據國外媒體報道，普華永道和CSO網站聯合進行了一項全球信息安全情況的調查(Global State of Information Security Survey)，其結果顯示目前被檢測出來的網絡安全漏洞在逐年增長，而且安全漏洞的成本也在增加，但企業的安全預算卻并沒有太多增長。
從我們以往的全球信息安全調查結果來看，今年的信息安全形勢并沒有好轉，相反今年的信息安全狀況是最糟糕的。
支付卡漏洞問題頻頻出現，并影響到Target和Home Depot等大型公司和上億的普通消費者。而數據泄露的問題也并沒有減少，就在近期全國連鎖的三明治店Jimmy John’s發布消息稱其數據遭到泄露。當然不僅僅是支付卡受到很大的沖擊，醫療行業也出現過嚴重的數據泄露的問題。醫療服務提供商Community Health Systems表示，今年夏天該公司就丟失了450萬個病歷。
這一年里，企業首席安全官和安全團隊都在努力對抗各種各樣的、嚴重的軟件漏洞。例如日前曝光的Shellshock漏洞就引起了很多企業的關注，該漏洞是在廣泛應用的GNU項目的Bash shell中發現的。由于很多應用和設備上都在使用Bash，所以Shellshock漏洞的影響要遠遠超過今年早些時候曝光的Heartbleed漏洞，Heartbleed是在客戶和服務器之間的OpenSSL加密數據流量的早期版本中發現的漏洞，而Community Health Systems的泄露事件則是由Heartbleed漏洞引發的。
在這個背景下，普華永道和CSO合作進行了2015年暨第十二個年度全球信息安全情況調查，調查的結果有些是必然發生的，而有些卻出乎了人們的意料。如果說這些攻擊和致命的漏洞還有好的一面的話，那就是大型企業的高層管理人員可能因此會對企業的網絡安全更加重視，并增加對企業IT安全的投入，這一點是毫無疑問的。然而出人意料的是，企業IT安全支出卻在以4%的概率逐年遞減。
在今年的調查中，受訪者表示他們檢測到的安全漏洞比去年的更多。參與此次調查的9700多位安全、IT和業務主管發布報告指出，他們檢測到的安全事件的數量在今年已經上升到4280萬次，增長率為48%。據報告作者指出，過去六年里檢測到的安全事件的年復合增長率為66%。
此外，由于安全漏洞的問題頻發，導致企業的經濟損失也在不斷上漲。有意思的是，據相關報告顯示，小企業安全漏洞的成本卻在下降，比例為37%;中型企業的安全漏洞成本呈小幅增長，比例為25%，而大型企業的安全漏洞成本增長最高，比例為53%。IT安全市場研究公司Securosis 的分析師Mike Rothman表示：“大型企業之所以在數據泄露中遭受的損失最多，是因為大企業中可能會有更多的數據記錄，而監管這些數據記錄的成本也會更高。”
利用數據分析檢測漏洞
雖然企業中一般的安全預算會有所下降，但是企業對安全分析投入的成本卻在上漲。約有40%的受訪者表示，他們會利用大數據分析作為其安全管理的一部分。而有55%的受訪者表示，利用安全數據分析可以幫助他們檢測到更多的安全漏洞。
行業分析對于企業來說利益有多大還尚不得而知，但是451研究公司(451 Group)安全分析師Javvad Malik并不認為多數企業的努力會有相應的收獲。他說：“數據分析在大多數企業中才剛剛起步，安全信息和事件管理人員每天都能收到成千上萬條預警，而企業要重視這些預警。這正好是大數據平臺發揮作用的地方，但是現在大多數的企業安全官卻并不懂得如何利用大數據平臺(+微信關注網絡世界)，有時候他們還需要去供應商那里詢問如何利用數據分析的工具來幫助他們解決問題。”
Rothman表示：“當人們使用大數據安全分析時，就意味著他們需要從傳統的日志管理和查詢著手再到Hadoop，然后是云服務。很多企業都在研究如何通過這些方式來提高他們安全分析的效率，但是又有多少企業會從企業的運營角度來著手呢?這樣的企業其實并不多。而又有多少企業能夠及時發現他們并不知道的安全事件呢?我想這樣的企業更少。”
如果安全分析專家的方法正確的話，那么企業的安全分析將有望成功，并會給企業帶來更多的好處，但是企業不可能在短期內看到收益，因為這將需要一個長期的過程。事實上，今年隨著安全漏洞和威脅不斷增長，以及很多著名的、影響很大的泄露事件的發生，企業都希望投入更多的安全成本以確保企業的數據安全。普華永道的調查發現，小企業將其安全成本投資降低了20%，而大、中型企業則稍稍提升了他們的安全成本投入，比例為5%。
這主要是因為隨著企業開始啟動云計算計劃，信息安全預算開始融合了到企業的運營預算中。愛爾蘭BH咨詢公司Dublin的首席執行官Brian Honan說：“企業的應用和項目中都廣泛部署了云計算，這也是其中一個首要原因。這促使了許多大型IT項目并不僅僅歸屬于IT預算，同時還被歸屬到了業務預算中。隨著全球經濟的復蘇，企業將在IT上投入更多成本，我們也將看到企業在安全上的投入將比往年更高。”
相關的數據也支持了Honan的這一觀點。從調查的數據顯示來看，去年企業IT投入資本上升了40%，而信息安全的投入則上升了51%。然而，曝光的數據泄露等安全事件，以及因安全事件引起的經濟損失并沒有下降，反而呈上升趨勢。但是，我們仍然期待明年的情況會有所不同。
京公網安備 11010502049343號