遵守规定不是网络安全的主要驱动力

　Gartner分析师在Gartner安全峰会上说，努力做一个执行安全规定者或者通过审计并不能使你更安全或者保护你不受到攻击。相反，安全方面的常识性的方法也许正好等于遵守管理的规定。

　　Gartner信息安全和风险部门研究经理Amrit Williams认为，把重点放在遵守规定方面会损害整个安全。特别是，这并不能解决某些规模正在增长的威胁。

　　Williams说，我们目前面临的最大威胁是金钱日益成为网络犯罪的动机。这个大的威胁并不是新的。但是，这些威胁正在发生变化。变化的原因就是金钱。

　　这些威胁包括身份盗窃、网络勒索(如控制数据要求赎金或者进行拒绝服务攻击)、中转垃圾邮件(70%的垃圾邮件是被攻破的计算机发送的)和间谍活动。

　　Williams补充说，只要能够赚到钱，攻击者将不惜采取一切手段。这些攻击者的隐蔽性更强，并且防不胜防。这些攻击事件常常没有上报，因此很难确定这些攻击的真正数量。

　　参加这次会议的Shlomi Harif认为，许多公司与攻击它们的黑客达成妥协，让黑客取消攻击。Harif是得克萨斯州奥斯汀独立学区的网络系统和技术支持主管。他举了一个从西雅图的技术顾问那里听来的例子。他说，在波特兰的一家互联网服务提供商遭受了大约6个月时间的拒绝服务攻击。他们增加额外的带宽并且设法求助于其它的服务提供商，但是，都不管用。有一天，攻击突然停止了。这家公司很可能向勒索者支付了金钱。

　　Gartner去年12月份发表的一篇报告称，到2007年，80%的可能造成破坏的网络攻击事件是可以预防的。预防的手段包括有效地实施网络接入控制、入侵防御、身份和接入管理和安全漏洞管理等措施。

　　虽然通过遵守管理部门的规定可以间接地解决许多安全问题，但是，由于企业把资源都用在制作显示公司数据安全的文件记录上面，有些威胁便乘机躲过了企业的检测。

　　然而，Williams表示，把重点放在这些因素上将会缓解大多数网络安全威胁。在谈到入侵防御问题时，他建议说，要尽可能加强网络安全，然后把重点放在移动用户身上。例如，为所有的移动用户购买个人防火墙，因为他们具有更高的风险，最有可能把问题带到网络中来。然后再把重点放在服务器和台式电脑上。

　　Williams说，最佳的安全措施是分清轻重缓急和进行规划。成功地实施风险管理主要依靠确定资产的类别和威胁的态势。而身份和访问管理主要依靠预先确定的规则、控制和责任。至于网络访问控制，他主张“隔离、限制和拒绝”没有使用最新补丁程序和杀毒签名的系统进入网络。

　　Williams做结论说，做这四件事情能够使你的机构更有效率，预防当前的、新出现的和未来的威胁，并且帮助你满足管理部门的规定。

,