IT安全：数据失窃的“定时炸弹”

老大哥的做法

　　一些公司喜欢用老大哥的做法去监控员工。美国受访者说他们的公司监控员工活动, 其中51%监测使用电子邮件的情况, 40%监控网络的使用, 35 %监控电话的使用。此调查结果与去年的大致一样。

　　 然而,其他来源的数据泄漏较少受到注意：只有29%监测IM的使用, 22%监测电子邮件附件, 20 %监测电子邮件讯息内容。使用便携式存储设备很少受到监测。

　　42%的受访者说,数据泄漏是个坏行为,员工应该罚款或处罚。如果他们利用职务之便作奸犯科。

　　顾问麦克莱恩采取更加强硬的方式：“造成结果相当严重的,员工应负相应的民事甚至刑事责任。”

　　

　　相当数量的受访者希望把责任推脱给出售安全技术的公司。

　　45 %的美国公司和47%的中国公司认为安全厂商应该为此承担法律和财务责任，由于他们的产品和服务造成的安全漏洞。

　　有些IT公司对大多数公司没有集中执行安全评估风险和存在威胁,然后就发号施令来解决这些问题的事实感到不安。

　　在大多数公司制定安全政策是由总监,总裁,技术主管, 安全主管共同协作完成的。

　　艾森豪威尔医疗中心,没有一个首席信息安全官而是依靠其总法律顾问佩雷斯与系统管理员共同制定安全政策。

　　“我们从每个部门的董事那里搜集资料,找出他们所要进入的系统和数据” 佩雷斯说，“这是一个有趣的循环，我们要发现症结所在试图使世界变得更安全”

　　“在去年，首席信息安全官的数量已大大增加, 大约四分之三的受访者说他们公司已有CISOS。做为CISOS的主要为公司的总裁或总监。

　　可是，当谈到最终决定权时,有一半的美国公司说,CEO决定安全的开支。在美国,37 %的受访者说,他们公司评估风险和安全威胁没有启用CISO的制度, 而22%的人说他们的评估安全风险和安全威胁并不规范。

　　在美国,部分IT公司关于安全的预算基本是一样的；去年花在安全上的预算为12个百分点，今年却是12个百分点。

　　另一方面，中国正处于是一个安全消费的狂热期：今年安全消费平均占IT预算的19%。而在2006年确是16 % ,但有趣的是, 39%的美国公司和55%的中国企业期待2007年的安全开支水平超越2006年。

　　这一切听起来感到压抑,但不必恐慌。信息安全已步入更加复杂的环境，因为袭击者改变了自己的方法和目标, 公司越来越多的安全产品互相竞争。令人欣慰的是，安全漏洞经常源于细微之处。“防微杜渐”的工作态度是我们日益需要的重要品质。