引言
隨著Internet的進(jìn)一步普及和發(fā)展，和機(jī)構(gòu)所面臨的威脅也越來越多。由于攻擊手法層出不窮和技術(shù)水平的不斷提高。許多企業(yè)和機(jī)構(gòu)擁有了先進(jìn)而昂貴的設(shè)備，傳統(tǒng)的老三樣“”“防”“”，各種新貴“反防火墻”“WEB應(yīng)用防火墻”以及“上網(wǎng)行為管理”等等，但安全事件依舊頻發(fā)。究竟是產(chǎn)品不給力還是忽略了什么，才會(huì)有這么多安全隱患？
“人”與“設(shè)備”的縫隙
信息安全是一個(gè)動(dòng)態(tài)的過程，依靠固定的安全設(shè)備是很難解決全部問題的，“人”才是信息安全過程的關(guān)鍵。只有“人”充分把握每一個(gè)不安全因素，才可能把安全設(shè)備之間的縫隙填平，在各種安全隱患發(fā)作之前把它們一網(wǎng)打盡。但在這當(dāng)中“人”的專業(yè)信息安全水平和技術(shù)力量往往成為最大的限制因素。所以，許多企業(yè)盡管擁有了先進(jìn)而昂貴的信息安全設(shè)備，但“設(shè)備”和“人”往往無法配合，容易造成安全隱患，等于在安全體系埋下了一枚隨時(shí)可能被引爆的“炸彈”。
信息安全體系的建立，不是僅僅依靠幾種安全設(shè)備的堆砌就能夠?qū)崿F(xiàn)的，還要涉及管理制度、人員素質(zhì)和意識(shí)、操作流程和規(guī)范、組織結(jié)構(gòu)的健全性等眾多方面。所以，信息安全建設(shè)需要：人+產(chǎn)品+管理+維護(hù)。
當(dāng)一個(gè)組織的信息建設(shè)達(dá)到一定程度和規(guī)模后，在規(guī)避安全風(fēng)險(xiǎn)、控制安全成本及保障業(yè)務(wù)持續(xù)性的需求壓力下，這個(gè)組織必然開始尋求更加專業(yè)的提供商來協(xié)助規(guī)劃、制訂符合自身情況的安全策略并通過有效的安全管理來消解這些壓力。
近日，就安全服務(wù)的這個(gè)話題，記者采訪了網(wǎng)絡(luò)安全營(yíng)銷中心安全服務(wù)部部長(zhǎng)席斐。
東軟網(wǎng)絡(luò)安全營(yíng)銷中心安全服務(wù)部部長(zhǎng)席斐
新服務(wù)架構(gòu) 構(gòu)建動(dòng)態(tài)防御體系
據(jù)了解，2010年，東軟安全再次發(fā)力完善和梳理安全服務(wù)業(yè)務(wù)線，將專業(yè)信息安全服務(wù)、用戶應(yīng)用系統(tǒng)安全整體解決服務(wù)、安全產(chǎn)品服務(wù)及深厚的服務(wù)支撐體系相融合，組建東軟NetEye最新的安全服務(wù)架構(gòu)，為用戶提供更優(yōu)秀的安全服務(wù)。
無論是廠商還是用戶，對(duì)信息安全服務(wù)的理解，已經(jīng)不再局限于單一的定義，比如安全服務(wù)即是咨詢、安全服務(wù)即是售前/售后服務(wù)、安全服務(wù)即是系統(tǒng)建設(shè)等，而是綜合考慮了信息安全咨詢、信息安全建設(shè)、信息安全維護(hù)等各方面因素的、全面的、多層次的、組件化的安全防御體系構(gòu)建的大服務(wù)概念。該體系不是各個(gè)安全組件的簡(jiǎn)單疊加，而是組件之間相互協(xié)同，實(shí)現(xiàn)安全資源的集中管理、統(tǒng)一審計(jì)和信息共享的動(dòng)態(tài)防御體系。
當(dāng)然，在這些服務(wù)中，專業(yè)安全服務(wù)是其中技術(shù)含量最高的。席斐向記者介紹，東軟擁有十幾年的專業(yè)信息安全服務(wù)經(jīng)驗(yàn)，已經(jīng)形成了比較完整的專業(yè)信息安全服務(wù)體系，包括風(fēng)險(xiǎn)評(píng)估、等保服務(wù)、滲透測(cè)試、安全加固、應(yīng)急響應(yīng)、現(xiàn)場(chǎng)值守、認(rèn)證培訓(xùn)和通告預(yù)警服務(wù)等。
席斐表示，信息安全產(chǎn)業(yè)是一個(gè)攻防戰(zhàn)役，黑客的攻擊方式的日新月異，因此，在信息安全領(lǐng)域，沒有一款靜態(tài)的產(chǎn)品，或者一套解決方案可以讓用戶安枕無憂，需要保持高度的警惕和強(qiáng)大的實(shí)力，以應(yīng)對(duì)新的攻擊和威脅，更需要高質(zhì)量的“服務(wù)”來幫助用戶構(gòu)建動(dòng)態(tài)防御體系。
其實(shí)安全服務(wù)，有一個(gè)很好的比喻。將用戶比作學(xué)生，安全設(shè)備比作書本。學(xué)生可以通過書本學(xué)習(xí)知識(shí)，但是學(xué)生為什么還要聽老師講課呢？因?yàn)槔蠋煵粌H懂得因材施教，還懂得授人以漁。這里的老師就是安全服務(wù)中的專家。
一方面由安全專家對(duì)用戶的網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評(píng)估，滲透測(cè)試等，幫助用戶的網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全加固。另一方面，安全專家為企業(yè)和機(jī)構(gòu)制定合適的安全管理方法以及對(duì)相關(guān)的IT人員進(jìn)行必要的培訓(xùn)，提高用戶自身的信息安全防護(hù)能力。
信任機(jī)制為“地基”
由于信息安全的特殊性和具有很強(qiáng)的專業(yè)性，引進(jìn)第三方專業(yè)的安全服務(wù)團(tuán)隊(duì)，不僅可以解決自身的“設(shè)備”和“人”之間的問題，而且還能提升自身的信息安全管理水平。但據(jù)記者平時(shí)中的了解，在安全服務(wù)的項(xiàng)目實(shí)施過程中，往往會(huì)有一個(gè)信任問題。專業(yè)的安全服務(wù)和用戶之間，信任機(jī)制就像打地基，地基不牢，樓建得再高，也會(huì)轟然倒塌。
在記者問到東軟NetEye專業(yè)安全服務(wù)團(tuán)隊(duì)在項(xiàng)目中是如何打消用戶的疑慮的時(shí)候。席斐介紹說，東軟NetEye安全服務(wù)在一些項(xiàng)目中也同樣遇到了類似的問題。
在項(xiàng)目的實(shí)施前，公司與用戶之間，還有個(gè)人與用戶之間會(huì)簽訂一系列的詳細(xì)的保密協(xié)議作為保障。然而即使簽訂了保密協(xié)議，有的用戶還是有擔(dān)心自身的重要業(yè)務(wù)被泄露。此時(shí)，東軟NetEye專業(yè)安全服務(wù)團(tuán)隊(duì)會(huì)加大雙方溝通的力度。讓用戶了解到，東軟NetEye團(tuán)隊(duì)在安全服務(wù)的具體工作中，經(jīng)常要接觸到大量的用戶信息，為了保障用戶信息的隱私性以及項(xiàng)目的連續(xù)性，穩(wěn)定的安全服務(wù)隊(duì)伍至關(guān)重要。東軟多年來保持專業(yè)人才的持續(xù)穩(wěn)定。在東軟，工作10年以上的員工比比皆是，工作5年以上的員工更是數(shù)不勝數(shù)，也正是這種持續(xù)性的穩(wěn)定保障，讓用戶愿意選擇東軟作為可以信賴的長(zhǎng)期合作伙伴。十幾年來，東軟沒有出現(xiàn)過一起因項(xiàng)目組成員泄密而引發(fā)的法律糾紛。
席斐表示，專業(yè)的安全服務(wù)團(tuán)隊(duì)，首先要有豐富的行業(yè)經(jīng)驗(yàn)，其次有超強(qiáng)的技術(shù)實(shí)力，然后是能夠與用戶溝通默契。
記者手記：除了信任，阻礙安全服務(wù)發(fā)展進(jìn)程的就是如何去評(píng)估服務(wù)的標(biāo)準(zhǔn)。從2003年，“安全服務(wù)”就被眾多的安全廠商看作新的生機(jī)和商機(jī)，然而8年過去了，統(tǒng)一的標(biāo)準(zhǔn)相關(guān)部門仍在積極的探討中。但可以看到國(guó)家已經(jīng)意識(shí)到安全服務(wù)統(tǒng)一標(biāo)準(zhǔn)制定的重要性，并由相關(guān)部門從國(guó)家監(jiān)管的角度已經(jīng)開始出臺(tái)和制定了一些相關(guān)標(biāo)準(zhǔn)。記者在采訪中了解到，東軟從一開始就參與到了一些國(guó)家標(biāo)準(zhǔn)的制定工作中，同時(shí)在實(shí)際項(xiàng)目中的操作和運(yùn)用中不斷地積累經(jīng)驗(yàn)，形成了東軟NetEye對(duì)行業(yè)信息安全服務(wù)項(xiàng)目建設(shè)的獨(dú)到見解。
東軟在信息安全服務(wù)領(lǐng)域已有14年的項(xiàng)目建設(shè)經(jīng)驗(yàn)，在中國(guó)，東軟第一家通過了ISO9000和CMM5及CMMI5全球最高級(jí)別質(zhì)量認(rèn)證、第一批通過國(guó)家級(jí)計(jì)算機(jī)信息一級(jí)資質(zhì)和涉密信息系統(tǒng)集成甲級(jí)資質(zhì)、首批入選國(guó)家級(jí)計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急服務(wù)支撐單位、在中國(guó)最早通過ISO27001信息安全管理體系國(guó)際認(rèn)證及ISO20000 IT服務(wù)管理體系國(guó)際認(rèn)證，擁有信息系統(tǒng)集成一級(jí)資質(zhì)、專業(yè)穩(wěn)定、經(jīng)驗(yàn)豐富的技術(shù)團(tuán)隊(duì)，為各行業(yè)用戶提供切實(shí)可行的信息安全整體解決方案，并能夠針對(duì)用戶的個(gè)性化需求進(jìn)行定制開發(fā)，這都為東軟有信心成功實(shí)踐信息安全新服務(wù)架構(gòu)提供了良好的保證。