摘 要：盡管多數(shù)受訪企業(yè)對自己的信息安全很有信心，但是實(shí)際上企業(yè)信息安全的狀況并不樂觀。用友UAP安全專家楊黎表示，這一方面是由于企業(yè)在人員、流程及技術(shù)在安全方面的結(jié)合上依然滯后，另一方面隨著新技術(shù)的出現(xiàn)也為企業(yè)帶來了新的風(fēng)險(xiǎn)。
隨著信息化的加快，近年來企業(yè)信息安全越來越受到重視。盡管多數(shù)受訪企業(yè)對自己的信息安全很有信心，但是實(shí)際上企業(yè)信息安全的狀況并不樂觀。用友UAP安全專家楊黎表示，這一方面是由于企業(yè)在人員、流程及技術(shù)在安全方面的結(jié)合上依然滯后，另一方面隨著新技術(shù)的出現(xiàn)也為企業(yè)帶來了新的風(fēng)險(xiǎn)。
從Ernst & Young的全球信息安全調(diào)查中可以看到，有63%的企業(yè)沒有正式的安全框架，多數(shù)企業(yè)為了滿足短期的信息安全需求，使用修補(bǔ)或簡單疊加的變通方案。這樣拼湊起來的防御體系松散、復(fù)雜且十分脆弱，存在巨大的安全隱患，使得變通方案難以理解、采用或升級。此外，受經(jīng)濟(jì)環(huán)境的影響，企業(yè)在安全方面的投入出現(xiàn)停滯或者減少，這使得企業(yè)信息安全能力在未來呈現(xiàn)下降的趨勢。用友UAP安全專家楊黎指出，就目前而言，企業(yè)信息安全現(xiàn)狀主要存在三個(gè)方面的挑戰(zhàn)：企業(yè)信息系統(tǒng)缺乏完整有效的安全技術(shù)、缺少完善的信息安全管理制度、員工安全意識(shí)有待加強(qiáng)。
新技術(shù)的使用，如云計(jì)算、移動(dòng)應(yīng)用、社交等，對企業(yè)信息化帶來很多新的應(yīng)用和創(chuàng)新模式。“但同時(shí)，新技術(shù)對企業(yè)信息安全也產(chǎn)生巨大影響，這點(diǎn)是企業(yè)不可忽視的“用友UAP安全專家楊黎強(qiáng)調(diào)。
云計(jì)算能夠讓企業(yè)基于云服務(wù)的靈活性和適應(yīng)性，提高企業(yè)解讀和應(yīng)對市場情況變化的能力。云計(jì)算創(chuàng)造眾多市場機(jī)會(huì)的同時(shí)，也帶來了新的風(fēng)險(xiǎn)。研究機(jī)構(gòu)Gartner的云計(jì)算安全風(fēng)險(xiǎn)評估報(bào)告稱，云計(jì)算需要進(jìn)行安全風(fēng)險(xiǎn)評估的領(lǐng)域包括：數(shù)據(jù)完整性、數(shù)據(jù)恢復(fù)及隱私等。此外，還需對電子檢索、可監(jiān)管性及審計(jì)問題進(jìn)行法律方面的評價(jià)。報(bào)告還列出了云計(jì)算面臨的七大風(fēng)險(xiǎn)：特權(quán)用戶的接入、可審查性、數(shù)據(jù)位置、數(shù)據(jù)隔離、數(shù)據(jù)恢復(fù)、調(diào)查支持、長期生存性。
隨著移動(dòng)技術(shù)的進(jìn)步，能夠訪問電子郵件和企業(yè)業(yè)務(wù)數(shù)據(jù)的移動(dòng)應(yīng)用得到廣泛使用，是否在辦公室辦公已變得不那么重要，員工可以在移動(dòng)設(shè)備上訪問、存儲(chǔ)敏感的企業(yè)數(shù)據(jù)和個(gè)人數(shù)據(jù)。移動(dòng)技術(shù)給企業(yè)帶來機(jī)遇的同時(shí)也帶來了新的威脅，如：移動(dòng)設(shè)備的數(shù)據(jù)泄露、網(wǎng)絡(luò)攻擊、惡意軟件、設(shè)備丟失。
社交媒體已經(jīng)成為產(chǎn)品開發(fā)、反饋、消費(fèi)者交流與參與的關(guān)鍵渠道。它改變了企業(yè)與客戶的聯(lián)系方式，幫助企業(yè)建立品牌忠誠并實(shí)現(xiàn)更有效的營銷，通過客戶反饋幫助企業(yè)持續(xù)改進(jìn)市場戰(zhàn)略與定位。然而社交媒體在創(chuàng)造眾多機(jī)遇的同時(shí)，也帶來許多新的挑戰(zhàn)，包括數(shù)據(jù)安全、隱私、監(jiān)管與合規(guī)要求，以及員工在工作時(shí)間使用工作設(shè)備登錄社交媒體產(chǎn)生的風(fēng)險(xiǎn)。
高級持續(xù)性威脅(APT：Advanced Persistent Threat)是指組織或者小團(tuán)體使用先進(jìn)的攻擊手段對特定目標(biāo)進(jìn)行長期持續(xù)性網(wǎng)絡(luò)攻擊的攻擊形式。用友UAP安全專家楊黎介紹，APT的主要特征是潛伏性和持續(xù)性。潛伏性是指APT可能在企業(yè)環(huán)境中存在一年以上或更久，攻擊者不斷收集各種信息，直到收集到重要情報(bào)。持續(xù)性是指APT攻擊為期幾個(gè)月甚至長達(dá)數(shù)年的特征，這讓企業(yè)的管理人員無從察覺。針對APT攻擊的特點(diǎn)，企業(yè)需要建立全面的安全防御體系，消除安全孤島，使用強(qiáng)身份認(rèn)證、敏感信息防泄露、網(wǎng)絡(luò)立體監(jiān)控和取證、安全事件監(jiān)控響應(yīng)、邊界安全管控、漏洞掃描與發(fā)現(xiàn)、全系統(tǒng)日志收集和智能分析、反網(wǎng)絡(luò)欺詐等多種手段防御APT攻擊。然而，在GISS2012調(diào)查中，83%被調(diào)查的中國企業(yè)認(rèn)為APT攻擊將是企業(yè)的一個(gè)潛在安全問題，但只有不到28%的公司制定和實(shí)施了針對APT攻擊的防護(hù)措施。
這些新技術(shù)之所以給企業(yè)帶來新的威脅，原因在于它們有一個(gè)共同特點(diǎn)，那就是突破了企業(yè)傳統(tǒng)的安全邊界。
