| |
Mandia說，系統(tǒng)應(yīng)記下數(shù)據(jù)流動情況，包括誰在什么時候訪問數(shù)據(jù)、哪些應(yīng)用軟件使用了這些數(shù)據(jù)，但鮮有公司這么做。他說： “我們看到的最常見錯誤就是，公司請我們過去，我們首先問的是有沒有任何相關(guān)文檔。對方往往會提供大量數(shù)據(jù)，卻沒有正式的文檔。技術(shù)人員在這方面做得很差，律師也沒有要求這樣做。所以幾乎無一例外的是，我們過去問公司出了什么情況，對方根本答不上來�！�
6. 泄密后的保密工作
許多公司沒有任命某個領(lǐng)導(dǎo)人或者小組來負(fù)責(zé)響應(yīng)安全事件、查找重要細(xì)節(jié)，結(jié)果也大大限制了響應(yīng)事件的能力。在許多公司，這成了推卸責(zé)任的借口； 而另一些公司讓太多的人參與泄密事件響應(yīng)工作，結(jié)果這么多的人反而妨礙了相關(guān)的調(diào)查工作。
Mandia說： “有些公司讓太多的人參與決策過程。我們過去后，得向12個人說明情況，但實(shí)際上其中有10個人并沒必要參加�！�
另一個常見問題是，許多公司通常沒有針對泄密事件進(jìn)行保密。這樣一來，員工聽到風(fēng)聲后，會立即設(shè)法保護(hù)自身利益，從而加大了調(diào)查的難度。
Mandia表示，如果事件牽涉到內(nèi)部人員，他們知道行蹤敗露后，可能會立即清理掉一些證據(jù)（而這些證據(jù)原本可以幫助調(diào)查人員查明真相），這樣就為確定責(zé)任帶來很大麻煩。
7. 裝好安全補(bǔ)丁并不等于高枕無憂
隨著涉及IT和數(shù)據(jù)安全人士的法規(guī)措施越來越多，許多公司投入大筆資金用于技術(shù)性解決方案，以堵住漏洞。但它們通常以為，采用某項(xiàng)技術(shù)或者符合某個方面的法規(guī)就能高枕無憂了，事實(shí)并非如此。
Security Incite公司的分析師Mike Rothman說： “我看到的最主要問題就是，人們以為采取部署反病毒軟件、打上補(bǔ)丁和運(yùn)行漏洞掃描之類的簡單措施后，就真正符合要求了。他們并沒有從風(fēng)險管理的角度來看待問題�！�
不少公司審查了數(shù)量有限的安全補(bǔ)丁，得到及格分?jǐn)?shù)后就認(rèn)為再也不需要加強(qiáng)工作。Rothman說： “人們常常以為，一旦進(jìn)行了積極審查，就大功告成了。之后，黑客們會證明其實(shí)并非如此�！�
8. 安全問題不能”一視同仁“
Rothman表示，公司常常會掉入另一個與法規(guī)遵從有關(guān)的安全陷阱： 不管IT系統(tǒng)對公司的安全和成功具有的重要性如何，一律投入同樣的精力或者費(fèi)用來保護(hù)。
他說： “有些人犯的錯誤就是，對所有安全問題‘一視同仁’； 為保護(hù)只有五人使用的舊應(yīng)用系統(tǒng)所投入的時間和資金與為保護(hù)所有客戶使用的在線應(yīng)用系統(tǒng)所投入的一樣多。”
這種做法浪費(fèi)了資金，一旦預(yù)算花光，以后還會留下更嚴(yán)重的問題。Rothman說： “安全人員常常不知道如何優(yōu)先處理重要問題。他們應(yīng)當(dāng)關(guān)注假設(shè)具體某個方面出現(xiàn)泄密會有什么樣的后果，然后再考慮如何設(shè)定開支�！�
9. 放棄不該保存的數(shù)據(jù)
另一種常見情形給安全人士和法規(guī)遵從人士帶來了災(zāi)難，那就是： 許多處理信用卡和借記卡的公司對保存賬戶信息的交易日志系統(tǒng)不設(shè)防，任由這些交易日志開著，這會導(dǎo)致客戶數(shù)據(jù)泄密。
Roop說： “這些被無意識保存下來的數(shù)據(jù)可用來偽造信用卡，被黑客或者不懷好意的員工所利用�！盧oop說，連沒有收集信用卡數(shù)據(jù)的公司也要確保只保存現(xiàn)階段開展業(yè)務(wù)所需的信息。他忠告，如果沒有保存信息的明確需要、卻保留了可能被攻擊者利用的信息，那是自找苦吃。如果數(shù)據(jù)非要保存，應(yīng)該確保為此制訂了保護(hù)措施。
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
