2019年06月14日
很多安全性的任務(wù)在滿足監(jiān)管要求和降低風(fēng)險方面并不一致。而一些專注于合規(guī)性的方法可能會破壞安全性。
從事IT安全業(yè)務(wù)的大多數(shù)人都知道合規(guī)性與安全性并不一樣。合規(guī)性是一種審計、文書工作、核對清單的心態(tài)和措施，而安全性是一種戰(zhàn)術(shù)性的、真實的網(wǎng)絡(luò)安全、降低風(fēng)險的心態(tài)和措施。合規(guī)性主要確定是否及時應(yīng)用關(guān)鍵補(bǔ)丁管理程序，而安全性主要確定應(yīng)用哪些補(bǔ)丁以及何時應(yīng)用這些關(guān)鍵補(bǔ)丁，然后驗證這些補(bǔ)丁是否已經(jīng)應(yīng)用。合規(guī)性可以幫助企業(yè)通過安全審核。安全性實際上可以為企業(yè)業(yè)務(wù)提供保護(hù)。
合規(guī)性與安全性的目標(biāo)應(yīng)該是一樣的：降低網(wǎng)絡(luò)安全風(fēng)險。但是，合規(guī)性是如此的糟糕，以至于人們不確定它對降低實際風(fēng)險有多大作用。以下是五個原因：
1. 合規(guī)性是二元性的
安全風(fēng)險不是二元的，但合規(guī)性的問題和答案是二元性的，也就是“是或否”。企業(yè)是這樣做的嗎?例如，大多數(shù)合規(guī)性的法規(guī)要求用戶設(shè)置8個字符或更長的復(fù)雜密碼。盡管20個字符的非復(fù)雜密碼難以破解且更易于使用，但大多數(shù)組織中都無法使用。
另一個例子是，大多數(shù)法規(guī)要求實施在密碼輸入錯誤一定次數(shù)后鎖定用戶賬戶的策略。如果密碼足夠長，那么不需要采用賬戶鎖定策略，而且也會降低風(fēng)險。
增加默認(rèn)密碼的強(qiáng)度不會使用戶無法啟用賬戶鎖定。在某些情況下，賬戶鎖定策略會增加拒絕服務(wù)事件的風(fēng)險。猜測密碼的蠕蟲病毒通常會嘗試采用100個隨機(jī)密碼，這將鎖定其目標(biāo)客戶?；蛘吆诳蜁平庖粋€在線門戶網(wǎng)站的密碼，并再次鎖定網(wǎng)站中的用戶。
2. 合規(guī)性無關(guān)緊要
社交工程和網(wǎng)絡(luò)釣魚行為占到所有惡意攻擊行為的70%到90%，但在監(jiān)管指南中，用戶很難找到關(guān)于安全意識培訓(xùn)或社會工程的內(nèi)容。沒有打好補(bǔ)丁是第二個主要問題，導(dǎo)致20%到40%用戶受到威脅。加密可以阻止一些攻擊，但它通常需要一些建議。
還有一些用戶認(rèn)為加密是其擔(dān)憂的最大問題。法規(guī)并不是風(fēng)險的衡量標(biāo)準(zhǔn)，但如果用戶必須遵守大量對降低風(fēng)險作用效果很小的事項，而不是產(chǎn)生最大影響的事項，那么這將面臨一個不平衡的問題。
3. 法規(guī)變化緩慢
當(dāng)出臺新的安全建議時，很多規(guī)章制度都很難改變。在合規(guī)性文檔中，用戶會發(fā)現(xiàn)很多會提到防火墻、隔離區(qū)和軟盤。關(guān)于如何更好地保護(hù)云平臺交互、多因素認(rèn)證、勒索軟件、量子計算、密碼重用、第三方供應(yīng)商風(fēng)險、國家級攻擊，以及供應(yīng)鏈管理，用戶需要很多安全信息。世界在不斷變化。IT安全在不斷變化，但對于法規(guī)而言并非如此。
4. 合規(guī)性總會獲勝
問題是，當(dāng)安全性和合規(guī)性發(fā)生沖突時，合規(guī)性總會獲勝。企業(yè)首席執(zhí)行官和企業(yè)主負(fù)責(zé)確保組織滿足所有合規(guī)性目標(biāo)。他們不想聽到為什么必須提交審核例外的解釋，因為其密碼比合規(guī)性指南所要求的更強(qiáng)大、更好，因為這樣做可能不符合大多數(shù)現(xiàn)行的合規(guī)性法規(guī)。很多企業(yè)正在努力確保合規(guī)性，并獲得真正的安全性。
5. 騙局和謊言
很多人都知道合規(guī)性是一種騙局。例如，很多法規(guī)都要求用戶備份關(guān)鍵系統(tǒng)，并定期對其進(jìn)行測試。而在合規(guī)性審計中，被審計的企業(yè)都表示已經(jīng)進(jìn)行測試。事實是，幾乎沒有幾家企業(yè)這樣做，而遭遇勒索軟件攻擊之后，這種騙局才會揭穿。
大多數(shù)企業(yè)都會備份大多數(shù)關(guān)鍵系統(tǒng)，但幾乎很少有企業(yè)會測試是否從這些備份中成功恢復(fù)。誰會有這個時間?企業(yè)員工如何才能真正做到這一點?管理層并沒有為IT提供資源。他們不會關(guān)注這個問題，直到出現(xiàn)問題時為時已晚。此外，安全專家指出，99%的IT團(tuán)隊從未測試過備份系統(tǒng)，定期測試控件也是如此。幾乎每家企業(yè)都聲稱已經(jīng)這樣做，但其實很少有哪家公司這樣做。
例如，每條規(guī)定都應(yīng)該及時更新所有關(guān)鍵補(bǔ)丁。但專家表示，很少有公司能夠完全更新補(bǔ)丁。很多企業(yè)認(rèn)為他們已完全更新了補(bǔ)丁，但真正含義是修補(bǔ)了所有的Microsoft補(bǔ)丁，其實即使更新了操作系統(tǒng)的所有補(bǔ)丁，服務(wù)器管理軟件也已過時。一些視頻編碼器已過期，安裝的一些服務(wù)器管理工具也已過時。這意味著它們可能包含通過遠(yuǎn)程接管服務(wù)器的漏洞。
很多企業(yè)告訴安全審計人員，更新了99%的補(bǔ)丁，甚至可以展示報告來證明這一點。但他們不了解的是，還沒有更新的1%補(bǔ)丁最有可能被惡意攻擊者利用。而安全專家指出，在其審查過的數(shù)百家公司和數(shù)千臺計算機(jī)中，沒有一臺完全打好補(bǔ)丁。然而，幾乎每個人都說這是按照合規(guī)性報告來完成的。
此外，還有另一個常見的合規(guī)性謊言。每項規(guī)定必須定期審查所有日志。有些IT團(tuán)隊甚至不了解他們所有的日志在哪里，更不用說定期查看。一臺計算機(jī)通常有幾十個日志，其中大多數(shù)包含與安全性或應(yīng)用程序相關(guān)的信息。但大多數(shù)計算機(jī)的日志都沒有被發(fā)現(xiàn)或查看。
很少有人定期檢查任何日志，也很少有人每天瀏覽防火墻日志。因為很少人有時間這樣做。所以，大多數(shù)人說他們每天定期檢查日志的真正含義是，他們在一些計算機(jī)上收集一些日志，讓一些自治系統(tǒng)來檢查日志文件，查找預(yù)先定義的關(guān)鍵事件，并等待它們生成需要注意的警報。同樣，這只是一些設(shè)備的日志。因此，定期查看所有日志文件的想法都是徒勞的。
安全專家表示，在其開展的每次合規(guī)性審計中，被審計的團(tuán)隊都知道網(wǎng)絡(luò)充滿了許多安全漏洞，但卻認(rèn)為其網(wǎng)絡(luò)環(huán)境就像一副紙牌，如果審核員(或攻擊者)可能正好抽中了那一張牌，導(dǎo)致出現(xiàn)漏洞。而被審計的企業(yè)試圖讓審計員繞過上述漏洞，他們甚至祈禱在審計員發(fā)現(xiàn)問題之前完成審計。
審計員知道這種情況正在發(fā)生。他們只是在努力完成自己的工作而不是讓客戶討厭他們。他們認(rèn)為已經(jīng)獲得了一些勝利，并且如果他們找出一些漏洞并寫進(jìn)報告，就會獲得報酬。但他們?nèi)绻也坏揭恍┞┒吹脑?，可能有人會覺得沒有必要花費(fèi)審計資金。但總的來說，這種審計可能是一個騙局。
說明合規(guī)性會損害安全性，還有更多的原因。例如很多企業(yè)都在努力協(xié)調(diào)滿足多個合規(guī)性要求，但每個要求都略有不同?；蛘咭恍┲笇?dǎo)方針過于詳細(xì)，而其他的則幾乎沒有任何細(xì)節(jié)。合規(guī)性最大的問題是，它跟蹤的網(wǎng)絡(luò)安全風(fēng)險還不夠接近潛在風(fēng)險。遺憾的是，并沒有哪個企業(yè)因為實現(xiàn)真正的安全性而得到更多的贊揚(yáng)。當(dāng)合規(guī)性和安全性發(fā)生沖突時，如果安全性總是獲勝的話，那么這種情況將會更好。
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運(yùn)維平臺建設(shè)、動漫設(shè)計、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務(wù)商。