后金融危机时代 企业如何运维IT安全

金融危机的阴影似乎正在逐渐淡去，企业、政府和各种机构的日常业务也在步入正轨，尽管道琼斯指数还会时不时的出现一些小问题，但全球经济复苏已经是不争的事实了。在这个“后金融危机”时代，企业的安全危险面临着哪些变化趋势？企业又如何去做好IT安全工作呢？在2010年IDC亚太区IT安全会议上，IDC中国行业研究和咨询服务部研究总监武连峰结合IDC的调研报告，为我们分析了在当下，企业安全的一些发展趋势以及安全服务供应商与企业应对这些威胁的正确方法。

武连峰表示，在后金融危机时代，IT领域内主要将会出现三大主流。首先是新常态，在金融危机期间，大部分企业主要考虑的都是削减企业各方面的预算，控制企业运营成本，随着金融危机的过去，企业关注的核心又回到了用户和业务层面；其次是新技术，这在IT领域并不陌生，每天，我们都会接触到日新月异的IT技术，而这些技术很多将逐步在企业中使用，比如云计算现在已经服务于很多大型企业机构；***就是逆向创新，这指的是原来，从发达国家向发展中国家输出新技术，现在已经逐渐演变成为由发展中国家向发达国家输出新技术、新理念以及新的商业模式。

在这种背景下，企业安全也正在面临着惊涛骇浪般的各类威胁。根据IDC的调研报告显示，现在企业面临的安全威胁多种多样，包括社会化媒体的不断流行、数据爆炸的出现、法律法规的不健全、企业业务的拓展、智能手机等移动终端在企业中的流行、云服务的出现、虚拟环境、统一通信在企业中的运用，甚至包括自然灾害和恐怖袭击。而这其中，社会化媒体在企业中的使用、智能手机和云服务的流行是企业面临的最严峻的三大安全挑战。

面对这些挑战，企业必然要做出相应的措施来预防悲剧的出现，我们从IDC的报告中了解到，在2010年，继续增加安全支出的企业占到所有调查企业总数的38%，而保持现有投资水平的企业也占到50%，八成以上的企业在这个方面有正确的认识，他们认识到安全防御对企业业务正常运行的重要性。

企业在对待安全防御上有着较为统一的认知，大部分企业CSO都认为，在安全防御上，最重要的就是确保业务的连续性以及具有灾难恢复的能力，安全成为保障企业业务进行的一个必要工具，如何能够尽量不影响企业正常业务的情况下***化的确保安全成为CSO永恒的问题。而在此之后，企业认为的安全保护重点依次是网络安全、预防数据泄漏、云的安全以及用户身份鉴定。于此对应的是，在认定何种情况能够增加企业安全风险时，大部分企业将社会化网络进入企业排在***位，智能手机的流行、企业的业务扩张、基于Web的网上交易和云服务分列二到五位。

仔细研读以上的IDC调研报告，我们不难看出一些现在正在企业中流行的安全威胁趋势以及企业对其防御的侧重点。对与安全服务供应商而言，武连峰认为，应该要对社会化媒体以及云计算做好准备，研究如何做好这两方面的安全研究，并且，随着以太网容量的不断增加，服务于10G-100G以太网中的安全设备也成为安全服务供应商应该立即着手研发的课题。

而对于企业而言，武连峰认为，做好“4P防护”是关键。所谓4P防护指的是People（人）、Policy & Process（政策与流程）以及Property（资产）。这四个要素同时还具有层次性，他们共同组成了一个完善的安全防御金字塔。处于金字塔底层的是Property（资产），这里指的是企业对于安全防御的投资，如果没有基础的安全设备和完善的安全解决方案，其他任何安全措施都只是空谈而已；在安全设备之上，就是Policy & Process（政策与流程），有了完善的企业安全投资，再在这个投资之上，制定良好的政策规章以及业务运营流程，以保证其能够符合安全的需求，这是企业能否用好安全设备投资的关键；而金字塔的最顶层则是People（人），企业业务的进行需要人的参与，而企业安全维护也需要企业中每一个雇员的参与，这包括了安全管理人员和普通员工，对于企业安全管理人员而言，是否拥有较高的安全素养和安全维护能力是企业安全运维的关键，而对于普通员工而言，企业有必要对其进行培训教育，以提升每一个员工的安全防御能力。4P结合在一起，企业的安全防御才能够得以高效有序的进行。

在后金融危机时代，企业安全威胁出来了一些新的变化趋势，与之对应的，企业的安全防御也出现了一些变化，对于安全服务供应商和企业而言，都需要去适应这种变化，IDC提出的4P防御体系很可能将成为未来企业安全解决之道。