Check Point 剖析IT技术潮流及其安全考虑

目前IT 环境及相应的安全挑战日趋复杂，互联网安全解决方案领先厂商Check Point软件技术有限公司从千丝万缕中点出十大信息技术热门课题，并提出其相关的安全观点：

热点1：虚拟化
由于能有助企业整合其IT资源及削减有关开支，虚拟化技术在近年逐渐升温，这个热潮在2011年将有增无已。摩根士丹利的研究报告指出，CIO们在2011年将把其企业的服务器进一步虚拟化，比例或将高达55%，2010年这一比率只为42%。Information Week在去年6月发表的调查结果显示，28%的公司已经使用了“私有云”，而有30%计划将会使用。

然而，Check Point对正在或准备采用虚拟化技术的机构提出忠告，这种技术有多种安全隐忧，例如机构决策者表示其IT安全管理团队缺乏虚拟网络的专门技巧及经验，而且觉得新的信息安全方案所费不菲；其它挑战包括缺乏服务器虚拟化的最佳范例供参考；以至不能挪用现有安全工具至虚拟化环境等。

热点2：云计算
很多企业不论其规模大小对构建内部及专用IT云环境兴趣甚浓，估计今后数年，适用云环境的应用将如雨后春笋。云计算带来的安全挑战也不容小觑，根据摩根史丹利去年所发表的CIO云计算调查，企业最关注的云计算安全风险为数据安全和失去控制，其次为数据的便携性和所有权、法规遵从及可靠性等。

Check Point指出，有效的安全保护与控制密不可分，企业对与其业务至关重要的应用不能撒手不管，而在使用云计算环境时，企业却往往不知道是谁在共用资源，这将导致很多安全漏洞。

热点3：IT消费品化和移动性
许多IT技术原先定位于电子消费品市场，随后逐渐广泛应用到商业环境中。这方面的硬件产品包括各款智能手机（iPhone、BlackBerry或Android设备等），而消费类应用则包括网上即时通讯、社交网络和IP电话等，这一趋势也被称为“IT消费品化”。

这些私人设备、应用和技术在企业的使用带来了极大的安全挑战。具体来说，企业必须确保所有企业数据和资源在这些移动设备或服务传输过程中是安全的，同时保证他们的员工能够随时随地访问网络。

移动计算已经是大多数公司日常工作生活的一部分。事实上，随着移动设备在许多市场超过了100%的普及率，这几年企业移动办公人数已激增。同时，CIO都在穷于应付不断增

加连接至企业网络的员工设备，有鉴于此，今后与移动设备有关的安全事故将不断增加。因此企业需尽快保护其移动办公的安全性。

热点4：安全威胁的复杂性
互联网威胁层出不穷、变本加厉是众所周知的趋势，从简单的病毒和蠕虫、安全威胁至今发展成多种形态、组合而复杂的形式，一次攻击就使用了多种黑客技术的攻击。此外，许多网络攻击使用自动扫描Web潜在漏洞的方式，使得每个人都成为可能的攻击目标。

此外，现今的互联网攻击不仅针对个人，也越来越多把企业作为目标。它们基本上是由全球各地的网络罪犯发动，是有组织及有动机的犯罪行为，旨在谋取经济利益或侵犯知识产权。 2010年，网络犯罪造成企业20多亿美元的经济损失，这在今后将有增无已，促使企业考虑采用主动而扎实的网络防御，例如入侵防御 (IPS)等安全措施。

热点5：IT整合和安全的复杂性
现今安全复杂性是企业的头痛问题。根据Information Week的2010年安全决策者调研，这是目前企业所面临的头号信息和网络安全挑战。

随着企业不断努力提高他们的安全级别，以防御最新的威胁，现在的安全环境比以往更加复杂。随着企业为安全基础设施增加更多的保护层，它们往往部署多种单点安全产品，包括IPS、防火墙、VPN、防病毒、防垃圾邮件、网络访问控制（NAC）、数据防泄密（DLP）和URL过滤功能，有时可能会管理来自不同厂商的15种方案，这增加了管理工作的难度和成本。

此外，网络通信本身也变得复杂。越来越多的应用在网络使用，它们包括个人或商业用途，而且由内部或外部供应商提供或来自云计算，法规遵从的因素也不能忽略，这都令安全管理员的工作更加艰巨。

热点6：数据安全与丢失
电子数据的大幅度增加有目共睹，这令保护数据成为企业重中之重的工作。根据2010年Ponemon调研所的一项调查显示，数据泄露为机构造成的平均经济损失逐年增长，仅2009年就达到了平均675万美元的巨大数目。导致机构和企业数据丢失的“元凶”包括：U盘与笔记本电脑、企业电子邮件、公共网络电邮、Wi - Fi网络、光盘和DVD光盘。事实上，企业网络发送的大约1/5电子邮件的内容涉及法律、财务或合规风险。

Check Point 指出，一些安全措施可以帮助企业减轻这种风险，如媒介/硬件加密或采用数据防数失涉密（DLP）解决方案，因此机构应该对它们详加考虑。

热点7：Web 2.0 及社交网站
现在，Web 2.0已经成为一个不可或缺的商业工具，用户在Web上冲浪、分享信息、下载文件、聊天、更新博客或观看视频的时间平均占每个工作天的1/4。根据《经济学人》杂志的数据，最受欢迎的100个网站中有45％支持用户生成内容，其中60%被恶意软件感染。此外，目前有许多Web应用程序有漏洞，但没有厂商提供相应的补丁。因此，企业应该加强执行本身和员工的安全政策。应用控制级别要使企业在不妨碍员工效率的情况下，实现更周全的安全防御。

Check Point 指出，类似基于IP的防火墙政策和URL过滤等传统工具在2.0环境中有其局限，因此企业需要采用新的安全控制，能够区分在互联网上运行的数以千计的应用程序，同时提供更佳的可视性，令防火墙能分辨使用同样协议及端口的不同应用，以便进行更好的监控和管理。

热点8：公司管治、风险和法规遵从
现今企业需要遵循的数据防泄密法规既多且严，它们不仅要遵从所在行业的规定，也要遵守当地法律，例如欧盟指令、其他本地数据隐私和数据泄露的规条。比如上市公司要遵守萨班斯法案（Sarbanes - Oxley法案）；医疗机构必须遵守HIPAA（健康保险流通与责任法案）和HITECH（经济健康信息和临床医疗技术），以及PCI DSS（PCI数据安全标准）；金融服务机构要遵守GLBA（Gramm - Leach - Bliley法案），以及巴塞尔协议II。这些仅仅是最常见和标准的规定。

这样的规定是为了保护客户、员工、合作伙伴或投资者不被欺诈和身份被盗窃。然而，对于企业，这些最终会成为IT人员和安全预算的负担。例如，在有数据泄露信息披露法的国家，企业数据安全的花费往往比在没有这种法律的国家高。

根据Information Week 去年的调研，行业和政府法规遵从是推动机构实施安全项目的最大因素。随着公司开始大规模虚拟化他们的数据中心和IT环境，安全的复杂程度将继续上升。

热点9：降低成本
尽管经济在复苏中，企业仍然面临降低基础设施和运营成本的巨大压力。机构的IT预算仍然普遍紧张，CIO都在大幅削减支出预算。对于IT管理员来说，这意味着他们只能用更少的钱却做更多的事。

为了最大限度地提高投资回报率（ROI），企业会更倾向于“不可或缺”的技术，而不是“可有可无”的技术。最重要的是，解决方案需要能够随着业务发展和和新威胁出现而扩展。由于财政压力的增加，企业必将继续关注节约成本的技术，例如虚拟化和云计算，这又回到如何保障此等技术的安全性问题。

热点10：绿色IT
绿色IT也是近期强调的热点之一。随着能源价格飙升和消费者环境意识的提高，企业必须考虑发展绿色科技。而且，绿色IT趋势也使精明的IT决策者可以把生态与经济现实相结合。

以全局观应对安全挑战
Check Point总结说，企业要成功化解各种安全挑战，它们需要全新的思维，过往头痛医头，脚痛医脚，使用各种不同的单点安全产品并不可取，有效的方针是构建一个灵活及可扩展的基础设施，既可以提供周全的保护，并可以随着企业不断变化的安全需求而扩展。