最近，美國安全公司Illumio的首席商務(wù)官阿蘭·科漢發(fā)表文章呼吁美國的信息安全變革，文中的觀點(diǎn)值得我們借鑒，現(xiàn)摘譯整理如下：

[[141433]]

網(wǎng)絡(luò)安全是個(gè)國家第一廠商第二的問題。最近發(fā)生的安全事件令人驚恐地強(qiáng)調(diào)了從根本上重新思考我們對待信息安全的態(tài)度以防我們的經(jīng)濟(jì)和我們生活的方方面面不被重創(chuàng)的必要性。

網(wǎng)絡(luò)事件是另一種形式的恐怖事件：它們能以本應(yīng)用來保護(hù)我們的安全系統(tǒng)所想象不到的方式給我們那開放的數(shù)字社會(huì)予以重?fù)簟?/p>

人事管理局(OPM)信息泄露事件就是數(shù)字世界里的重大恐怖襲擊。盡管2014年就是黑客年，黑客事件遍及大部分科技產(chǎn)業(yè)和商業(yè)新聞周期，OPM信息泄露事件還是導(dǎo)致了大量美國駐海外人員的召回，以致網(wǎng)絡(luò)防御可能在短期內(nèi)成為美國軍事的第五個(gè)兵種。

就像我們在9/11之后重新檢查和裝備我們的運(yùn)輸系統(tǒng)安全一樣，我們必須對數(shù)據(jù)安全采取同樣的態(tài)度和方法。我們必須從零開始，全新打造一個(gè)適應(yīng)當(dāng)前環(huán)境動(dòng)態(tài)要求的網(wǎng)絡(luò)安全態(tài)勢，而不是把精力投入到保護(hù)前一個(gè)世代的技術(shù)上。遺憾又諷刺的是，那套監(jiān)視著政府部門網(wǎng)絡(luò)流量的入侵檢測系統(tǒng)竟然是叫“愛因斯坦”。政府的程序十年間幾乎沒什么變化，而真正的愛因斯坦對愚昧頑固的定義就是“同一件事重復(fù)做，一遍又一遍，卻希望能得到不同的結(jié)果”。

向前看，我們必須關(guān)注當(dāng)前網(wǎng)絡(luò)威脅環(huán)境的六大原則：

1. 所有的安全問題都是網(wǎng)絡(luò)安全問題。首席信息安全官(CISO)現(xiàn)在得評估IT“風(fēng)險(xiǎn)金字塔”和潛在的殺傷鏈來了解自己面對的網(wǎng)絡(luò)攻擊面。整個(gè)IT業(yè)務(wù)都處于攻擊火力之下，需要一套全新的能將對新威脅環(huán)境的考慮融合進(jìn)IT設(shè)計(jì)與使用中的信譽(yù)與安全模型。

2. 威脅絕大部分是由內(nèi)而外，而不是由外而內(nèi)的。80%的網(wǎng)絡(luò)安全事件都是由內(nèi)部人士教唆協(xié)助或由內(nèi)部系統(tǒng)的漏洞引起的，然而企業(yè)絕大部分的安全支出卻著眼于保護(hù)安全邊界。只依賴于周邊基礎(chǔ)設(shè)施層簡直就是一張通往不斷失敗的請柬。這種在數(shù)據(jù)中心周邊與系統(tǒng)內(nèi)部之間極不均衡的支出與關(guān)注度必須有所改變。

3. 安全系統(tǒng)的適應(yīng)速度與其偵測與預(yù)防程度同等重要。網(wǎng)絡(luò)安全投注在靈活性與適應(yīng)性上的關(guān)注度必須與投注在偵測與預(yù)防上的一樣。不是每一次攻擊都能被預(yù)防，但自適應(yīng)系統(tǒng)可以在關(guān)鍵數(shù)據(jù)被傳出之前快速解決問題。自適應(yīng)系統(tǒng)檢測和處理安全事件的速度越快，產(chǎn)生的損失也就越少。

4. 什么都不能信任。今天的環(huán)境中，在用戶和系統(tǒng)間建立可信連接時(shí)應(yīng)預(yù)設(shè)的策略是“對允許說不”而不是“對拒絕說行”。這一預(yù)設(shè)在服務(wù)器間連接或用雙因子身份驗(yàn)證登錄軟件即服務(wù)應(yīng)用時(shí)是真實(shí)有效的。盡管這么做有可能會(huì)損失掉一些業(yè)務(wù)操作上的便捷性和一點(diǎn)點(diǎn)時(shí)間，不這么做的代價(jià)卻更高昂得多。

5. 安全必須根植于信息處理的基底層。我們今天的應(yīng)用開發(fā)過程是：某人創(chuàng)建一個(gè)應(yīng)用，另一組人將之載入基礎(chǔ)設(shè)施，第三組人決定怎樣保證它的安全。則一系列傳接過程無形中增加了風(fēng)險(xiǎn)，也在每次應(yīng)用修改或升級時(shí)引入了官僚主義。安全必須是“自下而上”地構(gòu)建和實(shí)施，而不是放馬后炮。

6. 公共/私營合作關(guān)系應(yīng)被重建。后NSA關(guān)系時(shí)代，華盛頓與商業(yè)之間的信任等級與我們必須配合和協(xié)作的需要成反比。由于國家安全與經(jīng)濟(jì)網(wǎng)絡(luò)事件之間只有一線之隔，是時(shí)候重塑我們私營產(chǎn)業(yè)與公共產(chǎn)業(yè)的合作關(guān)系了。

如今這個(gè)網(wǎng)絡(luò)恐怖主義時(shí)代，以上安全必須改變的6個(gè)領(lǐng)域還僅僅只是個(gè)開始。毫無疑問：信息安全整體都必須做出改變。

原文地址：http://www.aqniu.com/neo-points/8752.html