“2009 IT风险管理”之道

——访国际信息系统审计和控制协会（ISACA）北京事务委员会主席 何迪生

随着IT技术的发展，全球越来越多的企业正在逐步完善业务流程及信息处理，将其从人工操作转移到IT平台上来。

由于微软的Windows操作系统有着易于使用、成本较低等特性，许多企业已经或者正在把Windows作为主要的业务流程和信息处理平台。从边界服务器到内部网络，从企业总部到各分支机构，企业中存在着大量使用Windows操作系统的服务器和客户端。

但是，随着Windows作为主流平台的广泛使用，也随之出现了层出不穷的安全威胁。而当金融风暴汹涌来袭，全球企业的生存环境发生了剧烈的变化。包括敏感数据、客户信息以及公司基础设施等都面临着日益严峻的IT风险，而在经济动荡时期，企业更加无法承受自身安全所带来的问题。

所以，如何在目前这个非常时期，严格控制有可能发生的隐患，对企业进行有效的IT风险管理，是所有企业都必须直面的问题。

对此，kaiyun体育官方人口 走访了国际信息系统审计和控制协会（ISACA）北京事务委员会主席及微软大中华区信息安全总监 何迪生先生，请他来深入剖析现今“IT风险管理之道”。

国际信息系统审计和控制协会（ISACA）北京事务委员会主席 何迪生（kaiyun体育官方人口 配图）

多角度认知IT风险

何迪生有着多重身份： 国际信息系统审计和控制协会（ISACA）北京事务委员会主席、信息系统安全协会（ISSA）香港分会总裁、中国信息化推进联盟 (CFIP) -信息安全专业委员会 (ISA) 副主任、-业务持续管理专业委员会(BCM)高级顾问、微软大中华区信息安全总监。复杂的身份帮助他从不同的角度去思考IT风险管理的问题，因此也就对IT风险管理有了更加全景的认知。

谈到IT风险管理，首先需要了解威胁是什么？今天有哪些威胁？未来又会有哪些威胁？

对企业来说，任何安全技术和手段所要保护的核心内容都是数据，目的也是为了企业正常网络业务的运转。在此基础上，何迪生解释说：从企业外部来看，IT风险一直在不断加剧。对于企业IT系统的恶意攻击也在变得越来越复杂，有越来越多的方法可以对IT系统进行攻击。同时，威胁已经不仅仅单纯来自于企业外部，更多来自企业内部的威胁已经变的越发严重。

在开放的网络环境中开展业务，至少面对四大挑战：第一，内部身份认证的安全性；第二，有组织犯罪的威胁；第三，各种来自于网络的内外部攻击；第四，各种软硬件的安全漏洞。

从业务角度来看，在上个世纪80年代时，完全并不需要管理很多的身份，但是随着IT应用越来越复杂，越来越多的功能开始被启用。因为，需要用不同的功能应对业务发展需求，比如：进入财务系统时，有很多网关保护着数据。在访问数据之前，就首先需要经过身份的认证。显然，随着IT应用愈加复杂、数据量的激增，所以，身份认证所带来的问题也就越来越复杂。

外部环境的变化也正在逼迫企业积极主动的应对IT风险。从发布更新到漏洞被利用的时间间隔已经越来越短，从最开始的1年降到了2天甚至是1天。另外，过往的黑客更多是出于技术目的，只是想进入系统，炫耀自己的技术水平以获得成就感。但是今天的黑客不是为了破坏系统，他们更看重的是系统里面的数据，并从中获利。所以，黑客已经从过去的技术目的，变成现在的业务目的。而且，他们所能采用的恶意攻击的形式也越来越复杂。

此外，还有一个极其重要的问题，IT风险最重要的部分是人。人永远是最薄弱的一个环节，必须教育员工，让他们有足够的知识来理解有关的防护措施。否则，即使防护再完备，企业依然会面临巨大的风险。

所以，IT风险是复杂的，包括了很多因素，可以想见，今天的CIO们工作异常艰巨，需要找到正确的战略、方法去管理系统。

对于IT风险，微软提出了信息安全的纵深防御模型，除物理安全、边界安全、内部网络安全、主机安全、应用安全和数据安全六个技术层面进行的安全防护外，再加上法规政策、安全模型等安全指导思想，合理的规章制度、应急处理机制等信息安全管理手段和完整的安全培训体系，组成了微软总体安全架构体系。何迪生介绍说。

硬币的两面——安全与管理

根据IDC发布的调研报告显示：目前，当IT投资每增加100美元，其中的70%用于运营，只有30%是用于支持一个新的应用。由此可见，对于现有IT设施的管理是多么重要，占据了大部分的IT投资。

但是，企业需要成长，当然不能把大部分资金都花费在老旧系统的运维上。那么，如何把IT预算中更大的比例划拨到新应用的层面上，更好帮助企业发展？通过服务等级的管理、容量管理、可用性管理等，就可更好更有效的管理系统, 把IT运维的成本降到最低。从解决方案角度来讲，微软提供了安全和管理相结合解决方案 - System Center 帮助用户监管IT资产，包括软件、硬件和网络资源。Forefront针对Exchange和SharePoint的保护程序集成了多个厂商的扫描引擎，加上微软自己研发的一共是8个，也是业内唯一的多引擎解决方案。用户可以根据性能和病毒捕获率的个性化要求，来调整引擎工作数量以及工作性能之间的平衡。通过集成多个引擎，很大程度上避免了杀毒的“短板效应”。广泛集成业界专业的杀毒引擎，大幅度提升方案的整体安全防护效果。借助这种手段将微软的安全解决方案和业界的最新技术紧密联系在了一起。这种整体防护对于构建可信赖计算的企业计算环境来说极为重要。安全和管理相结合，是今天企业IT治理里重要部分之一。

如今，企业IT管理在实际操作中存在的问题和挑战越来越多。IT架构管理软件和防病毒入侵软件，很难与平台匹配而使管理变得异常复杂；许多安全软件无法满足安全需求并难以与平台实现无缝连接；同时越来越复杂的企业IT环境和越来越高的维护成本，让管理者深陷其中，业务目标难以实现。因此，管理和安全特性兼备，对每家企业而言都成为优化核心基础设施不可分割的关键部分。

针对IT管理中方方面面的挑战，微软的核心理念是将管理和安全视为一个有机整体，而不是单独看待“管理”和“安全”某个问题——何迪生这样解释微软将管理和安全进行融合的用意。

像微软这样将管理和安全相结合，又能给用户带来怎样的好处？

何迪生解答说：这将实现生产力最大化，并提供高度简化的管理，并能够与现有基础设施整合，让用户缩减成本、为商务发展提供动力，并让管理处于用户的掌控之下。这主要表现在三个方面：

一是提高生产力——通过自动执行重复性任务和嵌入微软的知识来增强企业的生产力，让企业能够在效益最大化的同时，维持生产力。

二是简化企业工作环境的部署、配置、管理和安全特性——通过提高能见度，让企业IT管理能够随时随地作出必要反应。

三是高度整合——方案与Windows平台及其应用和管理基础设施实现整合，提高了企业系统的整体有效性和响应度，帮助企业实现投资价值的最大化。

简而言之，微软的理念就是“让安全易于管理，令管理更加安全”，两者相辅相成，密不可分，就像一个硬币的两面，对立统一而又密不可分。

宏观策略与微观措施相结合

构建一个更安全的IT环境和IT系统，宏观战略和微观措施同样重要。

在当前这个非常时期，虽然企业受到经济下滑的影响，IT预算有可能相比以前有所缩减，但企业仍然希望即使在节约IT成本的情况下可以使用相当、甚至更好的解决方案来加固企业的IT系统，以面对不断变化的安全威胁。

何迪生对此抱有充分的信心：首先，IT已经不仅仅是企业的成本中心，一套完善、健康的IT系统完全可以成为企业业务的助推器，帮助企业成功。少花钱多办事主要是落实到几个方面——第一是企业内部管理成本，信息管理不能复杂，复杂的管理必须要花时间花钱去参加很多的培训或者是招聘更多的管理员；第二就是企业希望厂商最好能够提供一站式的服务，具体来说，信息部门尤其是安全部门都希望减少服务交付的时间，他们需要简化服务供应商的数量，让服务提供商尽量是单一厂商。当前，有些用户的方案都是集成商把多家厂商的产品打包来做的，这个成本显然高于单一厂商的集成解决方案。

何迪生特别强调ROSI——安全投资回报率，通过这个指标，可以向企业负责人介绍安全投资的回报和业务表现。

如果一个CIO或者是CEO，或者是相关的利益方，不能够认识到保护数据的重要性，那么将很难说服他们投入足够的资源来用于解决IT风险的问题。但是，与商业直接密切相关，与股东权益直接相关的信息，都必须要采取一些措施保证投入足够多的钱和资源来解决安全防护问题。显然这不是一个轻松的工作，比如用ROSI去充分说明其重要性。

在具体措施上，大致可以分为如下步骤：

•首先应当进行商业的风险评估，从商业发展的角度来看，什么是最重要的东西，如何来保护。

•然后，才能进入制定策略和公司的流程的阶段。讨论的安全的组织架构，这都是如何实施这些战略的基础。比如，可以组成一个虚拟的安全团队，动员各个部门的力量参与进来，包括人力资源部门和营销部门，让他们都理解安全性与重要性。

•下一步是安全的架构和控制，关于公司的政策和流程。

•随后进行安全的确保，令每一个部分运转正常，并通过一系列的测试验证其是否可以防止黑客侵犯。

•通过安全监测来确保整个流程都是有效的。对于大公司，有可能需要每季度进行一次，或者是每月一次，来确保网络每天都是安全的。

•最后就是安全评估。安全主管需要知道如何来和领导进行沟通，来展示一下这个系统它的功效。

对于微软这样的安全厂商来说，构建一套完整的安全生态系统，必须能够应对这些挑战，包括防御攻击和不必要的通信干扰，并且尽量预知用户的业务发展趋势，并努力提高自身的安全透明度，以便为用户提供最优的安全防御方案。

从技术革新上看，目前以微软为代表的安全厂商正在努力推动分层的系统安全建设模式，包括了：负责ACL、RMS以及数据加密的数据层；强化防病毒结构的应用程序层；负责操作系统强化、修补管理、身份认证和HIDS的主机层；统筹网络段，开展IPSec和NIDS的内部网络层；管理防火墙和VPN等设备的周边设备层；以及提供防护、锁定、追踪功能的物力安全与策略通告层。这些技术层和非技术层组合在一起构成了企业实践中的深层防御（DID）机制。

何迪生建议，目前最为有效的企业安全生态系统建设战略，除了要从技术上进行革新，同时还要为企业提供最佳的安全实践与操作方式指导，同时安全厂商与企业的CIO最好能够与一些国际安全组织进行合作，比如与ISACA, ISSA, CFIP-ISA和BCM保持交流可以获得最新的安全防御指导意见，有助于安全生态圈的搭建。

在了解了一般方法，以及如何评估安全管理的效果之后，用户可以借此改善安全防护的水平，来提升保护IT环境的能力。而在技术方面的很多因素，比如怎样保护系统，加密等深层次的技术知识，都可以利用在日常保护IT的工作中去。但是对于IT风险管理，只有技术还远远不够，它更多是有关于战略、流程、人、框架等各种元素，这几个组成部分都是非常重要的。

其中，何迪生特别提到了流程——安全效果的获得还有赖于安全有效的管理流程。凡是涉及到流程问题，单独依靠安全厂商是不够的，还需要用户企业的努力，其中至少体现为：第一，企业的决策层支持安全流程的建立；第二，需要进行专业的商业风险分析；第三，依靠业务和IT的人员一起建立安全策略；第四，构建安全架构并进行部署；第五，持续不断地开展系统安全监控。

对此，何迪生指出，只有将安全管理流程与深层防御体系组合在一起，才能构成最佳的企业安全策略，而这也是企业建设安全生态圈并最终获得安全体验的必由之路。

结语

在三年前，何迪生曾对媒体表示过他的担忧：中国很多企业对信息安全重视非常不够。而现在，他承认这种情况已经发生了很大的变化。

“中国企业对信息安全、IT风险的重视程度越来越高了，尽管对于应该做什么、怎么做还不够清晰，但是在主观思想和重视程度上，已经达到了相当高度。许多发展和需求处于起步阶段，发展速度非常的快。”

尽管中国企业在安全建设问题上，还存在着一定的误区，比如认为购买昂贵的大型防火墙、杀毒软件或者有关的安全产品就能提供很好的防护。“就如同一个昂贵的防护门，但是却没有锁好。这依然起不到很好的安全防护作用。”何迪生表示，昂贵的产品和解决方案并不一定适合企业自身的需求。

其实，在这一两年中，发生在何迪生身上的改变，并不仅仅是他对外界变化的认知，两年前还几乎不能用汉语对话的他，现在已经能够讲一口流利的普通话了。然而，在他身上，从未改变的是他对安全理念的传播意愿与布道精神。

不论是在微软的身份，还是在ISACA、ISSA、CFIP- ISA、BCM的身份，何迪生都一直在努力让每一个中国企业都了解IT安全问题的重要性，和他们分享解决IT风险管理的各种经验，并提供行之有效的解决方案。

“中国太大了，这会花费大量的时间和精力，但作为一个中国人，我愿意为此付出努力。”何迪生说。