企業安全性之最佳實踐早已廣為人知，但為什么絕大多數企業仍然無法真正實現？就在去年，Target公司CEO及CIO在遭遇到有史以來規模最大的支付卡信息竊取案件后相繼宣布辭職，這也標志著又一個歷史轉折性時刻的到來：終于，企業中的高層管理人員意識到了安全問題的嚴重性與迫切性。不考慮安全保障所帶來的嚴重后果已經昭然若揭。
自那時開始，更多數據泄露事件以層出不窮之勢覆蓋了各大媒體的頭條：Michaels、PF Cahng’s、美國社區衛生系統、UPS、Dairy Queen、Goodwill、家得寶、摩根大寶、Kmart、Staples以及廣受關注的索尼已經相繼被攻陷——不僅是索尼影業執行官Amy Pascal，整個索尼品牌都遭受到了災難性的打擊。
面對著這一系列沖擊，相信人們對于安全問題的態度會有所變化。正如InfoWorld網站的Roger Grimes所反復強調的觀點，防止攻擊活動成功實施的最佳實踐幾乎可以說顯而易見。早在2014年遭遇攻擊之前，索尼公司的安全防御機制就早已飽受詬病。Roger曾經以索尼攻擊案為例提醒我們，“大多數企業的計算機安全整體狀況不僅僅‘堪憂’，甚至應該說‘可悲’。”
面對上述事故所帶來的可怕后果，安全意識的重要性已經被提升到了前所未有的高度。但幾乎可以肯定，今年年內我們還將親眼見證更多令人心驚的災難。為什么悲劇總會反復發生?我給出以下幾點猜測。
高層采取忽視態度
安全事務不僅帶來額外成本，而且可能會給正常業務流程帶來額外步驟、并因此影響生產力水平。沒有哪位高管會因為安全事務處理得宜而備受關注，但卻往往因短期盈利豐厚而得到贊譽。此外，首席執行官們往往會頻繁跳槽，這更使得安全事務這類長期性工作遭到嚴重忽視。在幾年任期之內遭遇大規模災難性安全事故的概率有多高?也許目前的可能性確實比幾年前更高，但賓州大學的Arijit Chatterjee與Donald Hambrick在2007年的研究論著《一切以我為中心》中指出，CEO們通常都會顯示出強烈的自戀傾向與僥幸心理。
運營慣性導致問題拖延
假設企業管理層高度關注，并希望快速解決組織內的頭號安全風險，即客戶端Java。但就在這時，幾位LoB經理提出了反對意見，表示幾款關鍵性應用程序的正常運行需要以客戶端Java為基礎。事實上，也確實存在著一部分需要陳舊且滿是安全漏洞的Java版本才能正常運行的應用方案。那么企業有可能先把運營放在一邊，利用安全技術對此類應用程序進行重新創建嗎?或者說，他們更傾向于先把問題擱置起來，等到明年的大規模技術更新規劃上馬時再一道加以解決?
在最明顯的問題上缺乏正確引導
管理員們往往認為只有白癡才會輕易點擊某個文件附件、打開某個指向被惡意軟件所感染之網站的鏈接，或者輕信偽造的病毒警報而安裝名為殺毒軟件、實乃惡意軟件的程序。但事實上，釣魚郵件的效果確實非常、非常好，而且如果普通員工從來沒見過真正的反惡意木馬檢測軟件，他們根本不可能知道如何加以分辨。用戶需要系統的安全培訓，并在遭遇釣魚活動時得到正確的提示及引導。每次培訓時間不需要太長，但此類活動必須長期推進。
自以為安全無憂
防火墻、入侵檢測系統、安全事件監控、網絡監控、雙因素認證、身份管理……我們的企業已經把這些方案全部部署到位，沒人能夠隨便闖得進來!然而殘酷的事實證明，如果大家已經被賊惦記上了，那么以上機制根本不足以徹底消滅數字化資產損失。要防止問題的發生，大家必須擁有審慎的心態——對閑置中的關鍵性信息進行加密、避免設置永久性管理員權限并通過各種舉措降低惡意人士得逞后可能帶來的交叉性損失。
抱有聽天由命的心態
在我看來，大多數企業都很清楚安全問題的嚴重性。然而面對殘酷的現實，他們幾乎放棄了抵抗。那些有能力組織APT(即先進持續性威脅)攻擊的專業黑客幾乎不可阻擋。金融行業每年遭受的欺詐與犯罪活動損失高達數十億美元，而這已經成為其運營成本中的組成部分。走了這么多過場，笑到最后的還是那幫惡意分子。
這種心態也有其合理性，畢竟在安全對抗當中、漏洞總是搶先于防御機制出現。是的，攻擊活動確實無法避免，但這并不能成為我們放棄最佳實踐以顯著減小攻擊面的理由。
任何一種正確規程都會由于人為因素的介入而受到影響。然而馬馬虎虎的安全防范措施必然讓大家成為攻擊者眼中唾手可得的肥羊。大家更傾向于哪種處理態度?在面對安全威脅的恐懼當中形成新的生存習慣?抑或是增加開支以顯著降低風險的發生可能性?也許后一種方案的支持比率遠低于前者，但就個人而言，我更喜歡那種能在夜里安然入睡的感覺。
京公網安備 11010502049343號