如今你若問CIO最關(guān)心的問題是什么時(shí),，他們中的絕大多數(shù)會(huì)不約而同地說(shuō)：“當(dāng)然是網(wǎng)絡(luò)安全了”,。企業(yè)網(wǎng)絡(luò)安全問題,，不僅牽系著企業(yè)用戶業(yè)務(wù)能否正常運(yùn)行,，而且還直接影響到企業(yè)效能和核心競(jìng)爭(zhēng)力的發(fā)揮,。

網(wǎng)絡(luò)安全的威脅

天災(zāi)，也叫“不可抗力”的災(zāi)難,，通常指水火無(wú)情的自然災(zāi)害,，而在今天企業(yè)可能要面臨另一種“天災(zāi)人禍”，那就是網(wǎng)絡(luò)安全,。如今你若問CIO最關(guān)心的問題是什么時(shí),，他們中的絕大多數(shù)會(huì)不約而同地說(shuō)：“當(dāng)然是網(wǎng)絡(luò)安全了”。企業(yè)網(wǎng)絡(luò)安全問題,，不僅牽系著企業(yè)用戶業(yè)務(wù)能否正常運(yùn)行,，而且還直接影響到企業(yè)效能和核心競(jìng)爭(zhēng)力的發(fā)揮。

在過去的2007年,，無(wú)論是年初蔓延網(wǎng)絡(luò)的“熊貓燒香”病毒,，還是11月的英國(guó)政府遭史上最大資料外泄使2500萬(wàn)人受到影響的事件，都說(shuō)明網(wǎng)絡(luò)安全面臨著病毒更毒,，黑客更黑,。諸如從間諜軟件、網(wǎng)游木馬,、流氓軟件,、IM通訊病毒、病毒郵件的肆虐,，到性質(zhì)極為嚴(yán)重的網(wǎng)絡(luò)銀行釣魚和針對(duì)性很強(qiáng)的木馬,、蠕蟲病毒的不斷出現(xiàn)。

俗話說(shuō)：“道高一尺,，魔高一丈”,，網(wǎng)絡(luò)系統(tǒng)的安全性問題之所以讓企業(yè)頭疼，是因?yàn)橹竿ㄟ^一勞永逸解決所有安全問題是不可能的,。類似的例子不勝枚舉,，不論是病毒,、數(shù)據(jù)丟失，還是垃圾郵件等等企業(yè)網(wǎng)絡(luò)系統(tǒng)的安全性問題,，都給企業(yè)敲響了警鐘,。因此，網(wǎng)絡(luò)系統(tǒng)的安全性也成為CIO最為頭痛和最為棘手的問題之一,。

什么是網(wǎng)絡(luò)安全威脅,？

想要應(yīng)付網(wǎng)絡(luò)安全威脅，就要先認(rèn)識(shí)到什么是“安全威脅”,。據(jù)有關(guān)調(diào)查顯示,，85%的被采訪者表示曾經(jīng)遇到網(wǎng)絡(luò)安全問題，其中遇到次數(shù)最多的是網(wǎng)絡(luò)病毒,。另外，還有70%的被采訪者表示公司網(wǎng)絡(luò)曾經(jīng)被黑客訪問過,。因此,，企業(yè)網(wǎng)絡(luò)安全性有兩個(gè)最大威脅，它們是病毒侵襲和黑客入侵,。

(1)病毒侵襲,。這幾乎有計(jì)算機(jī)的地方，就有出現(xiàn)病毒的可能性,。計(jì)算機(jī)病毒通常隱藏在文件或程序代碼內(nèi),，伺機(jī)進(jìn)行自我復(fù)制，并能夠通過網(wǎng)絡(luò),、磁盤,、光盤等諸多手段進(jìn)行傳播。計(jì)算機(jī)病毒傳播速度相當(dāng)快,、影響面大,，必須對(duì)它的危害要引起關(guān)注。殺毒軟件是對(duì)付病毒的最好方法之一,，然而如果沒有“憂患意識(shí)”,，很容易陷“盲從殺毒軟件”的誤區(qū)。

(2)黑客入侵,。一般來(lái)說(shuō),，黑客常見的入侵動(dòng)機(jī)和形式可以分為兩種。第一種是拒絕服務(wù)(DOS)攻擊,。這類攻擊一般能使單個(gè)計(jì)算機(jī)或整個(gè)網(wǎng)絡(luò)癱瘓,，黑客使用這種攻擊方式的意圖很明顯，就是要阻礙合法網(wǎng)絡(luò)用戶使用該服務(wù)或破壞正常的商務(wù)活動(dòng),。另一種是非法入侵,，非法入侵是指黑客利用企業(yè)網(wǎng)絡(luò)的安全漏洞訪問企業(yè)內(nèi)部網(wǎng)絡(luò)或數(shù)據(jù)資源,，進(jìn)行刪除、復(fù)制甚至毀壞數(shù)據(jù)的活動(dòng),。這兩種黑客入侵行為都可能致使公司停工,、增加清除成本或數(shù)據(jù)被竊而造成無(wú)法挽回的損失。除此之外,，非法入侵對(duì)于企業(yè)的品牌形象,、客戶信賴度、市場(chǎng)占有率甚至股價(jià)都有潛在性的影響,。

保障網(wǎng)絡(luò)安全有兩個(gè)支柱,，一個(gè)是技術(shù)、一個(gè)是管理,。而我們?nèi)粘Ｌ峒熬W(wǎng)絡(luò)安全時(shí),，多是在技術(shù)相關(guān)的領(lǐng)域，例如IDS入侵檢測(cè)技術(shù),、Firewall防火墻技術(shù),、Anti-Virus防病毒技術(shù)、加密技術(shù),、CA認(rèn)證技術(shù)等等,。但正如“木桶原理”所示，你的能力是由你最弱的那個(gè)環(huán)節(jié)決定的,，我們?cè)诒Ｗo(hù)網(wǎng)絡(luò)安全時(shí),，也應(yīng)該從上述二個(gè)方面全面考量，而不能只偏重其中的某一個(gè)部分,。

網(wǎng)絡(luò)安全必殺技之一：網(wǎng)絡(luò)優(yōu)化

談到網(wǎng)絡(luò)安全,，很多人會(huì)直接想到反病毒軟件、防火墻等產(chǎn)品,。實(shí)際上,，網(wǎng)絡(luò)優(yōu)化也是CIO必殺技之一。以業(yè)務(wù)效能和應(yīng)用連續(xù)性為目標(biāo),，整體性的網(wǎng)絡(luò)和應(yīng)用安全與優(yōu)化是IT網(wǎng)絡(luò)安全價(jià)值提升的重要途徑,。網(wǎng)絡(luò)優(yōu)化所涉及的技術(shù)與架構(gòu)的更新，包括全網(wǎng)流量監(jiān)測(cè),、應(yīng)用流量管理,、安全威脅管理。

(1)網(wǎng)絡(luò)安全應(yīng)用結(jié)構(gòu),。如今幾乎所有的CIO都把關(guān)鍵應(yīng)用的保障,，或者說(shuō)網(wǎng)絡(luò)的可用性列為頭等大事。

一般來(lái)說(shuō),，網(wǎng)絡(luò)體系結(jié)構(gòu)包括六個(gè)方面：應(yīng)用性能管理;安全內(nèi)容管理;安全事件管理;用戶接入管理;網(wǎng)絡(luò)資源管理;端點(diǎn)安全管理,。

(2)全網(wǎng)流量監(jiān)測(cè),。眾所周知，網(wǎng)絡(luò)安全問題80%發(fā)生在網(wǎng)絡(luò)的內(nèi)部,。對(duì)于較大規(guī)模的網(wǎng)絡(luò)而言,，網(wǎng)絡(luò)內(nèi)部的不良流量也可能非常嚴(yán)重地影響到網(wǎng)絡(luò)關(guān)鍵應(yīng)用的運(yùn)行。因此,，進(jìn)行全網(wǎng)的流量監(jiān)測(cè)是非常重要而且是必要的,。通過全網(wǎng)流量檢測(cè)，能夠了解網(wǎng)絡(luò)當(dāng)中的數(shù)據(jù)流狀況,，包括流量大小,、來(lái)源和目的、由何種應(yīng)用產(chǎn)生,、數(shù)據(jù)量的大小等,。

網(wǎng)絡(luò)優(yōu)化系統(tǒng)同時(shí)結(jié)合了識(shí)別應(yīng)用數(shù)據(jù)的能力和網(wǎng)關(guān)型直接防護(hù)能力，由于具備直接防護(hù)能力,，能夠避免聯(lián)動(dòng)所帶來(lái)的防護(hù)滯后和不夠精確等問題,，能夠直接對(duì)不良流量和內(nèi)容進(jìn)行封禁。除了能夠防護(hù)DDoS,，蠕蟲，入侵,，P2P和混合型攻擊外,，還能夠防止內(nèi)部文件通過網(wǎng)絡(luò)外泄。

管理短視是網(wǎng)絡(luò)安全最大隱憂

短視,，可能是很多CIO最不愿意承認(rèn),，卻總是會(huì)造成致命打擊。病毒一下子讓企業(yè)網(wǎng)絡(luò)處于癱瘓狀態(tài),，造成的直接經(jīng)濟(jì)損失規(guī)模大的驚人,。可令人費(fèi)解的是,，眾多企業(yè)寧可花大把的錢購(gòu)買服務(wù)器,、交換機(jī)、防火墻,，卻很少愿意去加強(qiáng)企業(yè)網(wǎng)絡(luò)的管理安全措施,。對(duì)于一個(gè)信息化的企業(yè)來(lái)說(shuō)，網(wǎng)絡(luò)信息安全不僅僅是一個(gè)技術(shù)問題,，也是一個(gè)管理問題,。在很多病毒或安全漏洞出現(xiàn)不久，通常就會(huì)有相應(yīng)的殺毒程序或者軟件補(bǔ)丁出現(xiàn),，但為什么還會(huì)讓熊貓這樣的病毒肆虐呢,？

歸根結(jié)底還是因?yàn)楹芏嗥髽I(yè)沒有養(yǎng)成主動(dòng)維護(hù)系統(tǒng)安全的習(xí)慣,，同時(shí)也缺乏安全方面良好的管理機(jī)制。保證網(wǎng)絡(luò)系統(tǒng)安全的第一步,，首先要做到重視安全管理,，不要“坐以待斃”。防火墻等設(shè)備就如網(wǎng)絡(luò)上的一把鎖,，它控制著訪問網(wǎng)絡(luò)的權(quán)限,，只允許特許用戶進(jìn)出網(wǎng)絡(luò)。當(dāng)然也不僅僅是在網(wǎng)絡(luò)設(shè)置防火墻,，為了最有效地滿足網(wǎng)絡(luò)安全需求,，還需要其它技術(shù)，如用戶驗(yàn)證,、虛擬專用網(wǎng)和入侵檢測(cè),。但更重要的是從管理和技術(shù)兩個(gè)角度結(jié)合起來(lái)推進(jìn)網(wǎng)絡(luò)安全工作。

(1)網(wǎng)絡(luò)安全管理體系

隨著企業(yè)信息化建設(shè)的展開,，網(wǎng)絡(luò)安全成為不得不面臨的嚴(yán)峻問題,。安全體系的建立其實(shí)涉及到了管理和技術(shù)兩個(gè)層面，而管理層面的體系建設(shè)是首當(dāng)其沖的,。技術(shù)上的建設(shè)和加強(qiáng)只是網(wǎng)絡(luò)安全的一方面,，而且單純的實(shí)現(xiàn)技術(shù)不是目的，技術(shù)只是圍繞企業(yè)具體的工作業(yè)務(wù)來(lái)開展應(yīng)用,。保障業(yè)務(wù)流程的網(wǎng)絡(luò)安全,，從而進(jìn)一步促進(jìn) IT在企業(yè)應(yīng)用層面的拓展，這才我們應(yīng)用安全技術(shù)最根本的目的,。因此,，“抓管理還是上技術(shù)”的最終定格為“三分技術(shù)、七分管理”,，構(gòu)建一個(gè)健全的網(wǎng)絡(luò)安全管理體系是擺在企業(yè)面前的重要一環(huán),。

從早期的加密技術(shù)、數(shù)據(jù)備份,、防病毒到近期網(wǎng)絡(luò)環(huán)境下的防火墻,、入侵檢測(cè)、身份認(rèn)證等等,，新技術(shù)層出不窮,，單純依靠技術(shù)和產(chǎn)品保障企業(yè)信息安全雖然起到了一定效果，但是復(fù)雜多變的安全威脅和隱患靠產(chǎn)品難以消除,。我們認(rèn)為：“企業(yè)要把網(wǎng)絡(luò)安全提升到管理的高度上實(shí)施,，然后落實(shí)到技術(shù)層次上做好保障。”

網(wǎng)絡(luò)安全管理體系應(yīng)該如何架構(gòu),？BS7799安全管理體系標(biāo)準(zhǔn)無(wú)疑是一個(gè)很好的幫助,。它最早由英國(guó)商務(wù)部推動(dòng),，由BSI將其發(fā)展成為標(biāo)準(zhǔn)。BS7799共分兩部分,，第一部分是信息安全管理實(shí)踐指南,，第二部分是信息安全管理體系規(guī)范。換言之,，第二部分告訴我們應(yīng)該做什么,，第一部分則提供了一些如何做或者好做法的指導(dǎo)。

(2)網(wǎng)絡(luò)行為規(guī)范化管理

網(wǎng)絡(luò)行為的根本立足點(diǎn),，不是對(duì)設(shè)備的保護(hù),，也不是對(duì)數(shù)據(jù)的看守，而是規(guī)范企業(yè)員工網(wǎng)絡(luò)行為,，這已經(jīng)上升到了對(duì)人的管理的階段,，通過技術(shù)設(shè)備和規(guī)章制度的結(jié)合來(lái)指導(dǎo)、規(guī)范員工正確使用單位的網(wǎng)絡(luò)資源,。

網(wǎng)絡(luò)安全的根本政策,，一定要包含內(nèi)部的安全管理規(guī)范。許多企業(yè)花大成本買最好的防火墻,，黑客或是熟悉該企業(yè)網(wǎng)絡(luò)環(huán)境的離職員工,，還是有辦法繞過從墻外進(jìn)來(lái)，這是因?yàn)闆]有一套軟件可以在沒有網(wǎng)絡(luò)安全管理策略之下發(fā)揮作用,。防火墻,、防毒墻都是提供服務(wù)的工具之一，人,，才是網(wǎng)絡(luò)安全最大的關(guān)鍵。CIO必須為網(wǎng)絡(luò)安全建立一套監(jiān)督與使用的管理程序,，并且徹底實(shí)行,。

(3)安全意識(shí)最重要

面對(duì)不斷襲來(lái)的安全威脅，除了購(gòu)買安全產(chǎn)品以外,，我們還應(yīng)該做些什么呢,？這里需要指出：“安全意識(shí)最重要”。

安全設(shè)施的建立只是企業(yè)信息安全的第一步,，如何在安全體系中有效徹底的貫徹安全制度,，以及不斷深化全員安全意識(shí)才是關(guān)鍵所在。光依靠技術(shù)不能完全解決安全問題,，因?yàn)檫^了一段時(shí)間,，一些先進(jìn)的技術(shù)可能就過時(shí)了，所以CIO應(yīng)該有安全意識(shí),，重視自己企業(yè)的安全措施,。加強(qiáng)安全意識(shí)的培訓(xùn),，首先要集團(tuán)的領(lǐng)導(dǎo)認(rèn)識(shí)到網(wǎng)絡(luò)安全問題，另外也要對(duì)技術(shù)人員加強(qiáng)培訓(xùn),，統(tǒng)一認(rèn)識(shí),。

這些安全措施包括，培養(yǎng)員工的安全意識(shí),，養(yǎng)成良好的上網(wǎng)習(xí)慣,，比如及時(shí)打好系統(tǒng)補(bǔ)丁、不要瀏覽不良網(wǎng)站,、不隨意下載安裝來(lái)歷不明的軟件等等;對(duì)相關(guān)的技術(shù)管理人員進(jìn)行技能培訓(xùn),，對(duì)于重要數(shù)據(jù)一定要做好數(shù)據(jù)備份，否則會(huì)導(dǎo)致災(zāi)難性的后果,。

其它確保網(wǎng)絡(luò)安全的有效措施

現(xiàn)在網(wǎng)絡(luò)安全可以說(shuō)是關(guān)系到企業(yè)命運(yùn)的大事,，不管愿意不愿意CIO其中的一個(gè)職責(zé)就是要保證網(wǎng)絡(luò)安全。如果公司的信息系統(tǒng)脆弱不堪,，CIO必須對(duì)此負(fù)責(zé),。那么，CIO應(yīng)該制定什么措施來(lái)履行這個(gè)職責(zé)呢,？

(1)明確崗位職責(zé),，保障網(wǎng)絡(luò)安全

CIO重要責(zé)任之一是保障本公司網(wǎng)絡(luò)的安全、完整與可用性,。這項(xiàng)工作不能外包出去,，也責(zé)無(wú)旁貸，因此要在崗位職能上明確規(guī)定,。CIO要有特許權(quán),，只要檢測(cè)到網(wǎng)絡(luò)安全違反行為，就要收集,、分析與調(diào)查事件,。例如職責(zé)上明確規(guī)定負(fù)責(zé)安全協(xié)調(diào)，確保影響網(wǎng)絡(luò)安全的職能是集成在業(yè)務(wù)流程過程中而不是獨(dú)立的任務(wù),。同時(shí)要進(jìn)行評(píng)估網(wǎng)絡(luò)安全受到危及或有受到危及之嫌的每一個(gè)事件,，并把網(wǎng)絡(luò)安全的質(zhì)量、健全性和可靠性通知和報(bào)告高層管理人員,。此外,，CIO還應(yīng)該指導(dǎo)開發(fā)人員，確保網(wǎng)絡(luò)安全成為IT系統(tǒng)設(shè)計(jì)不可或缺的一部分,。

(2)力爭(zhēng)在網(wǎng)絡(luò)安全投入足夠預(yù)算

CIO要力爭(zhēng)并確保足夠資金投資于IT系統(tǒng)的安全項(xiàng)目,。密切關(guān)注公司要為網(wǎng)絡(luò)安全劃撥一定金額的預(yù)算，以承擔(dān)安全成本，例如防病毒軟件,、防火墻服務(wù)器,、加密軟件、入侵檢測(cè)系統(tǒng),、集中安全管理等成本,。公司高層主管有時(shí)會(huì)認(rèn)為CIO對(duì)網(wǎng)絡(luò)安全過于大驚小怪。但CIO要清醒認(rèn)識(shí)到：“至關(guān)重要的計(jì)算機(jī)設(shè)施出現(xiàn)安全問題造成嚴(yán)重?fù)p害的故障只是個(gè)時(shí)間問題,。對(duì)于網(wǎng)絡(luò)安全,，生于憂患，死于安樂的意識(shí)并不是傳說(shuō)中的事情,，擔(dān)憂有人對(duì)公司的網(wǎng)絡(luò)構(gòu)成危害的心態(tài),，并非總是基于想象中的恐懼。如果你想到有競(jìng)爭(zhēng)對(duì)手希望你公司遭到危害,，那么謹(jǐn)小慎微對(duì)生存而言也許絕對(duì)必要,。

(3)定期進(jìn)行網(wǎng)絡(luò)安全檢討會(huì)議

在明確了網(wǎng)絡(luò)安全目標(biāo)之后，CIO應(yīng)當(dāng)就網(wǎng)絡(luò)安全問題定期地舉行檢討會(huì)議,。一旦安全會(huì)議檢查到現(xiàn)有的業(yè)務(wù)運(yùn)作存在網(wǎng)絡(luò)安全問題,，或評(píng)估以往安全措施的執(zhí)行情況存在問題時(shí)，CIO就需要設(shè)立一個(gè)解決網(wǎng)絡(luò)安全的時(shí)間框架,。每月進(jìn)行安全討論聽上去好像很多,，尤其當(dāng)公司各安全團(tuán)隊(duì)是散布在不同的地區(qū)，但是CIO從中所獲得的回報(bào)是在當(dāng)月接下來(lái)的日子中可以確保公司網(wǎng)絡(luò)安全,，以確保公司業(yè)務(wù)能處理日常工作,。