新的安全問題和挑戰(zhàn)不斷涌現(xiàn)意味著安全必須并將繼續(xù)在每個IT商店的前端。特別是隨著數(shù)字時代的發(fā)展。
關(guān)鍵的原因是 沒有絕對的安全。新的威脅以令人震驚的規(guī)律出現(xiàn)。這意味著 - 不管操作要求，安全技術(shù)或應(yīng)用程序限制如何，永遠(yuǎn)保持警惕，始終是任何組織的成功代價。
隨著數(shù)字時代的到來，所有的系統(tǒng)，網(wǎng)絡(luò)和應(yīng)用程序都需要對安全的各個方面進行全面和持續(xù)的審查。這項活動包括從政策和規(guī)劃到技術(shù)，部署，驗證，運營，升級和演進的所有活動。
IT領(lǐng)域，沒有什么應(yīng)該 永遠(yuǎn) 不涉及底層的安全后果的一個完整的審查，并考慮進行更改。
讓我們看看數(shù)字世界的安全生命周期：
要求和政策：
任何其他活動開始之前，一個可行的 安全策略 是必不可少的。這不需要是一個復(fù)雜或復(fù)雜的文件。相反，它只能把重點放在三個關(guān)鍵項目上：
哪些信息被分類為敏感信息，并且至少需要某種程度的保護。
誰有權(quán)訪問這些信息以及在什么情況下。
如果違規(guī)，應(yīng)該怎么做。
安全策略不應(yīng)該定義需要什么特定的技術(shù)，工具和解決方案。這是IT部門的安全專家的工作。
但是它 確實 需要確保遵守整個組織的使命和目標(biāo)。通過分發(fā)文件，在線或課堂培訓(xùn)，和/或定期加強，在組織內(nèi)廣泛傳播政策至關(guān)重要。
安全團隊需要監(jiān)視可能危害安全的行為和做法，因為任何安全實施與其下的安全實施一樣好。
日常工作中第三方云應(yīng)用程序的使用越來越多，例如像Dropbox這樣的文件存儲和共享服務(wù)以及Box等協(xié)作應(yīng)用程序，都需要擴展應(yīng)用于存儲在企業(yè)中的信息的相同數(shù)據(jù)安全策略和保護。
規(guī)劃：
必須考慮如何實施該政策及其對用戶的影響。大眾解決方案總是會引起個人變通，可能會導(dǎo)致安全目標(biāo)的妥協(xié)。更不要提到敏感信息。安全必須是盡可能透明，與 實現(xiàn) ，而不是個人用戶的決策驅(qū)動的結(jié)果。例如，如果用戶不允許將包含安全策略中定義的信息的文件復(fù)制或打印為敏感，則操作實施應(yīng)該防止這種情況發(fā)生，而不是僅依賴于用戶的合作。
技術(shù)和工藝：
任何安全實施的核心都是兩個基本功能：
認(rèn)證： 這是一方在交易中證明其身份的行為 - 理想情況下，這應(yīng)該是相互的。這里最常用的技術(shù)是傳統(tǒng)的用戶名/密碼對。一個更好的技術(shù)是 雙因素認(rèn)證，通常被描述為“你所擁有的東西加上你知道的東西”。這可能采取USB密鑰加用戶名/密碼技術(shù)的形式，或者發(fā)送消息給授權(quán)的手機并等待為了適當(dāng)?shù)幕貞?yīng)。
加密：這是信息編碼，只有授權(quán)方才能閱讀和使用。這里有各種各樣的標(biāo)準(zhǔn)技術(shù)(例如https)，但是 在安全策略中定義為敏感的所有信息在居住 或過境中隨時隨地進行加密 至關(guān)重要 。當(dāng)數(shù)據(jù)放在服務(wù)器或手機中的磁盤驅(qū)動器上時，數(shù)據(jù)加密失敗是一個常見的(常見的)錯誤，而這個錯誤常常是妥協(xié)的來源。今天，虛擬專用網(wǎng)絡(luò)(VPN)的使用非常容易，沒有理由不在每個數(shù)字應(yīng)用中使用這種技術(shù)。
部署和驗證：
在沒有“試用”或“測試”的情況下推出新的數(shù)字服務(wù)或應(yīng)用程序永遠(yuǎn)不是一個好主意。這意味著只有一小部分用戶才能使用它，驗證應(yīng)用和密切監(jiān)控的能力的各個方面。支持小組必須始終處于循環(huán)之中，以確定在成為主要生產(chǎn)規(guī)模支持成本和頭痛之前可以消除的常見問題。
使用“白帽”或“道德”黑客從各個角度攻擊新解決方案的安全性也是一個好主意。內(nèi)部人員通常不可能知道每一個可能的攻擊媒介，并且探索每個可能的漏洞。
今天的安全格局非常復(fù)雜，專家們幾乎總是要參與其中。預(yù)先測試和驗證可以是非常便宜的保險。這是因為應(yīng)對違規(guī)或相關(guān)挑戰(zhàn)的代價是無法估量的。
操作：
一旦數(shù)字解決方案正式生產(chǎn)并進行大規(guī)模生產(chǎn)，監(jiān)控任何形式的異常情況至關(guān)重要。安全挑戰(zhàn)隨時可能蔓延。這是監(jiān)視性能，安全性和其他本地定義約束的管理控制臺和其他工具的領(lǐng)域。軟件定義網(wǎng)絡(luò)(SDN)目前的趨勢將在運營保障領(lǐng)域隨著時間的推移提供顯著的優(yōu)勢，在定期的更新周期和其他重大設(shè)備采購活動中應(yīng)該考慮這項技術(shù)的優(yōu)勢。
升級和演變：
在所有重新配置，升級，增強，新功能部署和相關(guān)的大規(guī)模更改期間，都必須仔細(xì)評估安全性。在部署應(yīng)用程序更新時也是如此 - 在計算安全成功的價格時，回歸和其他測試可能是相對較小的組件。
當(dāng)然，對整體安全政策進行定期(每年至少兩次)的審查是必不可少的。這有助于驗證它是否與整體組織目標(biāo)保持一致并服務(wù)于整體組織目標(biāo)。
請記住， 安全是IT從未做過的一個領(lǐng)域。
轉(zhuǎn)向全數(shù)字世界的經(jīng)濟和功能優(yōu)勢使得數(shù)字化演進成為本地每個組織的關(guān)鍵IT優(yōu)先事項。保安都必須保持一個核心焦點- 永遠(yuǎn)。
下一個教程：大數(shù)據(jù)更好的安全性
