在2014年數據安全事故大爆發之后，企業的安全戰略發生了什么變化?更多的資金投入、更嚴格的監控和更全面的員工培訓，其實都僅僅是些規定動作而已。
J.P.摩根、Target(大型零售商)、Home Depot、EBay、索尼……在最近幾個月內，以上述企業為代表，很多大公司都發生了大規模的數據安全事故，付出了昂貴的代價，并且給企業名譽帶來了極大的傷害。
盡管業界對2014年發生的數據安全事故還沒有很明確的統計結果(很多程度較輕的入侵和泄露事件并未被記錄或報告)，根據Identity Theft Resource Center的調查，2014年媒體和政府報道過的數據安全事故共有783起。相比于去年，這個數字上升了27.5%。
能安然入眠的CIO，是神一般的存在
“每天晚上睡覺前，我都要確認下手機沒有被調成震動模式。我必須保持24小時待命的狀態。”Mediaocean(總部位于紐約的一家廣告服務公司)的首席信息官Don Baker表示：“對于安全和數據泄露，人們的焦慮感越來越重。原因不僅是安全事故數量的上升，還因為最近這類攻擊的水平也顯著提升。”
當黑客們嘗試一切辦法突破傳統的網絡安全系統時，Baker和其他CIO們一樣，也開始重新評估自身的安全戰略，希望通過不斷的改進來應對層出不窮的網絡犯罪行為。“在當今這個快速變化的世界，不能因循守舊，必須主動改變。”Baker表示。
在最近由EiQ Networks所做的一個調查中，90%的來自于各行各業的CIO和IT專家們都表示，數據安全是首要需要關注的事情。同時，在145位IT決策者中，只有21%在安全事故防范上對自己的系統抱有信心，只有31%表示在網絡安全方面有完善的應對流程，只有15%表示企業已經在數據安全方面有了充分的準備。
這種對于數據安全的信心缺失并不意外。如今，這方面的責任是如此重大。舉例來說，單憑這幾年出現的大量軟件和硬件設備就足以令人頭疼。丟失一個記錄有1000個社會安全號的筆記本，就會引起高度的關注。
“如今，我們有了云、社交媒體、Web服務和移動技術。還有，雨后春筍般冒出來的各種設備。”Appian Corp.(業務流程管理軟件開發商)的首席技術官Michael Beckley表示：“IT可能遭受的攻擊點更多了，防不勝防。”
根據安全研究公司Poneman Institute的調查，令人欣慰的是，很多CEO和其他高管都意識到了這個問題，給IT組織投入了更多的資金和人力。
“Target發生的事情引起了廣泛的關注，給所有IT組織敲響了警鐘。”Poneman Institute的創始人Larry Ponemon說：“所有人都看到了，這類事故給客戶忠誠度帶來了多大的沖擊。很多企業開始意識到自己做的遠遠不夠。根據我們的調查，CIO們都已經開始行動起來加強這方面的工作。”
通過調查表明，為了保護數據安全，IT領袖們正在開始引入更多的工具并對安全流程進行改進。他們的安全戰略多管齊下，包括行為數據監測系統、設備加密、用戶監控、員工培訓。另外，還包括研究已發生的安全事故，以此防止其他公司所犯的錯誤在自己身上重演。
監控用戶行為
Gartner的研究副總裁Jay Heiser表示，監控是CIO們急需加強的環節。很多企業過去只是忙著切斷隱患通道，而不是去主動監測通道上發生的一切。
“傳統上，人們都覺得在門上多加幾把鎖會更有效。但是，如果有人從窗戶里進來怎么辦?”Heiser舉例說：“如果說2014數據安全事故的集中爆發帶來了什么變化，就是人們充分認識到了主動監控的重要性。”
有些企業已經受益于入侵行為發現技術，后者可以監測到用戶帶有惡意的行為。IT首先要知道什么行為模式是正常的，然后才能識別異常進而檢測是否有入侵發生。
“如果通常一周有5000次用戶登錄，近期這個數字突然變成15000，你就應該好好調查下發生了什么。”Mediaocean的Baker解釋到。
過去，正常行為模式中一個小的尖峰凸起很可能被管理員忽略。但是，現在CIO們會在遠程監測這種異常。很多時候，這樣做并不是為了防止或化解明顯的攻擊，而是為了發現潛在的高級攻擊行為。
“當出現異常時，你不能就是說‘哦，看看它下次什么時候出現’。你必須要想到這可能是有人正在進行攻擊，然后采取相應的措施。”Baker說。
員工培訓：保持警覺、及時匯報
根據事后排查結果，有些安全事故是由于員工的不規范或不謹慎行為導致的。企業安全措施的很大一部分就是對員工進行培訓，使之對于自己在網上的行為保持足夠的警覺。
專家表示，即便對一封來自于不常聯系的同事或合作伙伴的電子郵件，都應該保持警惕，尤其是當對方要求打開附件或提供敏感信息時。當收到這類或其他可疑的電子郵件時，員工應主動聯系IT部門。因此，需要對員工進行培訓，但不要期望僅憑短期的培訓就能夠建立起這種警覺。
“你不可能在一個禮拜甚至一個月內就教會員工這些。但是，如果每天都被灌輸一點，慢慢就會變成習慣。”一位來自于某安全公司的IT經理表示。這家公司為客戶提供這方面的培訓軟件，幫助客戶的員工建立安全的行為規范。
這些用于消減內部威脅的措施不能僅限于員工隊伍。同很多CIO一樣，Appian的Beckley也開始把企業顧問和合同工納入進來 – 這些人同樣能夠在不同級別上對企業系統進行訪問。對于那些臨時性的員工(包括即將離職的員工)，必須禁止他們在離開后訪問系統。
“當這些人訪問系統時，必須有嚴格的流程控制和身份認證。當他們離開后，必須廢除密碼，撤銷訪問授權。”Beckley說。
一家網絡安全初創公司(專注于開發企業服務點威脅監測工具)發現，對員工進行企業安全風險培訓的最佳途徑是先教會他們保護自己，比如在社交網絡發言、網絡購物和打開電子郵件時該注意哪些事情。
“最主要的就是當你上網瀏覽、打開郵件和點擊鏈接時，清楚了解自己正在做的事情，知道可能存在的安全隱患，”該公司的CIO說：“如果員工能在家里時也有保護個人隱私的概念，那么在工作中就可以自覺保護公司信息。”
遠程訪問和數據加密
IT領袖們認為，員工在移動技術的使用方面也應該有足夠的謹慎。比如，不要在處理公司敏感數據時通過公共WiFi訪問互聯網。這類警覺性對IT員工來說是應有之義，但對那些已經習慣于用智能手機來處理個人事務員工來說則需要加強。
Baker表示，他禁止員工在公司以外將數據下載到遠程設備上。
“員工無法通過自己的設備直接連接到公司的系統。”Baker說：“盡管可以看到相應的界面，但是此時設備只相當于一個啞終端，無法進行數據的交互。”
對于那些有遠程訪問企業系統的公司來說，設備加密的辦法正逐漸流行，以此保證數據內容的不可訪問。而且，IT團隊還能遠程擦除或剔除一個遺失或被竊的設備。
Appian的Beckley認為，毫無疑問，數據加密肯定比用密碼登陸更為安全，后者密碼容易丟失和被復制：“個人密碼就是夢魘一場，遲早要被拋棄。我們需要的是諸如指紋類的生物認證，以及對設備的加密。”
借助外部的力量
很多公司，尤其是那些沒法雇用專職IT專家的中小企業，正在從第三方安全服務提供商處尋求幫助。
Baker表示，Mediaocean引入了一家專業公司提供入侵檢測和其他安全防護技術，該公司還會定期在受控模式下嘗試對Mediaocean的系統進行攻擊測試。
“他們會試圖找到那些存在于公網上的漏洞。”Baker解釋到：“我強烈認為不應該由企業自己進行測試，而是要找第三方公司來做，因為他們才是整天和數據安全打交道的人。”
據Beckley所稱，Appian的很多客戶在推進代碼定制項目，同時結合其他平臺技術和云計算技術，以此達成減少內部漏洞的目的。除此之外，這樣做還能有效控制外部廠商和合作伙伴對敏感系統的訪問。
“每當程序員完成一行代碼，可能就增加了一個新的漏洞。”Beckley表示：“盡管平臺并非完美無缺，但畢竟是一種簡化系統、消除潛在隱患的途徑。”
災備規劃
CIO們知道完全防止攻擊幾乎是不可能的，因此，制定事故發生之后的應對計劃是必須的。
“不要天真地以為能夠完全預防事故發生，你必須假定它在某一時刻會發生。”Baker說：“于是，除了盡量預防之外，你還需要在攻擊發生之后加以應對并把損失降低到最小程度。這一點與過往大不相同，以前你可能會在這方面缺乏事前的規劃。如今，必須要制定事后補救的措施。”
Heiser認為，在針對數據事故做規劃時，無須太在意問題發生的原因，重點要關注如何處理應對。
“業務連續性規劃的好處就在于你不用去預測，不管是洪水、黑客或外星人造成了服務的中斷，你的關注點始終都是評估損失以及如何讓業務盡快恢復。”Heiser說。
當網絡攻擊發生之后，對其的清除通常會造成業務的中斷，尤其是當企業不得不暫時停止運轉時。
根據Ponemon Institute(專注于數據保護、隱私泄露和網絡安全方面的研究機構)的評估，數據泄露所導致的損失在去年上升了23%。平均來說，每次遭受攻擊之后，一個大型企業需要花31天，平均每天2萬美元來清除威脅和修復系統。
“這是一個非常復雜的過程，有時不得不聘請外部的專家進行協助。”Ponemon說。
有些損失是顯而易見的，比如調查事故和通知客戶的成本，而且企業還讓自身名譽和未來前途受損，當業務恢復時間過長時還需要對客戶進行賠償。鑒于時間也是成本之一，Ponemon的CIO建議在連續性規劃中要有如下規定，哪些應用在攻擊發生時必須停止，而哪些應用則可以繼續運行。
“以汽車的構造為例，如果發生了車禍，前擋板可能會被撞壞，但是乘客的生命則被挽救了。同理可推，在事故發生時，你需要舍得放棄一些東西。”這位CTO解釋到。他所在的企業就是這么做的，在需要時將關鍵的應用隔離出來，其他部分則當成汽車的前擋板即可。
“如何才能關掉部分系統，讓入侵者獲取控制權但無法再進一步滲透?這就看你如何進行系統分解來做到帶問題運轉了。”他說。
對未知的恐懼
到底IT安全防護的難度在哪，甚至導致企業領袖都會為之焦慮。原因就在于未知性：不知道安全事故是否發生，即便近在咫尺也是如此。
“數據安全事故猶如頭頂懸劍，不知道什么時候會落下來。大多數的數據泄露其實沒有被發現。”Heiser表示。
根據Ponemon Institute調查，發現一個數據安全事故平均需要170天，如果有內部人員的參與，這個時間會延長到260天。
“有些內部人員會竊取數據，而你很難發現他們。”Ponemon說：“有些公司從來都沒察覺信息被泄露了。”
因此，CIO和其IT團隊需要花足夠的資源(時間、金錢和精力)去調查其他公司發生的安全事故，從而以此為鏡，清查自身的漏洞，防止自己成為下一次數據泄密新聞的主角。
CIO們都承認，新的技術和對安全行為模式的強制培養肯定能幫助保護數據安全。但是，這些IT領袖也強調，沒有任何系統能夠完全防止錯誤的發生。Appian的Beckley認為，在安全領域，沒有萬能的靈丹妙藥。
“我們永遠不能放松，這些安全事故時刻提醒我們要抱有謹慎的態度，進行持續的監控和預防。”他說：“這就是一場軍備競賽，永遠沒有贏家，只有盡可能不成為失敗的一方。”
京公網安備 11010502049343號