普華永道和CSO網(wǎng)站聯(lián)合進行了一項全球信息安全情況的調(diào)查(Global State of Information Security Survey)，其結(jié)果顯示目前被檢測出來的網(wǎng)絡(luò)安全漏洞在逐年增長，而且安全漏洞的成本也在增加，但企業(yè)的安全預(yù)算卻并沒有太多增長。

[[121170]]

從我們以往的全球信息安全調(diào)查結(jié)果來看，今年的信息安全形勢并沒有好轉(zhuǎn)，相反今年的信息安全狀況是最糟糕的。

支付卡漏洞問題頻頻出現(xiàn)，并影響到Target和Home Depot等大型公司和上億的普通消費者。而數(shù)據(jù)泄露的問題也并沒有減少，就在近期全國連鎖的三明治店Jimmy John’s發(fā)布消息稱其數(shù)據(jù)遭到泄露。當(dāng)然不僅僅是支付卡受到很大的沖擊，醫(yī)療行業(yè)也出現(xiàn)過嚴(yán)重的數(shù)據(jù)泄露的問題。醫(yī)療服務(wù)提供商Community Health Systems表示，今年夏天該公司就丟失了450萬個病歷。

這一年里，企業(yè)首席安全官和安全團隊都在努力對抗各種各樣的、嚴(yán)重的軟件漏洞。例如日前曝光的Shellshock漏洞就引起了很多企業(yè)的關(guān)注，該漏洞是在廣泛應(yīng)用的GNU項目的Bash shell中發(fā)現(xiàn)的。由于很多應(yīng)用和設(shè)備上都在使用Bash，所以Shellshock漏洞的影響要遠(yuǎn)遠(yuǎn)超過今年早些時候曝光的Heartbleed漏洞，Heartbleed是在客戶和服務(wù)器之間的OpenSSL加密數(shù)據(jù)流量的早期版本中發(fā)現(xiàn)的漏洞，而Community Health Systems的泄露事件則是由Heartbleed漏洞引發(fā)的。

在這個背景下，普華永道和CSO合作進行了2015年暨第十二個年度全球信息安全情況調(diào)查，調(diào)查的結(jié)果有些是必然發(fā)生的，而有些卻出乎了人們的意料。如果說這些攻擊和致命的漏洞還有好的一面的話，那就是大型企業(yè)的高層管理人員可能因此會對企業(yè)的網(wǎng)絡(luò)安全更加重視，并增加對企業(yè)IT安全的投入，這一點是毫無疑問的。然而出人意料的是，企業(yè)IT安全支出卻在以4%的概率逐年遞減。

在今年的調(diào)查中，受訪者表示他們檢測到的安全漏洞比去年的更多。參與此次調(diào)查的9700多位安全、IT和業(yè)務(wù)主管發(fā)布報告指出，他們檢測到的安全事件的數(shù)量在今年已經(jīng)上升到4280萬次，增長率為48%。據(jù)報告作者指出，過去六年里檢測到的安全事件的年復(fù)合增長率為66%。

此外，由于安全漏洞的問題頻發(fā)，導(dǎo)致企業(yè)的經(jīng)濟損失也在不斷上漲。有意思的是，據(jù)相關(guān)報告顯示，小企業(yè)安全漏洞的成本卻在下降，比例為37%;中型企業(yè)的安全漏洞成本呈小幅增長，比例為25%，而大型企業(yè)的安全漏洞成本增長最高，比例為53%。IT安全市場研究公司Securosis 的分析師Mike Rothman表示：“大型企業(yè)之所以在數(shù)據(jù)泄露中遭受的損失最多，是因為大企業(yè)中可能會有更多的數(shù)據(jù)記錄，而監(jiān)管這些數(shù)據(jù)記錄的成本也會更高。”#p#

利用數(shù)據(jù)分析檢測漏洞

雖然企業(yè)中一般的安全預(yù)算會有所下降，但是企業(yè)對安全分析投入的成本卻在上漲。約有40%的受訪者表示，他們會利用大數(shù)據(jù)[注]分析作為其安全管理的一部分。而有55%的受訪者表示，利用安全數(shù)據(jù)分析可以幫助他們檢測到更多的安全漏洞。

行業(yè)分析對于企業(yè)來說利益有多大還尚不得而知，但是451研究公司(451 Group)安全分析師Javvad Malik并不認(rèn)為多數(shù)企業(yè)的努力會有相應(yīng)的收獲。他說：“數(shù)據(jù)分析在大多數(shù)企業(yè)中才剛剛起步，安全信息和事件管理人員每天都能收到成千上萬條預(yù)警，而企業(yè)要重視這些預(yù)警。這正好是大數(shù)據(jù)平臺發(fā)揮作用的地方，但是現(xiàn)在大多數(shù)的企業(yè)安全官卻并不懂得如何利用大數(shù)據(jù)平臺(+微信關(guān)注網(wǎng)絡(luò)世界)，有時候他們還需要去供應(yīng)商那里詢問如何利用數(shù)據(jù)分析的工具來幫助他們解決問題。”

Rothman表示：“當(dāng)人們使用大數(shù)據(jù)安全分析時，就意味著他們需要從傳統(tǒng)的日志管理和查詢著手再到Hadoop，然后是云服務(wù)。很多企業(yè)都在研究如何通過這些方式來提高他們安全分析的效率，但是又有多少企業(yè)會從企業(yè)的運營角度來著手呢?這樣的企業(yè)其實并不多。而又有多少企業(yè)能夠及時發(fā)現(xiàn)他們并不知道的安全事件呢?我想這樣的企業(yè)更少。”

如果安全分析專家的方法正確的話，那么企業(yè)的安全分析將有望成功，并會給企業(yè)帶來更多的好處，但是企業(yè)不可能在短期內(nèi)看到收益，因為這將需要一個長期的過程。事實上，今年隨著安全漏洞和威脅不斷增長，以及很多著名的、影響很大的泄露事件的發(fā)生，企業(yè)都希望投入更多的安全成本以確保企業(yè)的數(shù)據(jù)安全。普華永道的調(diào)查發(fā)現(xiàn)，小企業(yè)將其安全成本投資降低了20%，而大、中型企業(yè)則稍稍提升了他們的安全成本投入，比例為5%。

這主要是因為隨著企業(yè)開始啟動云計算[注]計劃，信息安全預(yù)算開始融合了到企業(yè)的運營預(yù)算中。愛爾蘭BH咨詢公司Dublin的首席執(zhí)行官Brian Honan說：“企業(yè)的應(yīng)用和項目中都廣泛部署了云計算，這也是其中一個首要原因。這促使了許多大型IT項目并不僅僅歸屬于IT預(yù)算，同時還被歸屬到了業(yè)務(wù)預(yù)算中。隨著全球經(jīng)濟的復(fù)蘇，企業(yè)將在IT上投入更多成本，我們也將看到企業(yè)在安全上的投入將比往年更高。”

相關(guān)的數(shù)據(jù)也支持了Honan的這一觀點。從調(diào)查的數(shù)據(jù)顯示來看，去年企業(yè)IT投入資本上升了40%，而信息安全的投入則上升了51%。然而，曝光的數(shù)據(jù)泄露等安全事件，以及因安全事件引起的經(jīng)濟損失并沒有下降，反而呈上升趨勢。但是，我們?nèi)匀黄诖髂甑那闆r會有所不同。(王旋編譯)