白宮是美國(guó)政府最高水平的行政部門，人們會(huì)發(fā)現(xiàn)這里有兩種截然不同的人群。一種是負(fù)責(zé)定義未來(lái)愿景的得到政治任命的官員，直接指揮下屬?gòu)氖抡问姑?。而另一種是公務(wù)員，受政治風(fēng)向的影響，無(wú)論哪個(gè)政黨執(zhí)政，都必須執(zhí)行命令。這是每個(gè)在任總統(tǒng)面臨的一個(gè)問(wèn)題，也是一個(gè)呈現(xiàn)在快速變化的IT世界中獨(dú)特的挑戰(zhàn)。

“如果你仔細(xì)想想，白宮就像是一個(gè)新的初創(chuàng)公司，每四年或八年更換一次CEO。”白宮前副首席信息官阿利薩•約翰遜說(shuō)。而年復(fù)一年，從上至下任命的官員都有著變動(dòng)和升遷，但無(wú)論是誰(shuí)在負(fù)責(zé)，仍有300多名IT專業(yè)人士為總統(tǒng)行政辦公室服務(wù)。前政治任命首席信息官，CISO醫(yī)療技術(shù)公司現(xiàn)任首席信息安全官史賽克回憶說(shuō)，奧巴馬政府在2009年接手時(shí)，就有一些戰(zhàn)略問(wèn)題需要解決。

“我們當(dāng)時(shí)配備的還是有著軟盤驅(qū)動(dòng)器的臺(tái)式機(jī)。”約翰遜說(shuō)。她的主要職責(zé)是保障白宮信息安全，主要目標(biāo)之一并為未來(lái)的行政部門制定信息安全計(jì)劃。

因?yàn)榇蠖鄶?shù)安全漏洞都是人為錯(cuò)誤或缺乏適當(dāng)?shù)木S護(hù)造成的，必須具備先進(jìn)的技術(shù)與理念，才能成功保障信息安全。重要的是，約翰遜提醒道，作為一項(xiàng)長(zhǎng)期計(jì)劃的一部分，技術(shù)人員需重新審視基礎(chǔ)架構(gòu)，然后積極貫徹落實(shí)。

 [[136493]]

核心原則

確保數(shù)據(jù)安全的首要關(guān)鍵是完善的信息安全戰(zhàn)略，而不是遍歷數(shù)據(jù)中心基礎(chǔ)設(shè)施。“數(shù)據(jù)的重要性超過(guò)了基礎(chǔ)設(shè)施建設(shè)。”約翰遜表示。

“我不會(huì)告訴你會(huì)有什么驚天動(dòng)地或新的技術(shù)和策略。學(xué)習(xí)就是記住你已經(jīng)知道的東西，把它們以不同的方式結(jié)合在一起。”約翰遜說(shuō)，就因?yàn)樗诎讓m工作過(guò)，這并不意味著她就能給出圣人一般的建議。“記住，我們?nèi)栽谠噲D取消軟盤驅(qū)動(dòng)器。”她開玩笑地說(shuō)。

雖然下面的原則列表并不詳盡，前白宮副首席信息官表示，用戶信息安全有哪些缺失和漏洞基本從這些原則中就可以找出來(lái)：

(1)脆弱性和威脅管理

(2)身份和訪問(wèn)管理

(3)事件與危機(jī)管理

(4)配置和變更管理

(5)事件和數(shù)據(jù)管理

(6)用戶管理

(7)風(fēng)險(xiǎn)與合規(guī)(這是他們的核心原則)

約翰遜觀察到，有漏洞的網(wǎng)站的比例是驚人的，因此要在數(shù)據(jù)備份方面投更多的預(yù)算。而定量措施是而且將永遠(yuǎn)是要滿足這一目標(biāo)。

約翰遜表示，身份認(rèn)證和訪問(wèn)管理是許多方法失敗的一個(gè)領(lǐng)域。在她看來(lái)，沒有理由要采取每月、每周，甚至每天去提供用戶憑據(jù)，一旦一個(gè)人離開一個(gè)組織，“在科技時(shí)代，當(dāng)有人離開單位時(shí)，你不能只是關(guān)閉他們的帳戶，有時(shí)要嚴(yán)格到甚至清除他的一切痕跡。”她說(shuō)。“而只關(guān)閉帳戶在某些時(shí)候是一種懶惰的感覺。”

“當(dāng)有事情發(fā)生時(shí)，網(wǎng)絡(luò)安全是最重要的。”約翰遜解釋說(shuō)，解決事件最重要的一點(diǎn)就是組織根據(jù)原則對(duì)事件和危機(jī)進(jìn)行管理，這是她的意見。根據(jù)她的經(jīng)驗(yàn)，在通常的情況下，當(dāng)高層的電話泄密或以前不關(guān)心的漏洞導(dǎo)致事件發(fā)生時(shí)，人們才會(huì)在網(wǎng)絡(luò)安全功能方面進(jìn)行投資。

約翰遜說(shuō)，即使已經(jīng)離開白宮，她還是接到了前雇主的電話，討論近期關(guān)于如何對(duì)網(wǎng)絡(luò)安全事件作出正確回應(yīng)。她表示，這不僅是一次性事件的響應(yīng)，而應(yīng)該是進(jìn)一步的成長(zhǎng)與教育“終身的機(jī)會(huì)”。

如今，網(wǎng)絡(luò)安全一定是企業(yè)業(yè)務(wù)環(huán)境的推動(dòng)者，根據(jù)她以前的說(shuō)法，這是一個(gè)成長(zhǎng)的機(jī)會(huì)。“如果網(wǎng)絡(luò)安全失敗，那么其他一切都會(huì)有可能出問(wèn)題，”她說(shuō)，“如果網(wǎng)絡(luò)安全沒有正確處理，那么業(yè)務(wù)指標(biāo)、銷售和機(jī)遇這些方面都有可能出問(wèn)題。”

整體缺乏網(wǎng)絡(luò)安全防范是約翰遜主要關(guān)注的一個(gè)問(wèn)題，特別是在眼下的物聯(lián)網(wǎng)時(shí)代，她解釋說(shuō)，我們現(xiàn)在生活在一個(gè)信息孤島，沒有進(jìn)入到一個(gè)真正的物聯(lián)網(wǎng)的世界：“如果我們不能獲知和處理現(xiàn)在的安全危機(jī)，那么在發(fā)生危機(jī)時(shí)，我們所有的信息已經(jīng)都在那里，那時(shí)已進(jìn)入一個(gè)融合狀態(tài)。”她總結(jié)說(shuō)，人們不僅考慮到現(xiàn)在所面對(duì)的情況，而且要考慮到做出的決定將如何影響其未來(lái)，因此要衡量風(fēng)險(xiǎn)和安全。

管理變革

絕大多數(shù)的安全漏洞并不是那些老練的黑客利用漏洞攻擊的結(jié)果。大多數(shù)漏洞可以通過(guò)適當(dāng)維護(hù)和配置系統(tǒng)有效地彌補(bǔ)。約翰遜引用的數(shù)據(jù)表明42%的漏洞是由于系統(tǒng)錯(cuò)誤配置造成的。

這些錯(cuò)誤配置的系統(tǒng)幾乎在所有組織中普遍存在。“我曾工作在國(guó)家安全局，聯(lián)邦調(diào)查局，中央情報(bào)局，國(guó)防情報(bào)局，洛克希德-馬丁公司，諾瑟普-格魯門公司，甚至白宮，他們?cè)谂渲霉芾聿]有采取很好的做法。”約翰遜說(shuō)，白宮需要招募一個(gè)變更管理聯(lián)絡(luò)負(fù)責(zé)人，以協(xié)調(diào)網(wǎng)絡(luò)上發(fā)生的所有變化。

但是，管理配置的變化并不是安全計(jì)劃所需的唯一類型。如何與IT安全部門交互，轉(zhuǎn)變業(yè)務(wù)視圖將是至關(guān)重要的，并將推動(dòng)安全領(lǐng)域業(yè)務(wù)的發(fā)展。

采用新產(chǎn)品或更新產(chǎn)品，必須經(jīng)過(guò)網(wǎng)絡(luò)安全評(píng)估，這個(gè)過(guò)程是非常必要的，企業(yè)可以與客戶交流并對(duì)他們產(chǎn)生潛在的影響，約翰遜說(shuō)。“網(wǎng)絡(luò)安全一直被視為可怕的群體。”她感嘆道。她希望人們從“沒有，但”轉(zhuǎn)為“是的，和”的態(tài)度，從而讓安全文化更加具有前瞻性。

這是人們對(duì)于安全和風(fēng)險(xiǎn)的認(rèn)識(shí)。對(duì)于管理一個(gè)企業(yè)，安全計(jì)劃的過(guò)渡意味他們會(huì)評(píng)估其他業(yè)務(wù)的風(fēng)險(xiǎn)，以確定是否愿意接受他們，或減輕它們。

填補(bǔ)漏洞

有許多問(wèn)題需要解決的時(shí)候，就需要制定一個(gè)全面的信息安全計(jì)劃。但企業(yè)如何制定簡(jiǎn)化策略?在約翰遜看來(lái)，可以采用三種方法，大多數(shù)公司會(huì)在任何時(shí)間使用這三種方法的組合。所謂的“信息安全”的三個(gè)階段是：激活(建立安全);適應(yīng)(內(nèi)置安全);預(yù)期(超越安全)。

“我認(rèn)為所有的組織經(jīng)歷了所有這三個(gè)階段”，據(jù)約翰遜觀察。組織采用靜態(tài)的防御姿態(tài)只是反應(yīng)事件，而動(dòng)態(tài)的預(yù)測(cè)安全，可防止事故發(fā)生或?qū)崟r(shí)檢測(cè)到危險(xiǎn)靠近。

“這就像填補(bǔ)漏洞一樣，”約翰遜說(shuō)，“人們總是在填補(bǔ)漏洞，除非有一個(gè)很好的改變改變未來(lái)的策略。如果只是填補(bǔ)漏洞，那就永遠(yuǎn)是被動(dòng)而不是主動(dòng)。我不是漏洞填充物。”約翰遜總結(jié)道。