企業安全性之最佳實踐早已廣為人知，但為什麼絕大多數企業仍然無法真正實作?就在去年，target公司ceo及cio在遭遇到有史以來規模最大的支付卡資訊竊取案件後相繼宣布辭職，這也标志着又一個曆史轉折性時刻的到來：終于，企業中的高層管理人員意識到了安全問題的嚴重性與迫切性。不考慮安全保障所帶來的嚴重後果已經昭然若揭。
自那時開始，更多資料洩露事件以層出不窮之勢覆寫了各大媒體的頭條：michaels、pf cahng’s、美國社群衛生系統、ups、dairy queen、goodwill、家得寶、摩根大寶、kmart、staples以及廣受關注的索尼已經相繼被攻陷——不僅是索尼影業執行官amy pascal，整個索尼品牌都遭受到了災難性的打擊。
面對着這一系列沖擊，相信人們對于安全問題的态度會有所變化。正如infoworld網站的roger grimes所反複強調的觀點，防止攻擊活動成功實施的最佳實踐幾乎可以說顯而易見。早在2014年遭遇攻擊之前，索尼公司的安全防禦機制就早已飽受诟病。roger曾經以索尼攻擊案為例提醒我們，“大多數企業的計算機安全整體狀況不僅僅‘堪憂’，甚至應該說‘可悲’。”
面對上述事故所帶來的可怕後果，安全意識的重要性已經被提升到了前所未有的高度。但幾乎可以肯定，今年年内我們還将親眼見證更多令人心驚的災難。為什麼悲劇總會反複發生?我給出以下幾點猜測。
1. 高層采取忽視态度
安全事務不僅帶來額外成本，而且可能會給正常業務流程帶來額外步驟、并是以影響生産力水準。沒有哪位高管會因為安全事務處理得宜而備受關注，但卻往往因短期盈利豐厚而得到贊譽。此外，首席執行官們往往會頻繁跳槽，這更使得安全事務這類長期性工作遭到嚴重忽視。在幾年任期之内遭遇大規模災難性安全事故的機率有多高?也許目前的可能性确實比幾年前更高，但賓州大學的arijit chatterjee與donald hambrick在2007年的研究論著《一切以我為中心》中指出，ceo們通常都會顯示出強烈的自戀傾向與僥幸心理。
2. 受到供應商的錯誤引導
安全方案供應商們永遠走在安全威脅炒作的第一線(旨在宣傳自己的安全保護品牌)，并緻力于銷售其所謂包治百病的保護妙藥。從技術層面講，這些威脅的确真實存在，但相較于這些小打小鬧、為未受保護的系統安裝正确更新檔往往能帶來更理想的保護效果。如果一味聽從供應商的建議，大家很可能會把最寶貴的資源從最緊要的領域挪出來并移為它用。
3. 營運慣性導緻問題拖延
假設企業管理層高度關注，并希望快速解決組織内的頭号安全風險，即用戶端java。但就在這時，幾位lob經理提出了反對意見，表示幾款關鍵性應用程式的正常運作需要以用戶端java為基礎。事實上，也确實存在着一部分需要陳舊且滿是安全漏洞的java版本才能正常運作的應用方案。那麼企業有可能先把營運放在一邊，利用安全技術對此類應用程式進行重新建立嗎?或者說，他們更傾向于先把問題擱置起來，等到明年的大規模技術更新規劃上馬時再一道加以解決?
4. 在最明顯的問題上缺乏正确引導
管理者們往往認為隻有白癡才會輕易點選某個檔案附件、打開某個指向被惡意軟體所感染之網站的連結，或者輕信僞造的病毒警報而安裝名為防毒軟體、實乃惡意軟體的程式。但事實上，釣魚郵件的效果确實非常、非常好，而且如果普通員工從來沒見過真正的反惡意木馬檢測軟體，他們根本不可能知道如何加以分辨。使用者需要系統的安全教育訓練，并在遭遇釣魚活動時得到正确的提示及引導。每次教育訓練時間不需要太長，但此類活動必須長期推進。
5. 自以為安全無憂
防火牆、入侵檢測系統、安全事件監控、網絡監控、雙因素認證、身份管理……我們的企業已經把這些方案全部部署到位，沒人能夠随便闖得進來!然而殘酷的事實證明，如果大家已經被賊惦記上了，那麼以上機制根本不足以徹底消滅數字化資産損失。要防止問題的發生，大家必須擁有審慎的心态——對閑置中的關鍵性資訊進行加密、避免設定永久性管理者權限并通過各種舉措降低惡意人士得逞後可能帶來的交叉性損失。
6.抱有聽天由命的心态
在我看來，大多數企業都很清楚安全問題的嚴重性。然而面對殘酷的現實，他們幾乎放棄了抵抗。那些有能力組織apt(即先進持續性威脅)攻擊的專業黑客幾乎不可阻擋。金融行業每年遭受的欺詐與犯罪活動損失高達數十億美元，而這已經成為其營運成本中的組成部分。走了這麼多過場，笑到最後的還是那幫惡意分子。
這種心态也有其合理性，畢竟在安全對抗當中、漏洞總是搶先于防禦機制出現。是的，攻擊活動确實無法避免，但這并不能成為我們放棄最佳實踐以顯著減小攻擊面的理由。
任何一種正确規程都會由于人為因素的介入而受到影響。然而馬馬虎虎的安全防範措施必然讓大家成為攻擊者眼中唾手可得的肥羊。大家更傾向于哪種處理态度?在面對安全威脅的恐懼當中形成新的生存習慣?抑或是增加開支以顯著降低風險的發生可能性?也許後一種方案的支援比率遠低于前者，但就個人而言，我更喜歡那種能在夜裡安然入睡的感覺。
作者：核子
來源：51cto