我們已經對大量知名企業的數據泄漏事件見怪不怪，但在2011年泛濫的數據泄漏事件出現時，這些知名公司在保護他們寶貴的數字資產時所表現出來的無能為力，讓我感到震驚。

請原諒我有些夸張的說法，但由于種種原因，這些最近發生的事件重新定義了企業在信息安全方面的失策。讓我們簡要回顧一下最令人震驚的事件：

RSA SecurID解決方案最早是從魚叉式網絡釣魚（spear phishing）攻擊開始被突破的：至少有一個EMC公司安全部門的員工成為針對性電子郵件攻擊的犧牲品;數字犯罪分子們通過結合社會工程和惡意附件，暴露了RSA公司高利潤的SecurID認證產品的詳細信息。但值得稱道的是，作為信息安全最突出的品牌之一，RSA的技術可以快速有效地檢測和阻止攻擊，比如很可能做到有效地控制已在其他地方造成破壞的攻擊行為。

自動安全事故：流行的博客平臺WordPress背后的公司遭受到一起被其稱為“底層突破” 的攻擊。牽連到幾個服務器，并導致了敏感信息和自定義源代碼的失竊。

索尼披露了PlayStation平臺上的網絡黑客事件：在這一可能是迄今為止最大的數據泄露事件中，攻擊者強行繞過了索尼自稱為“非常復雜的安全系統”，竊取了超過7500萬會員的個人數據，這一規模相當于美國人口的四分之一。甚至客戶加密信用卡數據也可能已經被竊取。

以上列出來的還不包括McAfee公司和Barracuda網絡公司所遭受到的重大網絡攻擊，以及HBGary Federal公司的嚴重安全問題，如果信息安全領域設置了達爾文獎，那么HBGary Federal肯定是今年的得主（不然只有空缺了）。

最近所有的數據破壞或損失，是由不同的過程和技術上的安全控制缺口引起的，但它們都反映出企業根本無力保護自己最重要的東西：知識產權和客戶數據。...

很難確切地知道這些公司花了多大的功夫來防止此類事件，但行業觀察者應該從這些案例中學到了寶貴經驗，即試圖阻止信息泄露的“普通方式”沒什么效果。RSA公司比大多數的公司都懂安全問題，并將所有的信譽都建立在其自身的安全上，但是如果連RSA這樣的公司都有百密一疏的情況，在阻止攻擊者竊取其最重要的知識財產上受挫，那么可以預計其他的普通公司也不會做得更好。

我認為有兩個關鍵的經驗教訓：企業必須在攻擊到來前就主動去發現自身（所有類型的）安全弱點；即使那樣做了，企業仍然必須做好失敗的準備，并制定相關的反應機制。

在最近出版的信息安全雜志Essential Guide的威脅管理部分中，Mandiant公司的首席戰略官Richard Bejtlich寫道：“為了更好地防范有針對性的攻擊，必須進行反威脅行動（counter-threat operations ，CTOps）。換句話說，防御者必須積極尋找入侵者”。

Bejtlich提供了證實反威脅行動方法的最佳方式，并組建一個團隊來做這項工作，但是根本的辦法應該是不間斷的去尋找創新的解決方法。這不僅要識別威脅和弱點，同時也需要用可靠的技術和可重復的流程來解決問題。如果你只是口頭上說說，相當于變相鼓勵了攻擊者，所以不想失敗的話，公司只有跟上形勢，并且必須不斷的創新。

這就是說，同確保數據保護成功一樣重要的是，失敗是不可避免的，泄露必然會發生。本周，總部位于圣路易斯的基礎設施和主機提供公司Savvis Inc.的安全咨詢業務主管Lenny Zeltser告訴我，各公司應安排一次泄露演習，以便在真實的泄露事件發生之前，了解減輕損害所必須實施的關鍵步驟。

Zeltser說：“當你所在的公司擁有很多員工時，他們都有可能受到社會工程學的攻擊，攻擊面是如此之大，即使你在建立技術和流程來抵抗攻擊方面做了很多，還是防不勝防。你應該按照你對安全的假設來制定反應策略。”

在這一年中，當移動設備數量以空前的速度增加，IPv4地址即將快速的消耗殆盡，所有的安全專家都應重點關注這些問題上，但不幸的是，頻頻爆出知名公司數據泄露事件。雖然這種情況我們已經見過很多次，但我們希望企業能夠明白，是時候采取新的方法來保護數據了。因為企業沒什么可失去的，除了他們最重要的數據。