RSA：新兴web和移动技术将增加企业安全风险

　　2009年6月12日，EMC安全事业部RSA今天公布了两项新的研究报告，这两项研究报告对许多有前途的技术所显现出来的深远安全问题进行了研究分析。这些新技术包括云计算、虚拟化、社会网络、移动通信等，同时还对它们给全球公司所带来的关键业务风险和回报进行了探讨。

　　第一项研究报告由IDG公司研究服务部门执行，它揭示了组织采用全新的连接、协作和通信技术的匆忙速度，与安全部署这些技术的准备状态存在着巨大差距。第二项是有关RSA业务创新安全理事会的研究报告，它概述了企业如何利用这些新技术所带来的巨大商业优势，同时不会使公司陷入风险之中。

　　“很多企业日益成长为‘超级扩展型企业’，它们比以往任何时候，以更丰富的方式相互交换信息，” RSA总裁Art Coviello说道。“新生的Web技术、社会技术和移动技术的快速采用，以及越来越普遍的外包现象，正在迅速消融组织和信息资产的传统边界。安全战略必须要进行重大转变，以确保公司能够实现削减成本和达到收入目标的目的，同时不会造成新的、具有危险性的业务漏洞。”

　　受RSA的委托，IDG公司研究服务部门进行了一项调查，该调查针对收入超过10亿美元公司的100位顶级安全高级管理人员，结果表明一些企业是如此的热衷于新的Web技术和移动技术，但他们在部署这些技术的同时，却没有对关键的流程和数据提供足够的保护。

　　主要调查结果包括：

• 　　 70%以上的被调查者认为新的Web技术和通信技术给连接和信息交换层带来了提升，使他们的组织越来越向超级扩展型企业发展。在过去的12-24个月中，多数被调查者都增加了虚拟化、移动、社会网络技术的使用，超过三分之一的被调查者增加了云计算的使用。
• 　　 但是，许多接受调查的公司并没有采取任何战略对采用这些新技术所带来的风险进行评估。在一些组织中，企业的安全团队只有在发生问题时才会被要求介入，而在其它时候，使用这些新技术之前安全团队甚至没有得到任何的通知。不到一半的被调查公司已经制定了相关的政策，以指导员工如何使用社会网络工具和网站。
• 　　 30%以上的被调查公司已经有一些企业应用或业务流程运行在云环境中，还有16%的被调查公司计划在未来的12个月内开始迁移到云环境中。在这些公司中，有三分之二还没有实施云计算环境下的安全策略。
• 　　10个受访者中有超过8个感觉到削减成本和创造收益的压力使它们大大增加了暴露在安全风险下的可能性。10个受访者中有超过7个在过去的18个月中经历过安全事件。
• 　　大部分受调查者都表示，需要改变和提高企业的安全战略，以适应超级扩展型企业的现状。

　　研究结果在IDG公司研究服务部门的白皮书“随着超级扩展性企业的不断成长，风险也在日益扩大”中有详细的描述，您可以从下载 。组织机构也可以对它们成为超级扩展型企业的安全准备状态进行测试，并将测试结果与受调查高级管理人员的结果进行对比。

　　顶级“信息安全官”表示，超级扩展型企业需要新的安全措施

　　同样在今天，RSA还公布了其业务创新安全理事会的第四份报告：“构建大道：在前所未有的风险环境下打造“超级扩展型”企业。”在这份报告中，来自世界各地的顶级安全领导者共同探讨了在今天这样一个原本能够推动新的商业价值的善意行动却会使企业置于灾难性风险之中的世界里，如何转变安全战略。(若需要完整报告中文版，请联系我们)

　　“在这个特定的时间点，如果我们有这样一个迅速变化的环境，我们绝对要哭，‘时间到!’我们需要逐步走出来，我们需要检验计划是否进行了正确的调整，” Diageo(帝亚吉欧)首席信息安全官、理事会成员Claudia Natanson博士表示，“您的计划是否为即将开始的艰辛困境作好了准备?因为只有最敏捷的，最胜任的，最灵活的计划才能到达终点。”

　　RSA的前一项研究：“推动更快地发展：在严峻的经济环境下管理信息安全以寻求战略优势”，强调了在面临预算和资源限制时不要使创新倒退的重要性。这项新的报告演示了顶级公司的领导者是如何在促进创新的同时，还不忽略企业的安全实践和政策。

　　报告提供了创建企业全新安全模型的七个步骤

　　在与业务创新安全理事会，世界顶级安全官的深入对话基础上，本报告着眼于信息安全的发展方向。它为开发一个能够反映即将出现的新机会和危险的最新信息安全模型提供了具体的建议。理事会成员概述了为什么现今的威胁环境变化莫测，并就如何安全地利用超级扩展型企业以创造业务优势共享了他们的建议。具体指导包括：

• 　　在保护环境中进行限制。确定能更加有效地利用资源的方式。例如，理事会概述了限制安全资源对不相干的信息资产，存储数据，以及设备进行保护的战略。通过在保护环境中进行限制，企业同时还能够降低成本，减少风险并释放资源，以用于高优先级的项目。
• 　　取得竞争力。在经济艰难的时候，如果企业领导人感觉不能从内部安全组织中得到他们所需要的，那么转向外部服务供应商，而不将公司安全团队包含进来将会增加企业的总体风险。理事会解释了安全团队如何专注于他们服务质量和效率，并能清晰地阐明购买服务的价格为他们所带来的价值。
• 　　积极利用相关领域的科技。信息安全部门必须认识到阻止新兴Web和通信技术的使用是不可行的;相反他们必须推动这些技术的安全使用。理事会成员就如何从被动安全措施转变到预防性安全措施，以及如何建立企业采用新技术的路线图分享了指导意见。
• 　　从保护容器转向保护数据。在超级扩展型企业的时代，越来越多的企业数据都是在不为企业所控制的容器中进行存储和处理。例如，数据可能由服务供应商的设施进行处理，或保留在员工使用的PDA，或拥有多个企业客户的承包商使用的笔记本电脑中。在这样的环境中，理事会对将重点从保护设备转移到保护数据上提供了指导。
• 　　采用先进的安全监控技术。在今天的威胁环境中，安全团队必须对用来监测异常和恶意活动的方法进行升级。理事会成员分享了从基于签名的防病毒和黑名单方法转向诸如基于行为的监测和白名单等更精确技术的建议。
• 　　协同创建行业标准。理事会成员就安全技术人员，第三方供应商和新兴技术建立统一的信息安全标准，为什么已经到了一个关键结合点进行了探讨。
• 　　分享风险情报。为了使企业能够抵御国际黑客和日益复杂的欺诈网络，理事会推荐了一个涵盖企业，执法机关和政府的、强有力并具协作性的情报共享生态系统。

　　业务创新安全理事会介绍

　　业务创新安全理事会由10位成功的安全高级管理人员组成，他们致力于分享自己的见解和经验，帮助世界各地的组织推动信息安全的发展。理事会成员包括：摩根大通风险和安全管理董事总经理Anish Bhimani;摩托罗拉信息安全和保护公司副总裁Bill Boni;EMC公司副总裁兼首席安全官Roland Cloutier;易趣市场部副总裁兼首席信息安全官 Dave Cullinane;CSO机密公司前副总裁、数字安全和首席信息安全官，BP总监Paul Dorey博士;时代华纳副总裁兼信息安全及隐私官Renee Guttmann;Genzyme安全部副总裁David Kent;帝亚吉欧首席信息安全官Claudia Natanson博士;信诺公司首席信息安全官Craig Shumard;以及诺华安全与合规性IT风险管理主管Andreas Wuchner。

转载于:https://www.cnblogs.com/waw/archive/2011/10/08/2202885.html