2014RSA大会启示：我们需要怎样的信息安全？

作为每年一度的信息安全业界盛会，RSA安全会议是了解企业安全业务风向标的重要机会。今年的RSA大会已在美国旧金山落下帷幕，无论是规模还是参会人数，本届大会都创下了历史新高。同时，本届大会的众多议题带给信息安全业界的思考也是值得回味的：我们究竟需要怎样的信息安全?

亟需重塑的网络安全信任链

在过去的一年中，斯诺登爆料的“棱镜门”事件无疑是落在信息安全界的一枚重磅炸弹。直至本次RSA大会召开，这枚炸弹也余威犹在。在信息安全界，安全厂商、安全专家、评测标准机构和政府安全机构应该是建立在相互信任基础之上，而这也是维护国家利益、保护个人隐私的最低界限。

然而，斯诺登的爆料在使得美国信息技术企业与用户之间建立的信任荡然无存的同时，也显现出全球通讯面临的风险和限制的触目惊心。

今年的RSA大会伊始， RSA执行主席Art Coviello便发表了有关美国政府窥探隐私和网络战争的主题演讲。他在演讲中指出：“所有国家都应该尊重和保护所有个人的隐私，希望所有国家能够确保经济活动在互联网上可以自由进行，希望所有国家放弃使用网络战武器。”

从长远看，如若不能重塑起“棱镜门”后信息安全界断裂的信任链，在未来，新的贸易壁垒可能会因此被树立起来，全球性的互联网网络也很有可能变成破碎的国有化网络。但从另一方面来看，“棱镜”事件或许也能够促使国际社会建立起新的网络空间安全行为规范，从反面给予全球网络空间带来正能量。

无论如何，重塑破裂的网络安全信任链，是当下信息安全界首当其冲需要面对的问题。

迈向云端的安全时代

从设置防火墙设备到进行身份验证，传统的安全业务模式就像是通过一个个硬件“盒子”建立起一重重防护的城墙，将公司的人员、业务圈于其中予以保护。每一次安全业务的提升都不乏对硬件设施的堆砌，就像是对“城墙”的加厚和拓宽。

然而，随着BYOD趋势的发展，员工急于使用最新的移动设备以及基于云的服务已经成为一种常态。在今年的RSA大会上，虽然仍有很多新各种安全硬件“盒子”展示在会场上，但对企业的CIO和CSO们来说，对于这种需要管理多很多安全厂商产品和系统的模式已经不能再激发起他们的兴趣。

与此相对应，安全运维工作也进入了云计算时代。如今，企业在很大程度上都有意将业务建立在混合云环境中：即一些旧的应用程序或许仍然运行在企业的数据中心，但新的业务一般都放在一个公共云环境中运行。私有云、混合云和公共云这样的搭配，所带来的是数字安全和隐私保护面临更加复杂的环境。

面对这一趋势，传统的安全厂商已经开始竞相将他们传统安全产品扩展到这种混合云模式。对于安全厂商而言，谁能够帮助企业尽快将其新旧业务融合过渡到新的云安全防护模式中，那或许谁就将会成为云安全时代的赢家。

将创新赶在黑客的前面

今年的RSA大会上有一个很有意思的议题：试着猜想一下，在信息安全攻防战中，安全保卫者和攻击者谁会获胜?

在过去的一年，没有一家公司能够对于企业的信息安全防护做出有预见性的防护措施。相反地，信息泄漏事件层出不穷，很多系统遭到破坏。尽管很多企业花费数额巨大的资金投入在在安全领域，但数字入侵、身份盗用以及企业数字间谍等层出不穷的事件无疑对当今企业的信息安全防护敲响了警钟：在这方面，黑客往往是最快的技术创新者。

造成这一局面的原因在于：传统的安全防护依然局限在现有的安全模式之下，而黑客们却变得越来越有组织、有准备地开发出入侵攻击的新方法。

在本届RSA大会上，应对这一问题最好的建议或许是：用类似云计算的方式建立一个黑客实验室。企业可以创造一个新的测试环境，当然，在这个测试环境中不会运行真正的企业业务，最多只需要在其中设置一个工作人员。这一测试环境旨在引诱黑客对其进行攻击，以此调查黑客们当前最新的攻击技术。

相较于需要很多云计算开发人员的模式而言，这种仅有一个工作人员的黑客实验室，只要设置几个基本规则，并创建一个引诱黑客攻击的模拟公司内部结构，那么很快就会了解到所有已知和未知的漏洞以及黑客们的最新技术。

当然，这还需要企业的领导者意识到：这并不是在对企业已经不堪重负的基础设施上增加新的框架，相反地，对企业安全防护方面的投资才会得到最大的回报。

要知道，在信息安全这场没有硝烟的战争中，只有将创新赶在黑客的前面，我们才能赢得最后的胜利。