目的地。企业很容易在这方面犯错误。

当……

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

如果安全人员不理解企业数据的真正价值,就很难真正理解企业面临的真正威胁,也就无法真正理解企业的安全计划、安全过程和程序是否真正有效。

安全人员的任务可能非常艰巨:从诸多担心、不确定因素和似是而非的问题中抽丝剥茧,评估不同的风险状态和这些风险在企业发生的可能性。然后再确定如何使用必要的技术使这些风险最小化。

专注于数据

许多企业花费了太多时间用于工具,而对于数据的重视程度却远远不够。与数据相比,技术相对简单。更困难的问题是理解数据,因为大楼、LAN、主机无法限制数据。

无论IT专业人员还是一般的业务专业人士都需要认识到企业需要部署控制和保护,以跟踪数据的流向和目的地。企业很容易在这方面犯错误。当今的企业需要保护信息的基础架构。

但这仅仅是关于数据与技术的第一项措施。多数公司往往并不清楚威胁。许多企业发现,要证明“把钱花在不一定发生的潜在威胁上是合适的”非常困难。情况往往是只有在发生了危害后,企业才开始重新评估其安全策略。

风险的概念

从何处开始呢?要描绘企业信息风险的概况,安全管理者应从确认所有的关键业务过程及其工作方式开始。谁都无法保护并不了解的资产。安全管理者应调查企业的逻辑和物理资产,无论是数据、技术、人员还是过程,都必须包括在内。

安全管理员应与拥有这些过程涉及的人员交流,发现他们的风险要求和感受水平。例如,风险在何种情况下会产生危害?企业的敏感点(痛点)在哪里?是效率还是可用性?亦或是资产自身?这些痛点在不同的企业之间是不同的。

这个过程的一部分就是要理解企业所面临的不同风险状况。在这些状况中,哪些是真正可能发生的?安全管理者应关注哪些?如何应对这些状况,在哪一点上开始对付这种状况?由此,安全管理者才可以部署控制、功能、框架、过程、方法、人员进行应对。

企业需要一种信息管理策略,以帮助企业更好地确定和实施安全策略和过程。我们不妨将信息管理策略定义为:为了管理在企业中存在和流动的信息,企业将有益于公司的方法、策略、过程建立起来的一种集合。这种策略可以管理和监视数据。

信息管理与评估风险和决定适当的安全水平同样重要。

但管理信息远远不是通过技术保护信息那样简单。在安全问题上的策略和知识管理必须利用教育、培训等要素。

不仅仅是技术

在确认了适当的风险状况和理解了风险要求后,还要考虑到随着时间的推移,问题会发生变化。企业的风险要求需要重新调整。

安全管理员需要讲求实效,并更现实地认识这些风险。

在准备好策略、过程、工具后,评估其效能就要求企业具有安全实践和过程的专业知识,并理解公司的内部程序。这种评估可通过内部的专业人员或外部的审计人员实施。

当然,问题是,企业要理解这些过程,从而保证其内部安全策略的相关性和最新。安全是一个不断演变的问题,它不可一蹴而就,而是应当经常评估和修订,以应对不断变化的威胁。对于多数企业来说,这有可能是最大的困难。

如何评估

有专家建议在如下方面评估企业的安全准备水平,或评估当前状态与目标状态的差距:

1.安全文化。评估企业在安全意识培训中是否使用多种方法。
2.审计问题。评估企业是否将安全问题包含在项目计划和变更管理过程中。
3.合规管理。评估企业是否为合规管理过程明确地规定了责任和义务。
4.策略和过程管理。评估企业将物理安全整合到其它过程的程度。
5.事件管理。评估企业的事件监视是否包括了所有的安全方面。
6.风险分析。评估企业是否将风险分析的结果明确地传达给所有重大项目的项目团队。
7.漏洞管理。评估企业用安全策略和过程审计是否合规的频率。

作者

赵长林
赵长林

TechTarget中国特邀作者

相关推荐

  • 数据泄露后:是否应强制执行密码重置?

    据报道,在重大数据泄露事故后,雅虎公司信息安全团队希望公司强制对所有电子邮件账户进行密码重置,但被管理层拒绝。那么,对于遭遇数据泄露的公司,应强制执行密码重置吗?这种做法有什么缺点?

  • 多重认证并非固若金汤,谁是救命稻草?

    就像是所有的安全措施一样,多重认证并不是一种保护凭据的万全之策。但是,理解多重认证局限性的风险是减轻威胁的首要一步……

  • 加密后门是否让美国科技企业面临倒退?

    “为什么政府不能从过去的错误中吸取教训?”Herold问道,“他们应该听听专家们的意见:要求所有美国企业部署加密后门程序只会给政府领导以及相信政府的公众一种安全的错觉。”

  • 企业数据泄漏检测再思考

    多年来,企业已经投入大量资源来购买和部署新的安全产品以防止网络攻击,但却没有对数据泄露检测投资太多……