今年，我有機會能再次參加Gartner安全與風(fēng)險管理峰會，該會議已成為信息安全界的晴雨表。我想簡要的強調(diào)一下我的五大主題，這幾點在主題演講、會議以及同與會者的非正式交談中引起了共鳴。 5. Dodd-Frank法案遵從規(guī)則：正如我在這周所寫的那樣，Dodd-Frank法規(guī)對許多企業(yè)的遵從規(guī)則來講將會是一個新的頭痛的事情，尤其對那些沒有對其密切進行關(guān)注的企業(yè)而言，更是如此。有趣的是，在一些情況下，這個法案的許多條例可能并不鼓勵雇員挺身而出，來舉報欺詐行為?？赡芨钊瞬话驳氖?，政府仍然處于制定規(guī)則的過程中，這些規(guī)則將會用來指導(dǎo)Dodd-Frank的公司遵從規(guī)則，這意味著沒人真正知道它將會有多么繁瑣。 4. 移動設(shè)備的普及：長期被忽略的是，雇員擁有的移動設(shè)備已成為一個即將發(fā)生的安全問題。這些智能手機——以及現(xiàn)在的平板電腦——已經(jīng)長期被充斥著公司的敏感數(shù)據(jù)，但是它們要么作為一個安全風(fēng)險被忽視了，要么被視為太具挑戰(zhàn)性而不能嚴加管束?，F(xiàn)在，企業(yè)正開始認識到這些設(shè)備引起的風(fēng)險，然而是否新興的設(shè)備管理技術(shù)、數(shù)據(jù)訪問限制、用戶安全策略，或者上述的方式將成為問題的解決辦法呢？這仍然有待觀察。這似乎是一個令許多信息安全專業(yè)人士摸不著頭腦的話題（如果你是其中之一，一定要閱讀Marcia Savage所寫的重要文章——IT消費化驅(qū)動了新的安全思想，刊登在信息安全雜志的2011年6月版） 3. 云計算需要實際檢驗：云計算這一概念被炒作了好幾年，但直到最近我才首次開始感覺到來自信息安全專業(yè)人員更多的信心。為什么呢？他們現(xiàn)在認識到絕大多數(shù)當(dāng)今企業(yè)的云計算是“軟件即服務(wù)（SaaS）”的方式，而不是更復(fù)雜的平臺或把更多控制權(quán)交給第三方供應(yīng)商從而導(dǎo)致基礎(chǔ)設(shè)施的變化。這個認識使得安全團隊需要花費一些時間，來重新評估現(xiàn)在使用的云計算設(shè)備以確保它們是安全的，除此之外，還需研發(fā)一個更綜合的云計算安全策略，以便當(dāng)企業(yè)想要雙倍投資于更先進的云計算技術(shù)時，安全團隊是樂意合作者，而不是阻撓者。 2. 1. 風(fēng)險管理：把所有這些問題連接到一起的共同主題是什么呢？對于大多數(shù)企業(yè)的安全組來說，聚集技術(shù)、時間和資源來減輕每一個這些風(fēng)險是不可能的。這周，讓我感到震驚的是，所有這些問題的匯集再次激起了人們對這個經(jīng)常被忽略的、但是至關(guān)重要的企業(yè)風(fēng)險管理學(xué)科的興趣，即弄清楚如何確定是哪個特定威脅造成了對企業(yè)最大的風(fēng)險，并使用這個信息來創(chuàng)建一個企業(yè)的風(fēng)險狀況。信息安全專業(yè)人員不能解決所有的問題，尤其是不能一次解決所有問題，并且安全預(yù)算不可能很快的得到顯著提高，在正確的地方投資寶貴的資源已經(jīng)變成一個孤注一擲的問題。 我知道許多安全專業(yè)人員已經(jīng)集中研究風(fēng)險管理很長一段時間了，但是聽到許多與會者親口承認風(fēng)險管理策略正式化非常重要，這是一個令人振奮的好消息。重大的泄漏、漏洞和攻擊一個接著一個，這對安全來講是艱難的一年，但是在Gartner安全峰會2011上看到如此多樂觀的安全專業(yè)人員準備好著手對付下一個發(fā)生的問題時，使我對我們在幫助你們做到最好時所扮演的小角色感到欣慰。 作者：Eric B. Parizo 譯者：Sean |
