贏得安全投資的技巧

申請免費(fèi)試用、咨詢電話：400-8352-114

英國油漆與特殊化學(xué)品供應(yīng)商ICI公司的CISO（首席信息安全官）Paul Simmonds認(rèn)為，通過系統(tǒng)地從財務(wù)角度評估企業(yè)安全態(tài)勢和提出改進(jìn)建議，CSO（首席安全官）可以在企業(yè)董事會上贏得安全項(xiàng)目的投資。Simmonds說：“與董事會的交流必須從錢的角度來談。比如：不做這件事讓我們損失了這么多錢，具有這樣風(fēng)險和好處的解決方案A花這么多錢，具有那樣風(fēng)險和好處的解決方案B花這么多錢，等等?！?/p>

他補(bǔ)充說：“很多安全經(jīng)理沒有經(jīng)過正式的業(yè)務(wù)培訓(xùn)，他們通常是走IT之路上來的，因此可能不善于從財務(wù)角度講話。或者他們沒有找到評估安全性來證明ROI（投資回報）數(shù)據(jù)的方法?！?/p>

咨詢?nèi)耸拷ㄗh從一些已知方法入手，定量地評估企業(yè)在安全方面做的如何。

咨詢師Tom Walsh建議CISO參考美國國家標(biāo)準(zhǔn)技術(shù)學(xué)會（NIST）的“信息技術(shù)系統(tǒng)風(fēng)險管理指南”。Walsh認(rèn)為，它是分析硬件、軟件、網(wǎng)絡(luò)設(shè)備和移動設(shè)備系統(tǒng)特征來確定“風(fēng)險得分”的很好框架。

“一切都是基于風(fēng)險或基于遵從性的。風(fēng)險按可能性和影響來評分。”Walsh說，“這種風(fēng)險分析的目的是讓業(yè)務(wù)經(jīng)理了解情況，把選擇、費(fèi)用和風(fēng)險擺在他們面前，幫助他們作出業(yè)務(wù)決定。”

System Experts公司是一家專業(yè)從事網(wǎng)絡(luò)安全的咨詢機(jī)構(gòu)，公司總裁Jon Gossels也喜歡用標(biāo)準(zhǔn)作為審查的基礎(chǔ)。不過，他偏愛的標(biāo)準(zhǔn)是被采納為國際ISO標(biāo)準(zhǔn)17799的英國標(biāo)準(zhǔn)7799，并將它作為定義企業(yè)安全性的基線。

Gossels說：“這項(xiàng)標(biāo)準(zhǔn)談的更多的是流程而不是控制以及是否有合適的政策。CSO可以把這些拿給管理層說：這是我們?nèi)绾芜M(jìn)行評估的依據(jù)，這是我們需要投資的領(lǐng)域?！?/p>

Gossels指出，通過標(biāo)準(zhǔn)定義企業(yè)安全性的主要優(yōu)勢是因?yàn)樗菄H上普遍承認(rèn)的框架。

ICI的Simmonds表示，BS/ISO標(biāo)準(zhǔn)“有助于推行使你能夠采集信息的良好實(shí)踐?！彼J(rèn)為，NIST標(biāo)準(zhǔn)的缺點(diǎn)是它在美國之外沒有得到承認(rèn)。Simmonds建議，CSO和CISO在找高級管理層索要安全資金時，應(yīng)當(dāng)避免喋喋不休地大談標(biāo)準(zhǔn)，否則，他們將失去興趣。

Continental公司信息安全主管Andre Gold贊同Simmonds的意見，他認(rèn)為試圖與高級管理層討論BS7799/ISO17799或NIST標(biāo)準(zhǔn)可能是費(fèi)力不討好的嘗試。相反，在與高級管理層討論安全技術(shù)時，需要一點(diǎn)巧妙的心理學(xué)。他說：“你交流的東西是安全技術(shù)如何能夠支持業(yè)務(wù)，使業(yè)務(wù)流程變得效率更高或保護(hù)業(yè)務(wù)的安全，而不是交流安全技術(shù)?！?/p>

 “以VPN為例，我描述使用它的結(jié)果。”Gold說，“例如，通過在Internet上使用企業(yè)到企業(yè)的VPN隧道，企業(yè)可以減少電信費(fèi)用，確保所交換數(shù)據(jù)的完整性以及利用已有基礎(chǔ)設(shè)施獲得效率?！?/p>

他提倡利用更易于理解、同時也是構(gòu)成安全部署框架基礎(chǔ)的“參考業(yè)務(wù)構(gòu)件”來表達(dá)安全概念。  (cnw-ccw)