教你從容應(yīng)對網(wǎng)絡(luò)安全威脅 續(xù)
管理短視是網(wǎng)絡(luò)安全最大隱憂
短視，可能是很多CIO最不愿意承認，卻總是會造成致命打擊。病毒一下子讓企業(yè)網(wǎng)絡(luò)處于癱瘓狀態(tài)，造成的直接經(jīng)濟損失規(guī)模大的驚人?？闪钊速M解的是，眾多企業(yè)寧可花大把的錢購買服務(wù)器、交換機、防火墻，卻很少愿意去加強企業(yè)網(wǎng)絡(luò)的管理安全措施。對于一個信息化的企業(yè)來說，網(wǎng)絡(luò)信息安全不僅僅是一個技術(shù)問題，也是一個管理問題。在很多病毒或安全漏洞出現(xiàn)不久，通常就會有相應(yīng)的殺毒程序或者軟件補丁出現(xiàn)，但為什么還會讓熊貓這樣的病毒肆虐呢？
歸根結(jié)底還是因為很多企業(yè)沒有養(yǎng)成主動維護系統(tǒng)安全的習(xí)慣，同時也缺乏安全方面良好的管理機制。保證網(wǎng)絡(luò)系統(tǒng)安全的第一步，首先要做到重視安全管理，不要“坐以待斃”。防火墻等設(shè)備就如網(wǎng)絡(luò)上的一把鎖，它控制著訪問網(wǎng)絡(luò)的權(quán)限，只允許特許用戶進出網(wǎng)絡(luò)。當(dāng)然也不僅僅是在網(wǎng)絡(luò)設(shè)置防火墻，為了最有效地滿足網(wǎng)絡(luò)安全需求，還需要其它技術(shù)，如用戶驗證、虛擬專用網(wǎng)和入侵檢測。但更重要的是從管理和技術(shù)兩個角度結(jié)合起來推進網(wǎng)絡(luò)安全工作。
(1)網(wǎng)絡(luò)安全管理體系
隨著企業(yè)信息化建設(shè)的展開，網(wǎng)絡(luò)安全成為不得不面臨的嚴(yán)峻問題。安全體系的建立其實涉及到了管理和技術(shù)兩個層面，而管理層面的體系建設(shè)是首當(dāng)其沖的。技術(shù)上的建設(shè)和加強只是網(wǎng)絡(luò)安全的一方面，而且單純的實現(xiàn)技術(shù)不是目的，技術(shù)只是圍繞企業(yè)具體的工作業(yè)務(wù)來開展應(yīng)用。保障業(yè)務(wù)流程的網(wǎng)絡(luò)安全，從而進一步促進 IT在企業(yè)應(yīng)用層面的拓展，這才我們應(yīng)用安全技術(shù)最根本的目的。因此，“抓管理還是上技術(shù)”的最終定格為“三分技術(shù)、七分管理”，構(gòu)建一個健全的網(wǎng)絡(luò)安全管理體系是擺在企業(yè)面前的重要一環(huán)。
從早期的加密技術(shù)、數(shù)據(jù)備份、防病毒到近期網(wǎng)絡(luò)環(huán)境下的防火墻、入侵檢測、身份認證等等，新技術(shù)層出不窮，單純依靠技術(shù)和產(chǎn)品保障企業(yè)信息安全雖然起到了一定效果，但是復(fù)雜多變的安全威脅和隱患靠產(chǎn)品難以消除。我們認為：“企業(yè)要把網(wǎng)絡(luò)安全提升到管理的高度上實施，然后落實到技術(shù)層次上做好保障。”
網(wǎng)絡(luò)安全管理體系應(yīng)該如何架構(gòu)？BS7799安全管理體系標(biāo)準(zhǔn)無疑是一個很好的幫助。它最早由英國商務(wù)部推動，由BSI將其發(fā)展成為標(biāo)準(zhǔn)。BS7799共分兩部分，第一部分是信息安全管理實踐指南，第二部分是信息安全管理體系規(guī)范。換言之，第二部分告訴我們應(yīng)該做什么，第一部分則提供了一些如何做或者好做法的指導(dǎo)。
(2)網(wǎng)絡(luò)行為規(guī)范化管理
網(wǎng)絡(luò)行為的根本立足點，不是對設(shè)備的保護，也不是對數(shù)據(jù)的看守，而是規(guī)范企業(yè)員工網(wǎng)絡(luò)行為，這已經(jīng)上升到了對人的管理的階段，通過技術(shù)設(shè)備和規(guī)章制度的結(jié)合來指導(dǎo)、規(guī)范員工正確使用單位的網(wǎng)絡(luò)資源。
網(wǎng)絡(luò)安全的根本政策，一定要包含內(nèi)部的安全管理規(guī)范。許多企業(yè)花大成本買最好的防火墻，黑客或是熟悉該企業(yè)網(wǎng)絡(luò)環(huán)境的離職員工，還是有辦法繞過從墻外進來，這是因為沒有一套軟件可以在沒有網(wǎng)絡(luò)安全管理策略之下發(fā)揮作用。防火墻、防毒墻都是提供服務(wù)的工具之一，人，才是網(wǎng)絡(luò)安全最大的關(guān)鍵。CIO必須為網(wǎng)絡(luò)安全建立一套監(jiān)督與使用的管理程序，并且徹底實行。
(3)安全意識最重要
面對不斷襲來的安全威脅，除了購買安全產(chǎn)品以外，我們還應(yīng)該做些什么呢？這里需要指出：“安全意識最重要”。
安全設(shè)施的建立只是企業(yè)信息安全的第一步，如何在安全體系中有效徹底的貫徹安全制度，以及不斷深化全員安全意識才是關(guān)鍵所在。光依靠技術(shù)不能完全解決安全問題，因為過了一段時間，一些先進的技術(shù)可能就過時了，所以CIO應(yīng)該有安全意識，重視自己企業(yè)的安全措施。加強安全意識的培訓(xùn)，首先要集團的領(lǐng)導(dǎo)認識到網(wǎng)絡(luò)安全問題，另外也要對技術(shù)人員加強培訓(xùn)，統(tǒng)一認識。
這些安全措施包括，培養(yǎng)員工的安全意識，養(yǎng)成良好的上網(wǎng)習(xí)慣，比如及時打好系統(tǒng)補丁、不要瀏覽不良網(wǎng)站、不隨意下載安裝來歷不明的軟件等等;對相關(guān)的技術(shù)管理人員進行技能培訓(xùn)，對于重要數(shù)據(jù)一定要做好數(shù)據(jù)備份，否則會導(dǎo)致災(zāi)難性的后果。
其它確保網(wǎng)絡(luò)安全的有效措施
現(xiàn)在網(wǎng)絡(luò)安全可以說是關(guān)系到企業(yè)命運的大事，不管愿意不愿意CIO其中的一個職責(zé)就是要保證網(wǎng)絡(luò)安全。如果公司的信息系統(tǒng)脆弱不堪，CIO必須對此負責(zé)。那么，CIO應(yīng)該制定什么措施來履行這個職責(zé)呢？
(1)明確崗位職責(zé)，保障網(wǎng)絡(luò)安全
CIO重要責(zé)任之一是保障本公司網(wǎng)絡(luò)的安全、完整與可用性。這項工作不能外包出去，也責(zé)無旁貸，因此要在崗位職能上明確規(guī)定。CIO要有特許權(quán)，只要檢測到網(wǎng)絡(luò)安全違反行為，就要收集、分析與調(diào)查事件。例如職責(zé)上明確規(guī)定負責(zé)安全協(xié)調(diào)，確保影響網(wǎng)絡(luò)安全的職能是集成在業(yè)務(wù)流程過程中而不是獨立的任務(wù)。同時要進行評估網(wǎng)絡(luò)安全受到危及或有受到危及之嫌的每一個事件，并把網(wǎng)絡(luò)安全的質(zhì)量、健全性和可靠性通知和報告高層管理人員。此外，CIO還應(yīng)該指導(dǎo)開發(fā)人員，確保網(wǎng)絡(luò)安全成為IT系統(tǒng)設(shè)計不可或缺的一部分。
(2)力爭在網(wǎng)絡(luò)安全投入足夠預(yù)算
CIO要力爭并確保足夠資金投資于IT系統(tǒng)的安全項目。密切關(guān)注公司要為網(wǎng)絡(luò)安全劃撥一定金額的預(yù)算，以承擔(dān)安全成本，例如防病毒軟件、防火墻服務(wù)器、加密軟件、入侵檢測系統(tǒng)、集中安全管理等成本。公司高層主管有時會認為CIO對網(wǎng)絡(luò)安全過于大驚小怪。但CIO要清醒認識到：“至關(guān)重要的計算機設(shè)施出現(xiàn)安全問題造成嚴(yán)重損害的故障只是個時間問題。對于網(wǎng)絡(luò)安全，生于憂患，死于安樂的意識并不是傳說中的事情，擔(dān)憂有人對公司的網(wǎng)絡(luò)構(gòu)成危害的心態(tài)，并非總是基于想象中的恐懼。如果你想到有競爭對手希望你公司遭到危害，那么謹(jǐn)小慎微對生存而言也許絕對必要。
(3)定期進行網(wǎng)絡(luò)安全檢討會議
網(wǎng)絡(luò)安全目標(biāo)明確了之后，CIO應(yīng)當(dāng)就網(wǎng)絡(luò)安全問題定期地舉行檢討會議。一旦安全會議檢查到現(xiàn)有的業(yè)務(wù)運作存在網(wǎng)絡(luò)安全問題，或評估以往安全措施的執(zhí)行情況存在問題時，CIO就需要設(shè)立一個解決網(wǎng)絡(luò)安全的時間框架。每月進行安全討論聽上去好像很多，尤其當(dāng)公司各安全團隊是散布在不同的地區(qū)，但是CIO從中所獲得的回報是在當(dāng)月接下來的日子中可以確保公司網(wǎng)絡(luò)安全，以確保公司業(yè)務(wù)能處理日常工作。
網(wǎng)絡(luò)安全的更多內(nèi)容請閱讀：教你從容應(yīng)對網(wǎng)絡(luò)安全威脅
【編輯推薦】
