“在過去的12到24個月中，嚴重安全事件的發生數量持續走高。換言之，安全事務的關注范疇不能僅僅局限于合規性檢查本身，”RSA大會項目委員會主席Hugh Thompson指出。

2013 RSA大會將于本月26號在舊金山的莫斯康展覽中心舉行，屆時將有數千位與會者共濟一堂、聆聽安全業界高管們談論自己的產品路線圖，借以了解在攻擊活動日益復雜化的當下如何更有針對性地處理安全事務。

隨處可見的網絡安全問題給了眾多廠商一個機會，來展示他們對于安全的理解、產品解決方案以及行業領導力。此前，每年的RSA大會都是主流IT業的一片綠洲。然而，當RSA大會在向世人展示諸如數據防泄漏、Web安全、密鑰管理等安全技術的最新成果時，企業的CIO們實際上只關心企業運營自動化。盡管安全是IT管理中資金支持較少的一個部分，但是RSA大會對其關注的熱度卻從未減退。

信息安全備受矚目

不管在CIO們眼中的安全是什么樣子，網絡安全的新聞充斥著我們能接觸到的所有信息傳播資源：報紙、雜志、電視新聞等等。暫且回顧一下2013年開年的兩個月內發生的與安全有關的新聞事件：

1. 美國國土安全部發布警告的Java軟件漏洞,建議用戶禁用Java瀏覽器插件

2. 美國國防部宣布,它打算增加4000名雇傭的網絡安全專家(從900到4900)(1/28)

3. Anonymous 黑客組織攻擊美國司法部的web服務器，以抗議美國政府以數字盜竊罪名起訴電腦神童亞倫斯沃茨導致他自殺身亡(1/26)

4. 紐約時報聲明受到網絡攻擊(1/30)

5. 《華爾街日報》聲明受到網絡攻擊(1/31)

6. 美國總統奧巴馬宣布對網絡空間一項行政命令對網絡空間(2/18)

7. 蘋果公司和Facebook聲明受到網絡攻擊(2/19)

8. 漢堡王和吉普的推特主頁被攻擊(2/20)

9. Mandiant發布一份報告, 聲稱發現中國軍方和網絡間諜活動有關(2/20)

10. 美國全國廣播公司網站在遭到網絡攻擊之后無法訪問(2/21)

我們不得不承認，在今年之前，信息安全是IT中不太被重視的一部分。然而參看最近的一些事件以及政府態度，不難看出CEO、立法者、軍事領袖，甚至國家元首都開始給予信息安全更多的關注。

RSA適時地提供給了一個可以給眾多關注不同安全領域的廠商一個展示自己的平臺。一起討論，共同進步。廠商可以在大會上通過別人的演講以及展出的產品來評估國際網絡安全形勢，描述能夠以怎樣的方式規避安全風險，解決安全問題，提供大的解決方案，并展示真正的網絡安全情報和技術。

風險管理決定企業信息安全

合規性方案對于大多數IT安全團隊而言仍然屬于爭取預算的主要途徑，但相較于傳統的遵循視角，本屆RSA大會將關注重點放在應用安全的基本原理以及基于風險的決策層面。根據安全專家的觀點，這樣的焦點轉移標志著合規性行業將在成熟性方面達到新的水平。

RSA大會歷來被視為安全專家的交流平臺以及新興安全技術趨勢的展示舞臺，但Thompson表示本屆活動將主要關注近來諸多數據泄露事件所揭示出的實質性問題。

“我們發現近來針對性很強的攻擊活動的發生并非源自潛伏著的惡意軟件，而往往是由企業內部人士在安全決策方面的失誤所引發，”Thompson解釋道。“攻擊者會把時間用于定位并追蹤擁有訪問權限的用戶，并針對他們的日常習慣總結出量身訂做的攻擊方案。”

攻擊者會利用配置不當的系統、未及時安裝補丁的應用實例或者竊取合法用戶的驗證資質來實施網絡入侵活動。有鑒于此，本屆RSA大會的重點之一就是如何優先考慮并總結出足以解決這些根本問題的實踐方案。在為期四天的大會上，舉辦方安排了多場討論會，意在幫助與會者研究如何收集正確的數據并以此為基礎制定風險決策。

2月26號，由RSA CSO Eddie Schwartz主持的CISO研討會將深入分析信息風險管理方面的最新趨勢。

而在2月27號，一個專家小組還將嘗試解答困擾許多企業的難題：為什么我們仍然無法收集并利用真正有意義的指標，進而制定出切實有效的安全決策。該單元的主題為“企業風險管理：獲取指標為什么如此困難?”

大數據議題精彩紛呈

Thompson還表示，大數據分析也將成為本次活動的重要議題。包括RSA、EMC安全部門以及IBM在內的多家安全廠商已經針對Hadoop軟件框架集成推出了安全產品。

盡管上述方案已經進入市場，但安全專家們仍然認為大數據安全性分析工作尚處于起步階段。本月27號的專項研討將在Forrester研究公司高級分析師Rick Holland的主持下進行，題為“規模龐大、不容失敗：大數據時代下CISO眼中的規模化安全”。屆時將有多位來自不同企業的安全高管到場，嘗試解答為什么規模的擴展對于威脅檢測工作影響重大。

Holland認為大數據已經成為一種典型的浮夸型營銷宣傳術語，并補充稱他希望研討組成員能夠明確“大數據”對于自己的日常工作意味著什么、他們又該如何將安全數據與業務分析相結合以實現運營目標。

“大數據是一家企業對于自身全部信息的匯聚成果，信息的有效性與正確性必須得到嚴格保障;一旦信息來源不純粹、不受信或者無法分析，大數據就會成為妨害企業決策的壞數據，”Holland指出。“我個人沒見過多少安全團隊能夠真正讓大數據方案為安全目標服務。”

身份認證成為BYOD新短板

移動安全是本屆RSA大會的另一大核心議題。隨著智能手機與平板設備在業務環境中的日益普及，安全專家對于控制移動設備并從中獲取直觀業務資料的需求也愈發強烈。本次最值得關注的移動安全研討有兩輪，其一為本月26號由美國國家安全局移動安全專家Troy Lange所主持，他將在活動中確定移動設備中存在的安全漏洞以及業界該如何建立起更為有效的安全生態系統。其二則是將于本月28號召開的“移動安全大逃殺”研討，多位杰出安全研究人員將組織辯論、嘗試在探討中追尋各套移動平臺在安全性方面的是非曲直。

目前，很多企業都在與BYOD苦苦抗爭，希望找出一套足以確保移動安全的管理政策。在本周與記者進行的電話會議上，Ramon Krikken——Gartner公司研究副總裁——明確指出，認為IT從業者能夠通過簡單部署技術來獲得大量移動設備控制權的觀點并不切合實際。企業正在努力對各類移動設備管理平臺進行評估——目前這塊市場中有幾十種方案正在激烈競爭——但此類產品在成本與直觀維護負擔上仍然不甚理想，Krikken解釋稱。

“經過評估，企業用戶往往發現這些方案要么會帶來沉重的工作負擔、要么無法徹底滿足業務需求，”Krikken表示。

大規模密碼泄露與身份盜用有望為本屆大會中的身份管理議題注入新的活力，Thompson告訴我們。在過去幾年中，身份管理這一議題隱隱有被并入其它單元的趨勢，但在本屆大會上項目委員會又將其帶回獨立軌道。大量薄弱甚至是默認內容的密碼困擾著互聯網安全，這對于網絡犯罪分子而言無疑等同于開門揖盜，Thompson指出。

“討論的重心不再是密碼本身，而在于我們該選擇怎樣的方式來驗明遠程接入用戶的真實身份，”他解釋道。

曾在位于圣安東尼奧市的德克薩斯大學擔任CISO的信息安全顧問Steve Werby也將在他的研討會中與大家分享他的項目——一套足以對上萬家頂級網站的密碼政策及控制機制進行收集、評估及衡量的方案。這一環節的主題為“搞定上萬家頂級網站的密碼及控制工作”。Wiredreporter網站的Mat Honan(曾根據個人經歷撰寫了一系列身份盜用方面的文章)也將在定于2月28號舉行的題為“以為密碼能保護自己?請您三思”的研討會中對VPN、雙因素身份驗證等一系列安保措施進行討論。