李刚：新环境下信息安全机遇与挑战并存

　　8月31日消息，日前，RSA信息安全大会2012刚刚落下帷幕，在本届RSA安全大会上，赛门铁克大中华区技术总监李刚做了“明日安全 今日塑造”主题演讲。他提到，全新的IT趋势打破了现有的网络边界，信息安全产业面临的挑战越来越多，同时也带来了更多的机会。

　　移动和云 信息安全面临的挑战

　　中国经济在过去20年可以说是飞速的发展，迅速的成为了世界第二大经济体，中国的ICT产业规模也是特别庞大，但是与之相对应的，中国的信息安全产业规模相对于前两个指标来说都是不够快的。李刚谈到：“信息安全产业面临的挑战很多，但同时机会也很多，随着云计算、移动互联网的发展，其带给IT的变化是革命性的，只不过这次IT的革命性变化没有第一次互联网改革一样带着整体经济一个大的飞跃，但这一次的变化我们认为它等同于上一次的互联网革命。”

　　李刚表示，这些新的IT趋势打破了很多的边界，其中第一个是打破了传统应用的边界，许多以前我们没有想到的所谓的IT技术所服务的场景，现在出现了而且是大量的出现，可以说只要你的想象力能够到达的地方，就是IT技术能够触及的地方。第二是打破了资产边界，很多是个人拥有的资产进入到了企业的内部，这对企业IT的管制产生了很大的挑战。三是打破了服务边界，传统的企业用户在获取服务的时候只能从企业IT部门来获取服务，而现在则不经过IT部门，通过租赁购买的方式就可以获得这种服务。

　　机遇与挑战并存着

　　虽然边界被打破对于业务来说是有巨大的推动作用，但是对企业的风险管理来说有着很大的挑战，这个挑战主要是IT部门对于设备的控制变弱以及安全风险变得不可预测。但同时机会也会变得更多，李刚分析到，对于中国的信息安全厂商来说，以及对于整个行业来说，我们需要快速的去提升信息安全的水平。有两个重点，一是应对基础架构的变化，或者叫应对整个IT信息技术发展方向的重大变化，第二是要有一个更优化的风险管理和信息保护的框架。

　　1、应对基础架构的变化

　　谈到应对基础架构的变化时，李刚谈到，“整个IT环境的变化体现在两方面，一个是云环境，企业要在云环境里建立信息，就要有一个新的思路去思考怎么样在云环境中降低企业的风险。在云环境中，传统的IT战略扩展到云中，会有很多部分是我们不能控制的，而在云中我们可以管制的一个新的控制点就是人和信息，人的行为和身份以及信息本身，这样就可以建立一个真正的控制点，我们还可以利用云来保护云，这也是云带给我们更安全的一个环境。”

　　除了云环境，企业目前还面临的一个挑战就是移动计算和移动互联网。移动时代与传统的所谓访问信息和信息服务手段的区别在于资产本身是属于员工个人的，其上的信息和应用是属于个人的或是企业的。如同我们刚才所谈到的对云环境的保护一样，在这样一个环境里面，我们能抓住和控制的控制点也是个人的身份、行为以及信息。与云环境的保护区别在于我们需要把移动设备中的个人和企业的资产能够分开，因此牵涉到很多相关的新的控制点的建立。

　　2、优化风险管理和信息保护的框架

　　李刚表示，“我们这里讲的不应该是框架而是方法，我们需要第一个从思想上尽力的把IT风险和业务联系起来，使管理者清楚了解IT风险是指什么业务流程。这里最重要的就是工具，对信息安全来说有一个比较大的挑战，就是对人的依赖性比较大，但正因为这样，我们才需要更多的去发展相关的技术和工具，能工具化的话，就使得很多问题就变得相对容易了。”

　　除了在整个建设思路方面有所改进以外，还有一个很重要的是引入相关的工具。实现实时的风险管理，能让企业明晰所处的环境目前的风险程度如何。其次是企业需要把安全知识通过工具把它变成产品，来去提供相应的服务给客户。

　　再次是企业要有相应的技术性的和战术性的手段，来帮助企业提升对安全的缺陷的自动化修复的能力。企业需要尽可能采用自动化手段，在这个前提下，企业还要保持一定的人工技能，至于这个人工技能是保存在企业内部还是企业外部，这要看企业所处的行业，以及IT的相应投入。

　　李刚分享了信息安全体系成熟度指标，他认为，其一是企业是否采纳了已被业界所证实的有效的安全体系建设，二是企业是否能走在威胁到来之前，是否知道什么是最新的安全威胁，三是企业有没有能力去抓住当前企业所需要关注的最优先事项，最后是企业要建立可持续的风险管理体系。