信息安全是技术问题还是管理问题？

network

信息安全是技术问题还是管理问题？

为何这么多的企业安装了杀毒软件或者添置了安全设备，在病毒来袭时仍不能幸免?我们不难发现，太多的企业把信息安全当作技术问题来处理……
　　在“熊猫烧香”肆虐时，无数中小企业、网吧业主叫苦连天，很多大型公司也为其所累。网络管理员在那段时间忙的不亦乐乎，只能眼睁睁的看着那只熊猫把香“烧”到一台台电脑中。更有管理员告诉笔者，有折了东墙补西墙的感觉。然而正如“熊猫烧香”作者李俊，在其编写的专杀工具中提到的，“熊猫烧香”的覆灭并不代表一切都已过去，世界就能太平了。

　　为何这么多的企业安装了杀毒软件或者添置了安全设备，在病毒来袭时仍不能幸免?我们不难发现，太多的企业把信息安全当作技术问题来处理，而忽略了管理的重要。即便企业拥有先进而昂贵的信息安全设备，但“政策”或“人”往往无法配合，产生了很大问题。

　　一项针对北美和西欧六百家公司的调查显示，2004年的安全问题有5成源自内部，高于前一年的3成。该集团表示：威胁已从外部转向内部。每年企业界动辄投资上千万防毒防黑，但企业防御失效的另一个容易被忽略的问题是：来自员工、厂商或其它合法使用系统者的内部滥用。例如：即使企业上了层层关卡，却可能因为被破解的管理者密码、技术支持人员维修用户电脑后未关闭的开放权限、轻易分享所有人的网络数据夹，等等管理盲点，都给了黑客及病毒以可乘之机。同时系统缺乏妥善的监控与持续的警觉性、错误的设定等等。因此最好的信息安全设备，未必是最安全的设备，因为许多安全问题，不是因为产品的功能不佳造成的。

　　就此可以看出，企业信息安全是管理问题，而非单纯的技术问题。唯有妥善的管理，才能降低风险，避免不必要的损失，并能持续企业的营运，积极地掌握每一个商机。

　　安全十问，您做到了吗?

　　1、 您能随时提出上个月有多少计算机遭感染、多少计算机因此无法运作、平均复原时间有多长…等安全管理报告吗?

　　2、 您知道哪些机器的port 6667总是开启着，成为 bot 黑客 程序进出系统的后门

　　3、 您能确认漏洞发布后的4天内完成所有修正程序的安装，没有任何一台机器有漏洞，使病毒与黑客有机可趁吗?

　　4、 您知道贵公司中，那些使用者总是打开网络钓鱼页面，或误开别有用心的色情文件吗?如何隔离或处理这个高危险人群呢?

　　5、 您能确认贵公司现行的防毒与信息安全软件足以对抗任何型态的网络威胁吗?

　　6、 您能确认贵公司现行的网络安全基础架构，适合贵公司的现状吗?

　　7、 您能明确说明贵公司目前投资的安全方案，投资回报率有多少吗?

　　8、 您能正确客观的评估组织的防毒能力，了解那些信息安全警报值得花时间分析，并提出改善目标以及其优先级吗?

　　9、 每次病毒爆发事件，您都能从容不迫地协调所有相关人员，并实时应变吗?

　　10、您能24小时全年无休地监控网络异常活动、封锁内部安全缺口，实时解决网络威胁隐患吗?

　　如果您面对以上问题，感到心惊胆颤、后背发凉，说明您公司的信息安今人堪忧。不过亡羊补牢，至少在没有出现真正的不幸时，您已意识到问题的存在。在着手解决问题前，先不要向贵单位的信息安全管理人员发难，这些问题并非他们凭一己之力便可搞掂。信息部门多样而繁杂的工作，以及有限的人力，使得信息安全管理的工作，成为其沉重而无法独力承担的责任。有时问题出在哪里，不容易察觉，更遑论灾害事前的预防;而有时即使可以找出问题，但种种资源上的限制，使得问题无法被解决。因此，寻求专家的协助，是确实而有效解决信息安全管理问题的最佳途径。

　　信息安全专家在企业安全中所扮演的角色

　　信息安全专家所提供的服务方案，应针对威胁周期的每个阶段，提供企业所需的服务。以人类的健康检查作为比喻，信息安全专家应不只是被动地拿着处方笺开药的药剂师，而应扮演企业的「全天候健康管理顾问」与「专属医生」的角色。为了让企业在连上网络时，不至于因病毒事件影响企业运作，专家服务方案应在网络世界扮演着类似世界卫生组织角色，对于各种威胁网络健康的疫情，都能主动防护、密切的监控并提供解决方案。

　　也许有人会说，企业可以自行进行监控，来达到及早预防的目的。但问题是，企业可能拥有各项信息安全管理工具，却不见得知道如何着手建立信息安全架构。就像网络生病了，却不知道买回的成药，是否适合企业体质一样。而通过信息安全专家的监控中心，持续分析企业内部的安全事件，建立企业内部防毒效能的安全指标，找出企业内部的安全隐患，并提供专业的解决方案和建议来改善企业内部的防毒效果，应该是一个更妥善的方式。以保安业来模拟，多数的企业通常并不自行征聘内部人员，来做办公大楼的安全监控，而是寻求保安公司的专家协助。主要的原因，并不在于不知道如何采购大楼的录像监控设备，而是希望能够借重保全专家的知识及经验，达到有效的监控。

　　成功的防毒专家服务方案，应该要针对内部的隐性威胁，诊疗把脉，量身订作，提供未雨绸缪的预防性维护，以防止病毒爆发，并确保营运不中断。尤其重要的是，这些防毒专家服务方案，应该提供全天候戒备的防毒专家、安全威胁生命周期的全程管理，再加上通过独特的评量方法，来评估顾客的安全防护效果

我心飞翔

“七分管理，三分技术”，虽然话有点过，不过还是很有道理的