2013年11月4日，EMC 公司信息安全事業(yè)部RSA發(fā)布了最新一期安全概要，題為“在一個(gè)超級(jí)互聯(lián)的世界上擔(dān)負(fù)起安全責(zé)任”，該報(bào)告作者認(rèn)為，主動(dòng)改進(jìn)防范措施、應(yīng)對(duì)網(wǎng)絡(luò)攻擊的企業(yè)越來越多了。報(bào)告斷言，在對(duì)安全威脅不斷升級(jí)表示擔(dān)憂的同時(shí)，企業(yè)也越來越認(rèn)識(shí)到，在如今超級(jí)互聯(lián)的商業(yè)環(huán)境中，必須為保護(hù)自身及其業(yè)務(wù)伙伴而承擔(dān)更大的責(zé)任。

該期RSA安全概要的作者還寫到，目前數(shù)據(jù)泄露問題大多由企業(yè)基本安全防范措施不過硬引起。導(dǎo)致大部分?jǐn)?shù)據(jù)泄露事故的常見問題包括：

◆忽視“安全保健” – 在發(fā)生安全攻擊后進(jìn)行的評(píng)估中發(fā)現(xiàn)，存在漏洞的原因常常是未及時(shí)升級(jí)軟件。

◆僅依靠傳統(tǒng)的危險(xiǎn)防范和檢測(cè)工具 – 盡管傳統(tǒng)的防火墻、防病毒掃描軟件和入侵檢測(cè)系統(tǒng)(IDS)不能發(fā)現(xiàn)真正嚴(yán)重的問題，但是大多數(shù)安全團(tuán)隊(duì)仍然等待基于簽名的檢測(cè)工具發(fā)現(xiàn)問題，而不是自己主動(dòng)尋找更加微妙的損害跡象。

◆誤解安全法規(guī)的作用 – 大部分安全法規(guī)體現(xiàn)了最佳實(shí)踐，但應(yīng)該理解為保護(hù)安全的最低標(biāo)準(zhǔn)而非充分標(biāo)準(zhǔn)。

◆用戶培訓(xùn)不足 – 盡管如今用戶才是抵御網(wǎng)絡(luò)攻擊的第一道防線，但是許多公司仍然沒有在用戶培訓(xùn)上投入足夠的時(shí)間和資源。

該報(bào)告的作者均是資深安全顧問和企業(yè)安全運(yùn)行中心負(fù)責(zé)人，他們建議，企業(yè)要積極主動(dòng)地對(duì)自己所持的對(duì)安全問題的態(tài)度進(jìn)行客觀的評(píng)估。這種評(píng)估有可能產(chǎn)生數(shù)百條改進(jìn)建議。報(bào)告中寫到，大多數(shù)情況下，20%的改進(jìn)建議可能帶來80%的安全益處。

視企業(yè)需求的不同而不同，確定哪些建議會(huì)產(chǎn)生最大影響可能是個(gè)難點(diǎn)。為了幫助企業(yè)決定優(yōu)先改進(jìn)哪些安全措施，本期RSA安全概要列舉并詳細(xì)解釋了8種可能建議，根據(jù)作者的經(jīng)驗(yàn)，在這8個(gè)方面做出改進(jìn)，常常會(huì)獲得超乎尋常的積極效果：

1.進(jìn)行全面的風(fēng)險(xiǎn)與安全評(píng)估;

2.定位并跟蹤高價(jià)值數(shù)字資產(chǎn);

3.建立安全威脅模型，堵住最嚴(yán)重的漏洞;

4.精通變更管理流程;

5.有選擇和戰(zhàn)略性地部署安全工作人員;

6.整合安全流程和技術(shù)，并擴(kuò)展資源;

7.投資建立安全威脅情報(bào)職能;

8.量化安全投資的影響。

EMC公司執(zhí)行副總裁兼EMC信息安全事業(yè)部RSA執(zhí)行主席亞瑟·科維洛表示：“我們認(rèn)為，企業(yè)改進(jìn)安全措施的意愿更強(qiáng)烈了，這不僅是為了保護(hù)他們自己的信息資產(chǎn)，也是為了保護(hù)業(yè)務(wù)合作關(guān)系。隨著越來越多的企業(yè)在對(duì)待安全風(fēng)險(xiǎn)和安全實(shí)踐時(shí)，將自身與合作伙伴看作一個(gè)整體，我們每一個(gè)人的信息安全性都將得到提高。”

EMC公司信息安全事業(yè)部RSA高級(jí)網(wǎng)絡(luò)防御實(shí)踐資深總監(jiān)Peter M. Tran補(bǔ)充道：“我們看到，信息安全評(píng)估在改進(jìn)，而且更加積極主動(dòng)了。同時(shí)也發(fā)現(xiàn)，當(dāng)買家或業(yè)務(wù)伙伴遭到黑客攻擊后，越來越多的企業(yè)會(huì)評(píng)估自己的網(wǎng)絡(luò)安全措施的相對(duì)有效性，并將其作為重點(diǎn)工作。”

雷神公司網(wǎng)絡(luò)安全與特殊任務(wù)部網(wǎng)絡(luò)安全經(jīng)理Dylan Owen說：“攻擊者會(huì)尋找最容易造成損害的途徑。這也是攻擊者為什么從安全防范更成熟的公司轉(zhuǎn)向防范不那么成熟的公司的原因，后者一般為較小型的合作伙伴。攻擊者可以利用兩家公司的相互信任，通過安全防范經(jīng)驗(yàn)不足的供應(yīng)鏈合作伙伴，潛入受到良好保護(hù)的目標(biāo)公司中。”