新的安全問(wèn)題和挑戰(zhàn)不斷涌現(xiàn)意味著安全必須并將繼續(xù)在每個(gè)IT商店的前端。特別是隨著數(shù)字時(shí)代的發(fā)展。
關(guān)鍵的原因是 沒(méi)有絕對(duì)的安全。新的威脅以令人震驚的規(guī)律出現(xiàn)。這意味著 - 不管操作要求，安全技術(shù)或應(yīng)用程序限制如何，永遠(yuǎn)保持警惕，始終是任何組織的成功代價(jià)。
隨著數(shù)字時(shí)代的到來(lái)，所有的系統(tǒng)，網(wǎng)絡(luò)和應(yīng)用程序都需要對(duì)安全的各個(gè)方面進(jìn)行全面和持續(xù)的審查。這項(xiàng)活動(dòng)包括從政策和規(guī)劃到技術(shù)，部署，驗(yàn)證，運(yùn)營(yíng)，升級(jí)和演進(jìn)的所有活動(dòng)。
IT領(lǐng)域，沒(méi)有什么應(yīng)該 永遠(yuǎn) 不涉及底層的安全后果的一個(gè)完整的審查，并考慮進(jìn)行更改。
讓我們看看數(shù)字世界的安全生命周期：
要求和政策：
任何其他活動(dòng)開(kāi)始之前，一個(gè)可行的 安全策略 是必不可少的。這不需要是一個(gè)復(fù)雜或復(fù)雜的文件。相反，它只能把重點(diǎn)放在三個(gè)關(guān)鍵項(xiàng)目上：
哪些信息被分類(lèi)為敏感信息，并且至少需要某種程度的保護(hù)。
誰(shuí)有權(quán)訪(fǎng)問(wèn)這些信息以及在什么情況下。
如果違規(guī)，應(yīng)該怎么做。
安全策略不應(yīng)該定義需要什么特定的技術(shù)，工具和解決方案。這是IT部門(mén)的安全專(zhuān)家的工作。
但是它 確實(shí) 需要確保遵守整個(gè)組織的使命和目標(biāo)。通過(guò)分發(fā)文件，在線(xiàn)或課堂培訓(xùn)，和/或定期加強(qiáng)，在組織內(nèi)廣泛傳播政策至關(guān)重要。
安全團(tuán)隊(duì)需要監(jiān)視可能危害安全的行為和做法，因?yàn)槿魏伟踩珜?shí)施與其下的安全實(shí)施一樣好。
日常工作中第三方云應(yīng)用程序的使用越來(lái)越多，例如像Dropbox這樣的文件存儲(chǔ)和共享服務(wù)以及Box等協(xié)作應(yīng)用程序，都需要擴(kuò)展應(yīng)用于存儲(chǔ)在企業(yè)中的信息的相同數(shù)據(jù)安全策略和保護(hù)。
規(guī)劃：
必須考慮如何實(shí)施該政策及其對(duì)用戶(hù)的影響。大眾解決方案總是會(huì)引起個(gè)人變通，可能會(huì)導(dǎo)致安全目標(biāo)的妥協(xié)。更不要提到敏感信息。安全必須是盡可能透明，與 實(shí)現(xiàn) ，而不是個(gè)人用戶(hù)的決策驅(qū)動(dòng)的結(jié)果。例如，如果用戶(hù)不允許將包含安全策略中定義的信息的文件復(fù)制或打印為敏感，則操作實(shí)施應(yīng)該防止這種情況發(fā)生，而不是僅依賴(lài)于用戶(hù)的合作。
技術(shù)和工藝：
任何安全實(shí)施的核心都是兩個(gè)基本功能：
認(rèn)證： 這是一方在交易中證明其身份的行為 - 理想情況下，這應(yīng)該是相互的。這里最常用的技術(shù)是傳統(tǒng)的用戶(hù)名/密碼對(duì)。一個(gè)更好的技術(shù)是 雙因素認(rèn)證，通常被描述為“你所擁有的東西加上你知道的東西”。這可能采取USB密鑰加用戶(hù)名/密碼技術(shù)的形式，或者發(fā)送消息給授權(quán)的手機(jī)并等待為了適當(dāng)?shù)幕貞?yīng)。
加密：這是信息編碼，只有授權(quán)方才能閱讀和使用。這里有各種各樣的標(biāo)準(zhǔn)技術(shù)(例如https)，但是 在安全策略中定義為敏感的所有信息在居住 或過(guò)境中隨時(shí)隨地進(jìn)行加密 至關(guān)重要 。當(dāng)數(shù)據(jù)放在服務(wù)器或手機(jī)中的磁盤(pán)驅(qū)動(dòng)器上時(shí)，數(shù)據(jù)加密失敗是一個(gè)常見(jiàn)的(常見(jiàn)的)錯(cuò)誤，而這個(gè)錯(cuò)誤常常是妥協(xié)的來(lái)源。今天，虛擬專(zhuān)用網(wǎng)絡(luò)(VPN)的使用非常容易，沒(méi)有理由不在每個(gè)數(shù)字應(yīng)用中使用這種技術(shù)。
部署和驗(yàn)證：
在沒(méi)有“試用”或“測(cè)試”的情況下推出新的數(shù)字服務(wù)或應(yīng)用程序永遠(yuǎn)不是一個(gè)好主意。這意味著只有一小部分用戶(hù)才能使用它，驗(yàn)證應(yīng)用和密切監(jiān)控的能力的各個(gè)方面。支持小組必須始終處于循環(huán)之中，以確定在成為主要生產(chǎn)規(guī)模支持成本和頭痛之前可以消除的常見(jiàn)問(wèn)題。
使用“白帽”或“道德”黑客從各個(gè)角度攻擊新解決方案的安全性也是一個(gè)好主意。內(nèi)部人員通常不可能知道每一個(gè)可能的攻擊媒介，并且探索每個(gè)可能的漏洞。
今天的安全格局非常復(fù)雜，專(zhuān)家們幾乎總是要參與其中。預(yù)先測(cè)試和驗(yàn)證可以是非常便宜的保險(xiǎn)。這是因?yàn)閼?yīng)對(duì)違規(guī)或相關(guān)挑戰(zhàn)的代價(jià)是無(wú)法估量的。
操作：
一旦數(shù)字解決方案正式生產(chǎn)并進(jìn)行大規(guī)模生產(chǎn)，監(jiān)控任何形式的異常情況至關(guān)重要。安全挑戰(zhàn)隨時(shí)可能蔓延。這是監(jiān)視性能，安全性和其他本地定義約束的管理控制臺(tái)和其他工具的領(lǐng)域。軟件定義網(wǎng)絡(luò)(SDN)目前的趨勢(shì)將在運(yùn)營(yíng)保障領(lǐng)域隨著時(shí)間的推移提供顯著的優(yōu)勢(shì)，在定期的更新周期和其他重大設(shè)備采購(gòu)活動(dòng)中應(yīng)該考慮這項(xiàng)技術(shù)的優(yōu)勢(shì)。
升級(jí)和演變：
在所有重新配置，升級(jí)，增強(qiáng)，新功能部署和相關(guān)的大規(guī)模更改期間，都必須仔細(xì)評(píng)估安全性。在部署應(yīng)用程序更新時(shí)也是如此 - 在計(jì)算安全成功的價(jià)格時(shí)，回歸和其他測(cè)試可能是相對(duì)較小的組件。
當(dāng)然，對(duì)整體安全政策進(jìn)行定期(每年至少兩次)的審查是必不可少的。這有助于驗(yàn)證它是否與整體組織目標(biāo)保持一致并服務(wù)于整體組織目標(biāo)。
請(qǐng)記住， 安全是IT從未做過(guò)的一個(gè)領(lǐng)域。
轉(zhuǎn)向全數(shù)字世界的經(jīng)濟(jì)和功能優(yōu)勢(shì)使得數(shù)字化演進(jìn)成為本地每個(gè)組織的關(guān)鍵IT優(yōu)先事項(xiàng)。保安都必須保持一個(gè)核心焦點(diǎn)- 永遠(yuǎn)。
下一個(gè)教程：大數(shù)據(jù)更好的安全性
