调查结果：安全厂商的炒作使企业购入二流安全技术

一项新的问卷调查发现，安全厂商炒作安全威胁以使得用户对其安全平台产生兴趣的做法，最终可能会长久地损害自己的声誉，夸大的做法也可能会令企业作出令人失望的科技投资。调查报告指，一味的浮夸可能会令客户购入一些令人失望的技术。 

Ponemon研究所在调查了15个国家里4,881名IT及IT安全从业人员后发现，一些厂商往往夸大企业面临的各类威胁的严重性，目的是想让企业觉得如果他们不购买新的安全保护技术则会面临大风险。百分之五十八的受访者认为，安全解决方案供应商在炒作企业面临的威胁和风险。他们表示，炒作可能有助于公司腾出预算资金用于投资新技术，但几乎一半（47％）的受访者认为，他们公司经常、或十分经常买进一些令人失望的安全解决方案。

根据Ponemon的这项研究，对企业部门更有益的做法是系统地评估供应商的技术。仅仅因为对风险的担忧而买入技术的做法会导致企业部门在进行风险评估时不够周到，在估算管理新系统所需要的附加人员时也会出错。即便是在不购入新技术的前提下，那些新出现的威胁的潜在风险也是可以大大降低的。

该项研究报告给出的做法是，针对完整的杀伤链模型评估安全解决方案的能力和部署，以消除不足的地方和尽量减少过多的重叠；对在“恶意软件交付阶段”确认的攻击进行防御，但不能完全依赖此类防御，还需要对此类防御做进一步扩展。

调查结果显示，受访者最为担心是用于窃取数据的高级持续性威胁和攻击。网站遭黑客破解、目的是关闭关键业务系统的分布式拒绝服务攻击及数据外泄等也是受访者担心的首要问题。

该调查报告的题目为“全球网络安全启示录”，报告分为两大部分，研究是由安全厂商Websense赞助的。Ponemon的研究发现，购买安全技术的决策受到一些长期存在的问题的负面影响。IT安全专业人士表示，他们很少找行政管理层表达意见，担心长时间宕机（Shutdown，停机；down机）会对用户造成不便，他们无可奈何地觉得只有在发生严重安全事故以后才能拿得到新项目的资金。

什么时候一个部门才会发飙换掉一个安全厂商的产品呢？该份研究报告指，宕机时间、部署困难或是用户界面等是触发更换安全厂商的最大因素。受访者的回应结果表明，预算出现变化时有时候也会腾出资金来购买新的安全平台，另外，发生数据泄漏事故后，企业组织被迫会花钱强化系统和其他安全措施。

该研究还发现受访者对公司里的安全系统的有效性并不确定。44%的受访者表示，公司的安全解决方案没有提供公司遭受的网络攻击和潜在后果的足够资料给他们。同样，该研究还发现，那些用于检测恶意软件感染的技术往往找不到攻击的根本原因。

解决方案提供商告诉记者，报告里的结果没什么令人惊讶的。他们表示，利用先进威胁达到恐吓的战术很少能撼动中小型企业老板，无以令他们花钱购买新的安全技术。

Eden Technologies是一家总部位于纽约的安全咨询和解决方案提供商。Eden Technologies的安全事务主管Andrew Sherman表示，通过炒作威胁推销安全技术的做法是错误的，完全无助于与客户建立信任关系。

Sherman称，不能全面控制、不能保证足够的预防措施，这些问题总是存在的。他表示，如果企业部门能明智地在控制用户访问、监控关键流程和解决配置问题和软件漏洞方面花钱，许多来自先进威胁所造成的风险就会大大减少。

Sherman表示，“有人写带漏洞的软件，我们就建了些越来越复杂的安全环境对付这事。有一点在一定程度上颇有些令人沮丧，攻击者往往重复使用一些相对成熟的威胁技术，却仍然能从中获得极大的成功。”

Digital Defense是一家总部设在美国圣安东尼奥的数字防御供应商，专门从事企业网络的风险评估。Digital Defense的研发副总裁Mike Cotton表示，规范条例是影响到安全投资决策的一个主要因素。许多部门现在已经不是像过去一样草草地检查一些诸如支付卡行业数据安全标准（PCI-DSS）的指引了，他们已经成熟，开始着眼颠覆性的技术，如采用云计算、移动和虚拟化。

Cotton在最近的一次采访中表示，“成本永远是一个主要因素，但我们也见到对部署风险的关注，原因是人们担心一些导致混乱或系统中断的活动，即便只是在很短的时间之内出现。”