信息安全行業(yè)現(xiàn)在很熱門，因為這個行業(yè)越來越不行。各種數(shù)據(jù)泄露事故和大量丟失數(shù)據(jù)表明攻擊者正在大獲全勝，那么，信息安全應(yīng)該如何重新調(diào)整來贏得這場戰(zhàn)爭呢?

上個月，在CDM Media主辦的CIO峰會中，SafeNet公司的首席戰(zhàn)略官Tsion Gonen在其名為“信息安全的中年危機(jī)與你的未來”的主題演講中公然承認(rèn)，“我們正在失去這場戰(zhàn)爭”。

大量數(shù)據(jù)泄露事故的好處是讓信息安全行業(yè)處在聚光燈下，促使每個人都在積極尋找最具創(chuàng)造性的解決方案來應(yīng)對信息安全問題。

“信息安全行業(yè)現(xiàn)在很熱門，因為這個行業(yè)越來越不行，”Gonen稱，“去年1800家網(wǎng)絡(luò)安全初創(chuàng)公司成立，這正是受這種趨勢所推動。”

根據(jù)Cybersecurity Ventures稱，“根據(jù)Gartner的預(yù)測，在2014年，全球信息安全支出達(dá)到711億美元，數(shù)據(jù)丟失防護(hù)領(lǐng)域的增長最快，達(dá)到18.9%，而2015年的整體信息安全支出預(yù)計將增長8.2%，達(dá)到769億美元。”

如果說這個行業(yè)正在“敗落”，那么為什么還有這么多支出呢?

因為威脅仍然存在，并且在不斷變化，企業(yè)依然非常需要安全解決方案。

由于這種高需求，企業(yè)很愿意投資于解決方案工具。因此，安全管理員需要專注于B計劃。在信息安全領(lǐng)域，A計劃是阻止信息丟失以及防止未經(jīng)授權(quán)的訪問，而現(xiàn)在A計劃已經(jīng)失效。

當(dāng)1995年防火墻問世時，它催生了信息安全產(chǎn)業(yè)，當(dāng)時該行業(yè)的重點是保護(hù)外圍和防止數(shù)據(jù)泄露事故，而現(xiàn)在已經(jīng)完全不是這樣。

B計劃包括哪些內(nèi)容呢?

為了幫助企業(yè)考慮需要保護(hù)的不同地方，Gonen稱，“如果我想保護(hù)我的家庭，抵御入侵者，我應(yīng)該把最強(qiáng)的防御部署在哪里呢?應(yīng)該是我孩子們的房間，你知道在你的環(huán)境中‘孩子的房間’在哪里，因為那就是你數(shù)據(jù)庫管理員(DBA)在的地方。”

“部署適當(dāng)?shù)臏贤ㄓ媱潱?rdquo;Gonen稱，“能夠回答人們想知道的前兩個問題：發(fā)生了什么事?他們拿走了什么?在數(shù)據(jù)泄露事故中，控制影響的方法是加密一切信息，并且保存密鑰。”

“你知道他們拿走了什么，他們拿走了信用卡號碼的最后四位數(shù)字，”Gonen稱，“這有什么用呢?任何數(shù)據(jù)的最后四位數(shù)能做什么呢?”Gonen列舉了他手機(jī)和社保號的最后四位數(shù)字來強(qiáng)調(diào)他的觀點，“其他12位數(shù)字加密了，那么，這四個數(shù)字就沒有用。”

B計劃是接受攻擊者可獲得未經(jīng)授權(quán)的訪問，但安全的關(guān)鍵在于確保他們無法真正利用他們竊取的數(shù)據(jù)。

為了逆轉(zhuǎn)信息安全的局勢，企業(yè)需要作出改變，心態(tài)需要轉(zhuǎn)變，安全管理員需要開始說“是”，業(yè)務(wù)需要轉(zhuǎn)變，我們應(yīng)該停止說“不”，因為他們會找到有人說“是”。

不過，對一切事情說“是”的想法讓人很緊張，特別是當(dāng)人們試圖阻止對數(shù)據(jù)的未經(jīng)授權(quán)訪問時。“yes和no之間的道路是知道，”Gonen稱(+微信關(guān)注網(wǎng)絡(luò)世界)，“腦子里有架構(gòu)，并構(gòu)建解決方案，讓他們知道所涉及的風(fēng)險，讓他們來作出決定。”

Gartner公司研究副總裁Earl Perkins同意Gonen的說法，并指出，“現(xiàn)在，變化的速度和威脅水平已經(jīng)開始崩潰，”他認(rèn)為企業(yè)需要轉(zhuǎn)變對信息技術(shù)的心態(tài)。雖然IT并不是失敗，但他們并沒有以業(yè)務(wù)希望的方式來運營。

知道如何說yes可以讓安全人員來保護(hù)企業(yè)和抵御風(fēng)險。“IT將會被取代，”Perkins稱，“我們已經(jīng)從‘你不應(yīng)該通過’的防御階段走入到檢測和響應(yīng)的時代。”

檢測和響應(yīng)的時代需要企業(yè)不再允許惡意軟件在200多天內(nèi)不被發(fā)現(xiàn)，企業(yè)需要改進(jìn)其監(jiān)控方式。

隨著數(shù)十億美元投資到網(wǎng)絡(luò)安全初創(chuàng)公司，我們將會看到很多先進(jìn)的功能被開發(fā)出來。

Perkins將IT中年危機(jī)定義為安全和物聯(lián)網(wǎng)之間的十字路口，IT專業(yè)人員前進(jìn)的道路是定義IT在業(yè)務(wù)中的作用。他表示：“數(shù)字業(yè)務(wù)意味著查看風(fēng)險以及了解IT和業(yè)務(wù)相互關(guān)聯(lián)，然后制定優(yōu)化方法。”

IT專業(yè)人員需要制定一種共同的語言，“IT的作用是讓我們更加了解技術(shù)方面的情況，”Perkins稱，“因此應(yīng)該將風(fēng)險加入討論中。”風(fēng)險是IT和業(yè)務(wù)人員都了解的詞語。

Perkins稱，“安全需要進(jìn)入業(yè)務(wù)彈性階段。什么時候網(wǎng)絡(luò)安全會成為業(yè)務(wù)連續(xù)性問題?”網(wǎng)絡(luò)攻擊可能讓企業(yè)破產(chǎn)，企業(yè)需要部署安全來推動業(yè)務(wù)。

此外，Perkins稱，IT專業(yè)人員需要與董事會坦誠地交談以設(shè)定適當(dāng)?shù)钠谕?。他將企業(yè)面臨的網(wǎng)絡(luò)威脅比作是一種疾病，并稱，“我們公司得了一種疾病，無法治愈，但可以治療。這種疾病會有發(fā)作起來的時候，并且治療疾病需要花費大量金錢，但隨后幾年不會那么昂貴。”

企業(yè)應(yīng)該轉(zhuǎn)變他們對安全問題的處理方式，專注于用戶體驗，這將會重定向信息安全的未來。