白宮是美國政府最高水平的行政部門，人們會發現這里有兩種截然不同的人群。一種是負責定義未來愿景的得到政治任命的官員，直接指揮下屬從事政治使命。而另一種是公務員，受政治風向的影響，無論哪個政黨執政，都必須執行命令。這是每個在任總統面臨的一個問題，也是一個呈現在快速變化的IT世界中獨特的挑戰。

“如果你仔細想想，白宮就像是一個新的初創公司，每四年或八年更換一次CEO。”白宮前副首席信息官阿利薩•約翰遜說。而年復一年，從上至下任命的官員都有著變動和升遷，但無論是誰在負責，仍有300多名IT專業人士為總統行政辦公室服務。前政治任命首席信息官，CISO醫療技術公司現任首席信息安全官史賽克回憶說，奧巴馬政府在2009年接手時，就有一些戰略問題需要解決。

“我們當時配備的還是有著軟盤驅動器的臺式機。”約翰遜說。她的主要職責是保障白宮信息安全，主要目標之一并為未來的行政部門制定信息安全計劃。

因為大多數安全漏洞都是人為錯誤或缺乏適當的維護造成的，必須具備先進的技術與理念，才能成功保障信息安全。重要的是，約翰遜提醒道，作為一項長期計劃的一部分，技術人員需重新審視基礎架構，然后積極貫徹落實。

 [[136493]]

核心原則

確保數據安全的首要關鍵是完善的信息安全戰略，而不是遍歷數據中心基礎設施。“數據的重要性超過了基礎設施建設。”約翰遜表示。

“我不會告訴你會有什么驚天動地或新的技術和策略。學習就是記住你已經知道的東西，把它們以不同的方式結合在一起。”約翰遜說，就因為她在白宮工作過，這并不意味著她就能給出圣人一般的建議。“記住，我們仍在試圖取消軟盤驅動器。”她開玩笑地說。

雖然下面的原則列表并不詳盡，前白宮副首席信息官表示，用戶信息安全有哪些缺失和漏洞基本從這些原則中就可以找出來：

(1)脆弱性和威脅管理

(2)身份和訪問管理

(3)事件與危機管理

(4)配置和變更管理

(5)事件和數據管理

(6)用戶管理

(7)風險與合規(這是他們的核心原則)

約翰遜觀察到，有漏洞的網站的比例是驚人的，因此要在數據備份方面投更多的預算。而定量措施是而且將永遠是要滿足這一目標。

約翰遜表示，身份認證和訪問管理是許多方法失敗的一個領域。在她看來，沒有理由要采取每月、每周，甚至每天去提供用戶憑據，一旦一個人離開一個組織，“在科技時代，當有人離開單位時，你不能只是關閉他們的帳戶，有時要嚴格到甚至清除他的一切痕跡。”她說。“而只關閉帳戶在某些時候是一種懶惰的感覺。”

“當有事情發生時，網絡安全是最重要的。”約翰遜解釋說，解決事件最重要的一點就是組織根據原則對事件和危機進行管理，這是她的意見。根據她的經驗，在通常的情況下，當高層的電話泄密或以前不關心的漏洞導致事件發生時，人們才會在網絡安全功能方面進行投資。

約翰遜說，即使已經離開白宮，她還是接到了前雇主的電話，討論近期關于如何對網絡安全事件作出正確回應。她表示，這不僅是一次性事件的響應，而應該是進一步的成長與教育“終身的機會”。

如今，網絡安全一定是企業業務環境的推動者，根據她以前的說法，這是一個成長的機會。“如果網絡安全失敗，那么其他一切都會有可能出問題，”她說，“如果網絡安全沒有正確處理，那么業務指標、銷售和機遇這些方面都有可能出問題。”

整體缺乏網絡安全防范是約翰遜主要關注的一個問題，特別是在眼下的物聯網時代，她解釋說，我們現在生活在一個信息孤島，沒有進入到一個真正的物聯網的世界：“如果我們不能獲知和處理現在的安全危機，那么在發生危機時，我們所有的信息已經都在那里，那時已進入一個融合狀態。”她總結說，人們不僅考慮到現在所面對的情況，而且要考慮到做出的決定將如何影響其未來，因此要衡量風險和安全。

管理變革

絕大多數的安全漏洞并不是那些老練的黑客利用漏洞攻擊的結果。大多數漏洞可以通過適當維護和配置系統有效地彌補。約翰遜引用的數據表明42%的漏洞是由于系統錯誤配置造成的。

這些錯誤配置的系統幾乎在所有組織中普遍存在。“我曾工作在國家安全局，聯邦調查局，中央情報局，國防情報局，洛克希德-馬丁公司，諾瑟普-格魯門公司，甚至白宮，他們在配置管理并沒有采取很好的做法。”約翰遜說，白宮需要招募一個變更管理聯絡負責人，以協調網絡上發生的所有變化。

但是，管理配置的變化并不是安全計劃所需的唯一類型。如何與IT安全部門交互，轉變業務視圖將是至關重要的，并將推動安全領域業務的發展。

采用新產品或更新產品，必須經過網絡安全評估，這個過程是非常必要的，企業可以與客戶交流并對他們產生潛在的影響，約翰遜說。“網絡安全一直被視為可怕的群體。”她感嘆道。她希望人們從“沒有，但”轉為“是的，和”的態度，從而讓安全文化更加具有前瞻性。

這是人們對于安全和風險的認識。對于管理一個企業，安全計劃的過渡意味他們會評估其他業務的風險，以確定是否愿意接受他們，或減輕它們。

填補漏洞

有許多問題需要解決的時候，就需要制定一個全面的信息安全計劃。但企業如何制定簡化策略?在約翰遜看來，可以采用三種方法，大多數公司會在任何時間使用這三種方法的組合。所謂的“信息安全”的三個階段是：激活(建立安全);適應(內置安全);預期(超越安全)。

“我認為所有的組織經歷了所有這三個階段”，據約翰遜觀察。組織采用靜態的防御姿態只是反應事件，而動態的預測安全，可防止事故發生或實時檢測到危險靠近。

“這就像填補漏洞一樣，”約翰遜說，“人們總是在填補漏洞，除非有一個很好的改變改變未來的策略。如果只是填補漏洞，那就永遠是被動而不是主動。我不是漏洞填充物。”約翰遜總結道。