企業(yè)管理軟件安全問(wèn)題和管理問(wèn)題兩手抓

        由于信息系統(tǒng)本身的脆弱性和復(fù)雜性，企業(yè)在大張旗鼓地增加科技投入的不同階段，遇到了不同的難題。大量的信息安全和管理問(wèn)題，伴隨著計(jì)算機(jī)應(yīng)用的拓展不斷涌現(xiàn)左右為難的企業(yè)信息化。

1.安全問(wèn)題

        現(xiàn)在的IT世界已經(jīng)不像以前那么單純。虛擬的世界跟現(xiàn)實(shí)世界越來(lái)越接近，很多現(xiàn)實(shí)當(dāng)中不好的地方，在虛擬世界都會(huì)出現(xiàn)，所以企業(yè)在安全方面投入越來(lái)越大。讓我們來(lái)看一下安全防護(hù)的流程。一開(kāi)始企業(yè)可能會(huì)花高價(jià)引進(jìn)一批具備各種功能的安全軟件，然后把它們分別安裝到企業(yè)的桌面計(jì)算機(jī)上去。企業(yè)用戶(hù)并沒(méi)有就此養(yǎng)成定期升級(jí)和下載補(bǔ)丁的習(xí)慣。半年過(guò)去以后，原來(lái)幾百臺(tái)的裝機(jī)量可能因?yàn)橹匮b系統(tǒng)等原因，只有在幾十臺(tái)機(jī)器上仍然正常運(yùn)行著這些安全軟件。試問(wèn)，就算這些安全軟件的功能再?gòu)?qiáng)大，企業(yè)的IT系統(tǒng)安全是否真正得到保證了呢?答案顯然是否定的。因此，真正的系統(tǒng)安全絕不僅僅來(lái)自于技術(shù)和產(chǎn)品，它的實(shí)現(xiàn)還需要結(jié)合管理思想的安全方案。

2.管理問(wèn)題

        隨著IT業(yè)的日益成熟，在整個(gè)IT費(fèi)用中，硬件占的比例越來(lái)越小，而管理和支持占的比例不斷增大。管理、支持和軟件加起來(lái)占了IT費(fèi)用的70%，而當(dāng)中只有6%是軟件的購(gòu)買(mǎi)成本，最大的IT費(fèi)用成本就是運(yùn)維、管理和支持。企業(yè)面臨的挑戰(zhàn)很多。在基礎(chǔ)架構(gòu)方面，尤其在中國(guó)，國(guó)民經(jīng)濟(jì)高速增長(zhǎng)，IT投入越來(lái)越多。從過(guò)去有一個(gè)數(shù)據(jù)庫(kù)，到現(xiàn)在有很多的東西，比如CRM和ERP等，管理成本越來(lái)越高，也非常麻煩。企業(yè)IT投入的不斷增加導(dǎo)致了很多新問(wèn)題，比如異構(gòu)系統(tǒng)不兼容性的問(wèn)題，還有現(xiàn)有平臺(tái)和將來(lái)平臺(tái)的兼容問(wèn)題，過(guò)去IT的投入將來(lái)還可不可以用等。

 3.走出被動(dòng)防御的“盲區(qū)”

         未來(lái)安全問(wèn)題不再是過(guò)去簡(jiǎn)簡(jiǎn)單單的一個(gè)病毒或者一個(gè)黑客，它將朝著更多元化的方向發(fā)展。對(duì)于企業(yè)而言，無(wú)論是數(shù)據(jù)失竊、郵件泄密還是網(wǎng)絡(luò)癱瘓，都將帶來(lái)巨大的損失。越來(lái)越多的企業(yè)已經(jīng)從被動(dòng)式接受轉(zhuǎn)變?yōu)橹鲃?dòng)防范。這種變化包含兩層意思：一方面是企業(yè)意識(shí)的轉(zhuǎn)變。最初輕視信息安全，認(rèn)為安全管理是額外的投入，不能帶來(lái)任何收益，是IT建設(shè)的附屬品；之后開(kāi)始接觸信息安全理念、產(chǎn)品以及技術(shù)，被動(dòng)接受安全體系的建設(shè)，整個(gè)行業(yè)呈現(xiàn)出一片空前的信息安全建設(shè)熱潮；再到后來(lái)，泡沫逐漸消退，企業(yè)更加清醒地看待信息安全問(wèn)題，隨著整個(gè)IT環(huán)境的變化以及需求的日益增強(qiáng)，企業(yè)開(kāi)始認(rèn)識(shí)到信息安全作為企業(yè)生存與發(fā)展的重要支撐，必須走出固有的圈子，變被動(dòng)為主動(dòng)，將其提升到與信息化建設(shè)同等重要的高度。全民動(dòng)員，加大投資力度，從領(lǐng)導(dǎo)到基層共同參與安全網(wǎng)絡(luò)構(gòu)建。這時(shí)，安全建設(shè)才真正成為企業(yè)成長(zhǎng)的助推器，完成了從企業(yè)發(fā)展的絆腳石到催化劑的轉(zhuǎn)變。

        另一方面，信息安全“三分技術(shù)，七分管理”，安全與管理是企業(yè)信息安全的核心，企業(yè)建立了安全管理體系后，安全技術(shù)才能充分發(fā)揮它應(yīng)有的作用。安全管理首先要建立一個(gè)健全、務(wù)實(shí)、有效的安全組織架構(gòu)，明確架構(gòu)成員的安全職責(zé)，這是企業(yè)安全管理得以實(shí)施、推廣的基礎(chǔ)；其次必須建立完善、可操作性強(qiáng)的安全管理制度，并嚴(yán)格執(zhí)行。責(zé)權(quán)不明、管理混亂、安全管理制度不健全及缺乏可操作性等，都可能會(huì)引起安全管理的風(fēng)險(xiǎn)。如一些員工或管理員隨便讓一些非本地員工甚至外來(lái)人員進(jìn)入機(jī)房重地，或者員工有意無(wú)意泄漏他們所知道的一些重要信息，而在管理上卻沒(méi)有相應(yīng)制度來(lái)約束。所以需要一個(gè)管理、技術(shù)、人的參與三者融為一體，有主觀(guān)意識(shí)參與的全方位解決方案做催化劑。