2010網(wǎng)絡(luò)及數(shù)據(jù)安全十大預(yù)測
信息安全事件和漏洞在2009年為大型企業(yè)帶來了很大的困擾。新的安全技術(shù)對具有安全意識的企業(yè)會有所幫助，但2010年可能是非常困難的一年。ESG預(yù)言安全威脅在數(shù)量和復(fù)雜性方面都會處于平穩(wěn)上升的趨勢，并且明年發(fā)生的重大事件也會絲毫不會亞于2007年的TJX公司的數(shù)據(jù)泄漏事件。同樣，政府的網(wǎng)絡(luò)安全活動也會頻繁發(fā)生，如果ESG可怕的預(yù)言成真的話，后果將不堪設(shè)想。
概述
盡管大型企業(yè)都在通過控制資本投入來渡過2009年的全球經(jīng)濟(jì)衰退，但與安全相關(guān)的投資和舉措仍在增加，這表明信息安全已成為一項主要的業(yè)務(wù)優(yōu)先措施。那么2010年會有哪些變化呢？由于需求方出現(xiàn)了新的用戶需求并且供應(yīng)方的產(chǎn)品也實現(xiàn)了整合，因此，安全技術(shù)將會有些許的調(diào)整。盡管如此，ESG相信網(wǎng)絡(luò)安全在2010年將以前所未有的方式吸引全球的目光。
ESG預(yù)計，明年將會出現(xiàn)以下與網(wǎng)絡(luò)安全相關(guān)的技術(shù)、事件和法律性活動：
1.日益普及的加密技術(shù)。和去年一樣，ESG相信大型企業(yè)將會繼續(xù)增加對加密技術(shù)的使用。有兩個原因：1）為了在保護(hù)機(jī)密數(shù)據(jù)上占據(jù)主動地位；2）因為加密技術(shù)將會“整合”到產(chǎn)品之中，且?guī)缀醪粫斐蓛r格的上漲。磁盤驅(qū)動器、USB閃存驅(qū)動器、磁帶驅(qū)動器和操作系統(tǒng)等技術(shù)現(xiàn)都已經(jīng)具備了加密功能。在2010年及以后，筆記本電腦、臺式電腦、服務(wù)器和企業(yè)存儲系統(tǒng)很有可能將加密處理器作為其標(biāo)準(zhǔn)配置的一部分。然而，日趨普及的加密技術(shù)有一點喜憂參半的意味。雖然數(shù)據(jù)的機(jī)密性和完整性可能會有所提高，但是企業(yè)最好能有一個正規(guī)且成文的加密管理計劃，以防止加密操作和數(shù)據(jù)恢復(fù)真的成為一種挑戰(zhàn)。
2.密鑰管理。與日趨普及的加密技術(shù)密切相關(guān)的是密鑰管理：密鑰生成、密鑰輪換、密鑰安全、密鑰備份等等。由于使用密鑰的數(shù)量成指數(shù)倍地速度增長，因此，必需要有集中管理、緊密集成的密鑰管理服務(wù)。幸運的是，好消息即將來臨。在2010年，我們應(yīng)該可以看到OASIS即將對“密鑰管理互操作協(xié)議（KMIP）”進(jìn)行第一次修訂。而業(yè)內(nèi)領(lǐng)先的名企主導(dǎo)著KMIP的發(fā)展，包括博科、EMC/RSA、惠普、IBM、NetApp、PGP、希捷和Thales Security。其目標(biāo)是在密鑰管理系統(tǒng)與加密技術(shù)和/或密鑰管理系統(tǒng)彼此之間建立互操作性。大型企業(yè)應(yīng)重視這一工作，并且只從承諾支持KMIP的供應(yīng)商處購買加密和密鑰管理產(chǎn)品。
3.安全管理3.0。老式的安全信息和事件管理（SIEM）系統(tǒng)不具備擴(kuò)展、開放性和分析功能，因而無法跟上日益嚴(yán)重的威脅形勢。此外，ESG還注意到市場出現(xiàn)了分化：在過去，SIEM常常同時用于法規(guī)遵從管理、安全事件/事故管理以及日志管理。但在2010年及以后，這三項IT/安全分支將相互獨立，但仍然通過一個新的由“IT數(shù)據(jù)庫”主導(dǎo)的安全管理架構(gòu)來相互聯(lián)系，該數(shù)據(jù)庫負(fù)責(zé)收集、處理和存儲IT數(shù)據(jù)（即日志數(shù)據(jù)、流量數(shù)據(jù)、SNMP事件、IF-MAP等）。針對安全、法規(guī)遵從、IT運營等不同需求的分析引擎只會從通用存儲庫訪問這種信息。首席信息官和首席信息安全官應(yīng)當(dāng)準(zhǔn)備好架構(gòu)計劃來應(yīng)對這種轉(zhuǎn)變。
4.DLP與eRM的融合。DLP（數(shù)據(jù)丟失防護(hù)）擅于進(jìn)行數(shù)據(jù)搜索和分類，而eRM（企業(yè)權(quán)限管理）非常適合粒度策略的執(zhí)行。在2008年和2009年，這兩項技術(shù)開始融合。微軟與EMC/RSA結(jié)成合作伙伴關(guān)系，在其權(quán)限管理服務(wù)器上應(yīng)用DLP技術(shù)，而賽門鐵克、McAfee以及其他企業(yè)與領(lǐng)先的eRM供應(yīng)商Liquid Machines聯(lián)手將DLP融入eRM。這種合眾連橫的勢頭在2010年預(yù)計會更加強(qiáng)勁。Liquid Machines、BitArmor（DLP /eRM混合型企業(yè)）和其他新興公司預(yù)計會在2010年的市場調(diào)整和整合浪潮中被收購。希望微軟和其他廠商也能夠支持標(biāo)準(zhǔn)元數(shù)據(jù)標(biāo)記，以滿足異構(gòu)和分布式數(shù)據(jù)的分類需求，并實施普遍的數(shù)據(jù)集中式策略。
5.身份認(rèn)證管理3.0。身份認(rèn)證管理技術(shù)的發(fā)展已經(jīng)持續(xù)多年，但絕大部分仍屬于落后的技術(shù)領(lǐng)域。到2010年，有關(guān)身份認(rèn)證管理的討論將變得更加普遍。VMware和Citrix將探討有關(guān)虛擬機(jī)的可信任身份認(rèn)證。金融服務(wù)機(jī)構(gòu)將積極地為客戶提供安全認(rèn)證標(biāo)識，以保護(hù)他們的身份和金融資產(chǎn)。OpenID和類似技術(shù)將獲得消費者的青睞。美國國會將會認(rèn)真考慮全國性的身份識別卡。出現(xiàn)這些發(fā)展措施的主要原因是身份認(rèn)證管理已經(jīng)失控。用戶有太多的用戶ID和密碼，匿名移動技術(shù)正以兔子繁殖般的速度增長，并且身份盜竊事件十分猖獗。處在這個社會中，我們必須找到一種方法，利用像PKI、Eclipse Project Framework和Liberty這樣的技術(shù)來更好地保護(hù)我們的身份和隱私。在過去，保護(hù)身份和隱私只出現(xiàn)在知識分子范疇里，但在2010年及以后，普通老百姓也會感到來自身份和隱私方面的壓力。
6.威脅形勢日益廣泛和深入。每年的威脅形勢日益嚴(yán)峻，2010年也不例外，并將提高以下幾個方面的安全風(fēng)險。首先，網(wǎng)絡(luò)攻擊的浪潮將繼續(xù)升級，因為我們已經(jīng)注意到幾家主流的網(wǎng)絡(luò)公司會定期受到攻擊。其次，我們可能會看到越來越多針對非Windows平臺的攻擊，如Mac、iPhone、Android、Blackberry、諾基亞設(shè)備以及IP電話系統(tǒng)。最后，ESG預(yù)感到2004年爆發(fā)的殺手蠕蟲病毒（如Conficker）將會再次出現(xiàn)，其發(fā)生的頻率也會有所增加。大多數(shù)蠕蟲病毒不會攜帶惡意封包內(nèi)容，而只是起到破壞和偵察的目的。用戶必須使用最佳的安全技術(shù)來武裝終端設(shè)備，采用基于云的威脅管理來獲得擴(kuò)展性和理想性能，并定期研究威脅智能報告，從而提前應(yīng)對即將出現(xiàn)的威脅升級。
7.白宮任命網(wǎng)絡(luò)安全協(xié)調(diào)員。美國總統(tǒng)奧巴馬曾表示他計劃于2009年5月任命一位國家網(wǎng)絡(luò)安全協(xié)調(diào)員，但直到作者撰寫本文時這個職位仍處于空缺狀態(tài)。華盛頓有不少人對此感到不滿。今年8月，眾議院兩黨的網(wǎng)絡(luò)安全決策小組曾寫信給總統(tǒng)，建議他盡快填補(bǔ)這一職位。代表紐約州的眾議員Yvette Clarke和參議員Joseph Lieberman以及TechAmerica產(chǎn)業(yè)集團(tuán)也表達(dá)了相同意愿，但總統(tǒng)顯然更加關(guān)注醫(yī)療改革和過去數(shù)月的經(jīng)濟(jì)狀況，以及即將到來的假期，看來2009年年末是不可能再發(fā)生什么大事了。不過，我希望國會能夠在1月份就此事對總統(tǒng)施壓，要求他在2月底提名候選人。
8.重大的網(wǎng)絡(luò)安全事故。雖然2007年的TJX數(shù)據(jù)泄漏事件仍然是數(shù)據(jù)盜竊的典型，但也許2010年會發(fā)生更加嚴(yán)重的事故。銀行、電網(wǎng)或電信網(wǎng)絡(luò)都有可能成為攻擊的目標(biāo)。它可能發(fā)生在美國、西歐或是亞洲。雖然無法準(zhǔn)確地指出會發(fā)生什么事，但ESG預(yù)感到將有更具威脅性的事件發(fā)生。不幸的是，這個世界必須再次經(jīng)歷痛苦，才能吸取教訓(xùn)，就如它在2001年9月11日的恐怖襲擊中吸取的教訓(xùn)一樣。這次攻擊的后果將是不光彩的，政客們會將事件歸咎于執(zhí)法和情報部門以及其它各方。如果這個事件發(fā)生在美國，那么奧巴馬總統(tǒng)可能會成為主要的替罪羊，尤其是他延誤了網(wǎng)絡(luò)安全協(xié)調(diào)員的任命。作為普通公民，我們從根本上感到更加害怕，對此也更加關(guān)注，并更加迫切地要求盡快行動起來——越快越好。
9.新的美國網(wǎng)絡(luò)安全法規(guī)。由于美國眾議院和參議院早就通過了大量相關(guān)的法案，因此，推出新的網(wǎng)絡(luò)安全法規(guī)也是順理成章的事情。就在本周，眾議院通過了數(shù)據(jù)問責(zé)制和信托法案（DATA），這為在全國性的侵害事件通知法案的通過鋪平了道路，緩解了當(dāng)前只有個別州有相關(guān)立法的窘境。今年11月，眾議院也通過了第4061號議案，要求對網(wǎng)絡(luò)安全研究投入更多的資金。美國參議院對此也采取支持態(tài)度。Rockefeller-Snowe法案旨在使聯(lián)邦的網(wǎng)絡(luò)安全工作日趨合理化和結(jié)構(gòu)化，同時參議員Joseph Lieberman日前提出了一項議案，明確了網(wǎng)絡(luò)安全在國土安全部中的作用。今年的這些努力到2010年可能會碩果累累。ESG預(yù)計國會將會在2010年通過一項全國性的數(shù)據(jù)侵害法案，增加網(wǎng)絡(luò)安全的資金投入，并對聯(lián)邦信息安全管理法案（FISMA）進(jìn)行重大修正。再次強(qiáng)調(diào)，倘若在2010年發(fā)生了重大網(wǎng)絡(luò)安全事件的話，希望會有頻繁的立法活動。
10.增強(qiáng)網(wǎng)絡(luò)安全意識和教育。雖然國會內(nèi)部在2009年就網(wǎng)絡(luò)安全培訓(xùn)和教育方面的投資進(jìn)行過辯論，但沒有什么確切的變革跡象。網(wǎng)絡(luò)安全技術(shù)仍然處于稀缺狀況，雖然10月被定為“全國網(wǎng)絡(luò)安全意識宣傳月”，但外界對此卻幾乎一無所知。希望這種情況在2010年會有重大變化。許多網(wǎng)絡(luò)安全法案都包括增加對網(wǎng)絡(luò)安全教育計劃的投資，如美國國家科學(xué)基金會（NSF）的服務(wù)性獎學(xué)金（SFS）、美國國家安全局（NSA）的信息安全認(rèn)證計劃、NSF/NSA合資的網(wǎng)絡(luò)公司等。除了更高級別的教育項目以外，也希望美國聯(lián)邦政府能夠與安全產(chǎn)業(yè)合作，以大幅增加有關(guān)網(wǎng)絡(luò)安全意識的公共服務(wù)項目。ESG預(yù)計在2010年會發(fā)起一項廣受關(guān)注的公關(guān)運動，類似于“拒絕（毒品）”或“烈火赤子”（預(yù)防森林火災(zāi)）的運動。
重要事實
總之，信息安全在2010年的變化將會有所增加，但不會發(fā)生劇變。與此同時，明年的網(wǎng)絡(luò)安全形勢將會更加嚴(yán)峻，并最終會發(fā)生一次重大事件。好消息是這個未知的事件可以大幅提高各相關(guān)部門以及公民的網(wǎng)絡(luò)安全意識，并將對準(zhǔn)備工作作為當(dāng)務(wù)之急。而不利因素是許多國會議員和公民會針對網(wǎng)絡(luò)相關(guān)的漏洞、問題和提出的解決方案做出過激反應(yīng)。全世界的公有和私營企業(yè)必須迅速提高自身的網(wǎng)絡(luò)安全意識，以便更好地了解安全事故、增強(qiáng)應(yīng)對措施、為緊急響應(yīng)做好準(zhǔn)備，并建立適當(dāng)級別的風(fēng)險管理評估，將其與適當(dāng)?shù)陌脖４胧┫嘟Y(jié)合。
【編輯推薦】
