近日，Websense公司CSO(首席安全官)Jason Clark撰文，總結(jié)出當(dāng)前首席信息安全官們最急迫的8個(gè)心愿。

1、簡(jiǎn)單而不繁雜

IT領(lǐng)域發(fā)生了太多變化：云計(jì)算、移動(dòng)互聯(lián)、社交網(wǎng)絡(luò)，各種技術(shù)創(chuàng)新如洪水般向我們襲來(lái)。但是，各種技術(shù)之間并沒(méi)有對(duì)話，并且這種形勢(shì)正在加劇。運(yùn)維效率和效果的下降已經(jīng)影響到了整個(gè)組織。太多的安全解決方案能提供多種功能，但多數(shù)人只用到其中一小部分。為提高效率，我們需要更易于共享的更簡(jiǎn)潔的解決方案。

2、不被太多數(shù)據(jù)和信息淹沒(méi)

防火墻、防病毒軟件、IDS/IPS、負(fù)載均衡、路由器、交換機(jī)、DLP、web安全網(wǎng)關(guān)、移動(dòng)設(shè)備管理，在數(shù)以千計(jì)的應(yīng)用和數(shù)據(jù)庫(kù)中，我們已經(jīng)被數(shù)據(jù)包圍，而很多數(shù)據(jù)都是我們不需要在日常工作中看到的。我問(wèn)過(guò)很多CISO，“你們從IDS或防火墻日志中獲得了什么價(jià)值？”多數(shù)回答是，正是因?yàn)閿?shù)據(jù)太多，他們幾乎沒(méi)有從中獲得價(jià)值。即便是SIEM(安全信息和事件管理)也不智能，只是簡(jiǎn)單地將數(shù)據(jù)轉(zhuǎn)換為信息，但信息并不是我們想要的，我們需要信息得到評(píng)估和分析，以便知道將采取什么行動(dòng)來(lái)解決存在的問(wèn)題。CSO們需要一個(gè)制定整體風(fēng)險(xiǎn)管理策略的指南。

3、將數(shù)據(jù)轉(zhuǎn)換為智慧

CSO們需要數(shù)據(jù)，以便做出最佳的安全決策。為此，數(shù)據(jù)需要被轉(zhuǎn)換成信息，信息需要蘊(yùn)含知識(shí)，知識(shí)有助于CSO們構(gòu)建安全智慧。遺憾的是，上述許多解決方案并未將信息轉(zhuǎn)化為智能，只是簡(jiǎn)單地提供了信息，這才有了主動(dòng)防護(hù)和被動(dòng)處理之爭(zhēng)。

4、預(yù)見(jiàn)風(fēng)險(xiǎn)

目前，很多治理-風(fēng)險(xiǎn)-合規(guī)類平臺(tái)產(chǎn)品(GRC)還不夠智能，且過(guò)于復(fù)雜。而好的風(fēng)險(xiǎn)合規(guī)解決方案又十分昂貴，很少有公司買得起。CSO們需要一種易于部署和管理的GRC解決方案。由于很多CSO都是與他人合作，并繼續(xù)采用云技術(shù)，他們將會(huì)越來(lái)越少地直接控制和管理基礎(chǔ)設(shè)施，GRC未來(lái)就將成為幫助他們管理風(fēng)險(xiǎn)的工具。

5、隨時(shí)可見(jiàn)、可控并保護(hù)數(shù)據(jù)

要強(qiáng)調(diào)的是，這里說(shuō)的是數(shù)據(jù)而非設(shè)備。無(wú)論在終端還是在云端，我們都需要知道數(shù)據(jù)在哪里，誰(shuí)在用，什么時(shí)候被訪問(wèn)了。我們還需要能控制數(shù)據(jù)，以便從底層考慮我們的安全程序。

6、 安全引入BYOD

CSO們希望引入BYOD，但多數(shù)CIO還不喜歡對(duì)移動(dòng)設(shè)備進(jìn)行管理(MDM)。我們需要輕松地準(zhǔn)許任何設(shè)備進(jìn)入網(wǎng)絡(luò)或訪問(wèn)數(shù)據(jù)，但需要它們?nèi)靠梢?jiàn)，數(shù)據(jù)也能得到控制。未來(lái)，數(shù)據(jù)泄漏防護(hù)(DLP)和企業(yè)數(shù)字版權(quán)管理(DRM)將會(huì)融合。移動(dòng)設(shè)備管理(MDM)只是將端點(diǎn)安全的老方法應(yīng)用到移動(dòng)設(shè)備上，但不能真正解決問(wèn)題。

7、阻止釣魚(yú)攻擊

這是攻擊用戶的首選方式。網(wǎng)絡(luò)釣魚(yú)可能是個(gè)古老的方法，卻被證明在社會(huì)工程學(xué)攻擊中非常有效。我問(wèn)過(guò)200名CISO“有沒(méi)有自信能阻止公司CEO遭釣魚(yú)攻擊”這個(gè)問(wèn)題，沒(méi)有一個(gè)人給我肯定回答。我們必須想辦法解決這個(gè)問(wèn)題。

你需要基于云的防釣魚(yú)攻擊的郵件安全解決方案，它會(huì)捕捉并檢查從未見(jiàn)過(guò)的URL——在它們攻擊你的網(wǎng)絡(luò)前。你的反垃圾郵件系統(tǒng)做不了這個(gè)。另外，許多釣魚(yú)網(wǎng)站email也會(huì)繞過(guò)公司的郵件系統(tǒng)攻擊CEO的Gmail賬號(hào)。你需要web安全網(wǎng)關(guān)來(lái)保護(hù)用戶——當(dāng)他們點(diǎn)擊釣魚(yú)網(wǎng)站鏈接時(shí)。

8、安全工作的價(jià)值易于衡量

這很重要。安全是整個(gè)董事會(huì)的事，但我們?cè)诤饬堪踩ぷ鞯某煽?jī)時(shí)，必須能夠說(shuō)服董事會(huì)。我們必須說(shuō)清楚新的安全挑戰(zhàn)和威脅是相當(dāng)多的。如何向CEO和董事會(huì)描述我們的價(jià)值？這是個(gè)值得大家共同思考的問(wèn)題。