經(jīng)濟(jì)不景氣，預(yù)算被消減，安全預(yù)算也因?yàn)檩^低的投資回報(bào)率而被限制，隨著管理層不斷減少IT和項(xiàng)目的預(yù)算，IT人員必須學(xué)習(xí)如何充分利用有限的資金來加強(qiáng)安全性。
現(xiàn)實(shí)情況是，在當(dāng)今經(jīng)濟(jì)環(huán)境下，信息安全人員必須以較少的資金做更多的事情，甚至往往沒有足夠的內(nèi)部人員來支持的業(yè)務(wù)要求。那么，在這種情況下，我們?cè)撊绾伪Ｗo(hù)網(wǎng)絡(luò)安全?這里我們將為大家提供五個(gè)訣竅來充分利用有效的資金，實(shí)現(xiàn)少花錢多辦事。
秘訣1：把握全局
在企業(yè)內(nèi)部主要有幾個(gè)不同的部門承擔(dān)著信息安全的責(zé)任，因此在召開信息安全會(huì)議時(shí)，與會(huì)者必須包含這些部門的代表。
首先需要確定除信息安全部門外與信息安全相關(guān)的部門，例如審計(jì)、IT、人力資源和法律，以確?，F(xiàn)有的信息安全計(jì)劃是否符合他們的要求，并加以鞏固。你需要盡可能地說明你的需要和要求，然后看看其他部門如何規(guī)劃以滿足他們的要求，最佳狀態(tài)就是利用各部門的資源來實(shí)現(xiàn)共同的目標(biāo)。
例如，如果你有一個(gè)PCI(支付卡行業(yè))計(jì)劃，那么你知道需要對(duì)哪些人進(jìn)行培訓(xùn)來執(zhí)行外部滲透測(cè)試嗎?你不需要雇傭外部人員來滿足11.3要求，你只需要確保公司員工能夠準(zhǔn)確檢查環(huán)境，然后與PCI審查員以及內(nèi)部審計(jì)組協(xié)作來確定他們能否接受報(bào)告。這樣可以盡可能多的為應(yīng)用安全測(cè)試或者需要專業(yè)支持的項(xiàng)目節(jié)省成本。
秘訣2: 雇傭必要的專業(yè)人員，而不是想要的
很多企業(yè)認(rèn)為一次性花費(fèi)(購(gòu)買技術(shù))能夠解決問題，但是實(shí)際上，集成、部署、培訓(xùn)和維護(hù)都是非常昂貴的。
如果你不具備內(nèi)部專業(yè)人員來支持你所購(gòu)買的軟件，那么為什么不考慮雇傭具備專業(yè)技術(shù)的外部公司來維護(hù)系統(tǒng)軟件呢?至少，你可以從他們的操作中學(xué)習(xí)相關(guān)專業(yè)技術(shù)，以便更好的規(guī)劃未來解決。
讓我們以內(nèi)部掃描需求作為一個(gè)例子。根據(jù)PCI DSS的要求，你可能需要一臺(tái)掃描儀來滿足要求，但是，可能沒有專業(yè)的人員來運(yùn)行和維護(hù)掃描儀，擁有技術(shù)往往只是成功的一半
業(yè)務(wù)要求依然存在，但是企業(yè)卻沒有專業(yè)人員來操作設(shè)備，企業(yè)在購(gòu)買掃描儀前可以嘗試外包掃描一年來評(píng)估所有的解決方案，這樣可以幫助企業(yè)評(píng)估長(zhǎng)期業(yè)務(wù)要求和檢查企業(yè)是否能夠利用內(nèi)部解決方案(這個(gè)例子中是指掃描儀)或者管理供應(yīng)商(MSSP)提供最佳業(yè)務(wù)支持，同時(shí)還可以讓企業(yè)繼續(xù)將重點(diǎn)放在業(yè)務(wù)需求上。
秘訣3: 選擇合適的管理安全服務(wù)供應(yīng)商
管理安全服務(wù)供應(yīng)商能夠明確如何滿足企業(yè)業(yè)務(wù)目標(biāo)，并證明其解決方案滿足企業(yè)業(yè)務(wù)需求和節(jié)省成本。任何管理安全服務(wù)供應(yīng)商都能夠?yàn)槠髽I(yè)創(chuàng)造價(jià)值，詳細(xì)列明方法和技術(shù)策略的建議都能夠滿足企業(yè)特定要求。
不要試圖讓你的業(yè)務(wù)滿足MSSP的要求，挑選一個(gè)能夠滿足你要求的MSSP。企業(yè)的成功將來自于是否能夠?yàn)槠髽I(yè)需求挑選最佳解決方案，這意味著解決方案必須有明確的規(guī)劃圖，才能夠讓企業(yè)專注于業(yè)務(wù)。外包必須外包的技術(shù)，利用外部MSSP和顧問來為企業(yè)創(chuàng)造最大價(jià)值。
秘訣4:聘請(qǐng)一個(gè)合作伙伴，而不是供應(yīng)商
你需要與外部公司建立合作伙伴關(guān)系，此外部公司必須能夠提供你所需要的解決方案，并能幫助你進(jìn)行未來規(guī)劃。選擇合適的外部公司，要求他們展示技術(shù)深度，以及未來規(guī)劃，這樣你就可以確定他們的未來規(guī)劃是否滿足你的要求。
秘訣5: 投資于團(tuán)隊(duì)的技術(shù)和信息安全培訓(xùn)
員工需要知道他們?cè)谄髽I(yè)的價(jià)值，這也是大多數(shù)信息系統(tǒng)和安全專業(yè)人員所認(rèn)可的，所以你需要積極創(chuàng)造培訓(xùn)機(jī)會(huì)，利用網(wǎng)絡(luò)培訓(xùn)和本地ISSA會(huì)議，為CISSP(認(rèn)證信息系統(tǒng)安全人員)或者其他專業(yè)服務(wù)政府建立學(xué)習(xí)小組，進(jìn)行內(nèi)部午休學(xué)習(xí)時(shí)間。鼓勵(lì)員工不斷學(xué)習(xí)技術(shù)和安全知識(shí)，并給予他們足夠的時(shí)間學(xué)習(xí)。
預(yù)算消減并不是信息安全的噩夢(mèng)，我們應(yīng)該要努力研究如何利用有限的資金來加強(qiáng)信息安全，才不至于讓企業(yè)系統(tǒng)淪為攻擊者的“獵物”。