【中培课堂】风险分析对企业预防安全漏洞的重要性

过去的2016年，由网络安全漏洞引发的电信诈骗案件的出现，将网络安全问题推向了风口浪尖。中培伟业《信息安全管理体系与ISO27001认证》培训专家孟老师表示，在新的一年里，安全专业人员将注意力转移到内部安全威胁。孟老师认为企业内部无意的员工疏忽是比恶意攻击者的故意策划带来的损失要多得多。在打击外部威胁的同时，内部的信息安全管理尤其重要

无论企业安全的威胁来自内部还是外部，CIO和其他C级管理人员的底线是需要找到方法来识别和堵塞安全漏洞，同时采取可以降低风险的策略。孟老师指出，在信息安全领域，风险分析可以发挥极大作用。在现实中，组织最脆弱的两个内部安全点是：

· 确保适当地设置、维护和监控员工的安全访问权利;

· 确保公司治理和安全标准在内部以及公有和私有云里运行的混合IT基础设施中统一实施。

随着企业逐渐迁移到云，企业网络将面临更大的风险。比如，失去对知识产权和保密通信的控制——员工可能是疏忽甚至是恶意的，通过给予他人访问权访问不应该共享的数据。当您尝试实施数据共享的新标准时，员工可能会抗拒改变，而经理也可能不愿意定期审查其员工的安全访问权限。

总的来说，这些因素导致用户数据访问权限被不适当地设置，或被常规地违反。这个问题不是技术问题，它根植于人类行为和实践。

“无论用户是在内部访问数据还是在云中访问数据，我们已经通过开发人类行为分析来解决这种安全访问困境，多方位研究用户行为和信息访问的适当性。

孟老师还提到，一方面，企业有安全专业人员监控入侵检测，但不太关心身份问题。在整个过程中，企业的身份和访问管理专家，他们担心哪些部门和个人会获得哪些类型的访问，但通常不涉及恶意软件和入侵检测。

如果企业使用可以根据功能区域和/或用户评估数据访问许可，并随后报告任何异常的自动化工具，就可以逻辑性地减少信息访问违例，并且可以避免IT 筒仓不通信。

但这不能完全治理一切安全问题。

目前没有通用的自动化工具，可以涵盖所有IT访问方案。例如，很少有工具可以在软件即服务(SaaS)云环境中跟踪用户行为和信息访问。现有的自动化工具无法跟踪跨越所有公有云网络的边界访问。

对于高级管理人员，需要采取混合的分析策略，监控混合内部部署和云访问以及信息共享(在可行的情况下)，并与用户管理人员定期会面这种老式的方法相结合，审核用户安全权限。

使用这两种方法，可以减少信息访问滥用和共享的风险。不过，关键是让整个企业中的每个人都知道，定期审查信息访问策略和权限，并把它作为优先级是多么的重要。