http://m.henanjusheng.com 2010-09-30 14:46 來源:中國自動化學(xué)會專家咨詢工作委員會
2009年10月26日 剛剛在英國倫敦召開的RSA® 2009歐洲大會,其開幕演講主題是:建立系統(tǒng)性的安全策略,協(xié)助組織更好地應(yīng)對挑戰(zhàn),把握下一代技術(shù)發(fā)展趨勢所創(chuàng)造的機會。在聯(lián)合主題演講中,EMC(NYSE:EMC)信息安全事業(yè)部RSA總裁Art Coviello和高級副總裁Christopher Young分別強調(diào)指出,各組織建立系統(tǒng)化安全策略、應(yīng)付不斷提升的技術(shù)趨勢,這不是一個負擔(dān),而是一個前所未有的機遇,這樣可以提高安全性,建立更安全的信息基礎(chǔ)架構(gòu)。
點擊這里下載完整的開幕主題演講講稿。
“在過去100年里,技術(shù)和信息發(fā)生了翻天覆地的變化,但人們應(yīng)對這種發(fā)展的行為卻進步得非常緩慢,我們跟進我們所面臨的復(fù)雜性能力非常有限,”Art Coviello說。“因此,今天我們發(fā)現(xiàn),克服復(fù)雜性非常有價值。這樣,人類才可以充分利用這些引人矚目的技術(shù)發(fā)展和進步。這就是世界各地IT組織所面臨的挑戰(zhàn)。”
在聯(lián)合主題演講中,兩位EMC高層的演講都針對即將到來的、正在改變安全應(yīng)用方式的趨勢:例如,數(shù)據(jù)中心虛擬化、云計算、移動應(yīng)用和社會化計算的發(fā)展。Coviello和Young鼓勵組織順應(yīng)這些趨勢,抓住機遇,在信息基礎(chǔ)架構(gòu)中建立更好的安全性,而不是抗拒這些趨勢,無視它們所構(gòu)成的風(fēng)險。為了加速這一轉(zhuǎn)變,他們?yōu)榕c會者提供了七項指導(dǎo)原則,涵蓋當今不斷變化的安全版圖下建立高效信息安全戰(zhàn)略所需的關(guān)鍵要素。
“順應(yīng)趨勢的人將在創(chuàng)新浪潮中處于有利的位置,收入增加,成本降低,基礎(chǔ)架構(gòu)更快捷、更靈活”,Young說,“為做到這一點,我們必須作為一個行業(yè)崛起,用新一代的信息安全戰(zhàn)略迎接新一代的趨勢。”
RSA 7項指導(dǎo)原則:建立系統(tǒng)的信息安全策略
EMC信息安全事業(yè)部RSA斷言,現(xiàn)在就是企業(yè)信息安全負責(zé)人確定系統(tǒng)化戰(zhàn)略的時機。系統(tǒng)化戰(zhàn)略不僅可以讓組織有效地保護當前快速變化的環(huán)境,而且可以讓它們在將來提供更安全的信息基礎(chǔ)架構(gòu)。這一系統(tǒng)承認獨立產(chǎn)品,但提請信息安全從業(yè)者注意這些產(chǎn)品是否能夠協(xié)同工作,解決共同問題,是否能夠開創(chuàng)新的機遇。
以下通過RSA自身業(yè)務(wù)的實例,展示如何實施七項指導(dǎo)原則:
1. 信息安全措施必須嵌入到IT基礎(chǔ)架構(gòu)之中——第一個原則認為,信息安全措施不應(yīng)該只是集成到基礎(chǔ)架構(gòu)中,而應(yīng)該嵌入其中。這種理念推動了RSA一系列重大舉措,包括與思科的合作。來自RSA和思科的團隊聯(lián)手將數(shù)據(jù)丟失防護嵌入到思科IronPort電子郵件安全網(wǎng)關(guān)等設(shè)備中。RSA和VMware也結(jié)盟成了技術(shù)合作伙伴,將核心的信息安全控制嵌入到虛擬基礎(chǔ)架構(gòu),幫助組織降低風(fēng)險,提高它們的整體信息安全狀況。
2. 發(fā)展解決方案生態(tài)系統(tǒng)——必須形成生態(tài)系統(tǒng),讓多家組織的產(chǎn)品和服務(wù)協(xié)同工作,解決共同的信息安全問題。 RSA投資了RSA eFraud NetworkTM社區(qū),它是與全球數(shù)千家金融機構(gòu)合作創(chuàng)建的生態(tài)系統(tǒng),能夠在網(wǎng)絡(luò)欺詐分子流竄于全世界范圍內(nèi)各金融機構(gòu)之間時發(fā)現(xiàn)他們。
3. 創(chuàng)建無縫、透明的安全性——信息安全措施對所要保護的用戶和系統(tǒng)具備很大的透明性,這對于彌合技術(shù)進步速度和人們技術(shù)跟蹤能力之間的差距非常重要。RSA與全球最大的付款處理公司第一數(shù)據(jù)公司(First Data Corporation)開展技術(shù)合作,其背后的動機就是建立無縫、透明的信息安全措施。 RSA和第一數(shù)據(jù)公司最近宣布了一項服務(wù),可以保護支付數(shù)據(jù)于商家,因此商家無需將信用卡數(shù)據(jù)存儲在其IT系統(tǒng)內(nèi)。這項服務(wù)內(nèi)置到第一數(shù)據(jù)公司的付款處理系統(tǒng)中,對商家和它們的客戶都是無縫和透明的。
4. 確保信息安全控制是關(guān)聯(lián)而且內(nèi)容感知的——用戶對信息的平均訪問量以指數(shù)級的速度增長,信息保護的法規(guī)數(shù)量也在大幅增加。在EMC關(guān)鍵事件響應(yīng)中心(Critical Incident Response Center,CIRC),安全信息管理是集中進行的,這樣它就能夠關(guān)聯(lián)各種信息控制措施的數(shù)據(jù),例如數(shù)據(jù)丟失防護,基于風(fēng)險的身份驗證之類的身份控制措施,以及補丁、配置和漏洞管理系統(tǒng)等基礎(chǔ)架構(gòu)控制措施。這種先進的信息安全運營的方法,可以提高信息安全分析師獲取所需信息的速度,盡快區(qū)分出良性安全事件和高威脅性的事件。
5. 信息安全措施的重點既要由外而內(nèi),又要由內(nèi)而外——RSA認為信息安全的方式必須雙管齊下,既保護邊界(由外而內(nèi)),又保護信息本身(由內(nèi)而外)。既然用戶是從網(wǎng)絡(luò)內(nèi)外的各種設(shè)備和云環(huán)境中訪問信息的,當信息在整個信息基礎(chǔ)架構(gòu)中移動時,信息安全策略和控制措施就必須依附在信息上。
6. 信息安全必須是動態(tài)的、基于風(fēng)險的——由于犯罪分子和網(wǎng)絡(luò)欺詐者不需要遵守規(guī)則和法規(guī),他們可以無拘無束地部署越來越富創(chuàng)造性的攻擊。為迎戰(zhàn)這一現(xiàn)實,各組織就需要動態(tài)關(guān)聯(lián)大量來源的信息,響應(yīng)基礎(chǔ)架構(gòu)和信息相關(guān)的實時風(fēng)險。 RSA當天宣布了新的咨詢顧問服務(wù),幫助企業(yè)實施或改善信息安全運營功能,更有效地管理風(fēng)險與IT合規(guī)項目。
7. 有效的信息安全措施需要自學(xué)習(xí)——IT基礎(chǔ)架構(gòu)和針對它們所發(fā)起惡意攻擊的動態(tài)特性,已經(jīng)遠遠超越了人類跟進其速度和復(fù)雜性的能力。為此,信息安全戰(zhàn)略必須是動態(tài)的、基于行為的。為實現(xiàn)這一目標,RSA當天還宣布,它正攜手趨勢科技,利用趨勢科技威脅資源中心搜集的間諜軟件、病毒、垃圾郵件及其它數(shù)據(jù)實時情報。為提高對RSA ® FraudActionsm反木馬服務(wù)客戶的終端保護,這些重要信息將直接導(dǎo)入RSA ®反網(wǎng)絡(luò)欺詐指揮中心。