[[171783]]

盡管對于系統及數據的保護工作已經相當重視，但大多數企業仍然未能順利執行經常性安全測試。根據最近進行的一輪相關調查，雖然95%的受訪者曾經遭遇到已被明確報道的十余種常見安全漏洞之一，但仍有五分之一的企業承認其從未進行過任何安全測試工作。

本次發現結果是基于Osterman Research公司對126名安全專家進行的調查，且各位受訪者皆了解或者負責企業之內的安全測試工作。

關鍵性發現

大多數企業對待安全測試的態度并不積極– 只有不到四分之一企業認為自身在安全測試方面“非常積極”，不過有一半受訪者認為其所在企業“較為積極”。然而，近三分之一企業認為其在安全測試工作上“較為”甚至“非常”不積極，或者干脆表示“并不存在”安全測試流程。

多數企業并未執行安全測試– 五分之一企業在過去六個月中從未執行過安全測試。而在曾在過去半年內執行過安全測試的企業中，有66%以每月或者更低頻率執行此類工作，而大多數并沒有穩 定的安全測試執行周期。大部分企業會結合內部資源與第三方測試服務共同完成安全測試，不過仍有五分之二企業僅依靠內部資源進行安全測試管理。

大多數企業發現安全測試是一項極具價值的最佳實踐– 盡管多數企業并未執行安全測試，但有三分之二廠商認為安全測試是一項極具價值的最佳實踐。

安全測試與審查頻度過低，某些企業甚至從未進行過安全測試– 安全測試與測試審查工作頻度過低：只有5%的企業會每天執行安全測試審查以評估安全漏洞，另有24%以每周或者每周多次方式執行此類工作。與此同 時，25%的受訪企業每季度或者每年執行此類工作，而有20%企業僅在必要時執行測試審查，這意味著其余時間內其只能依靠猜測來了解自身系統的安全狀況。

安全技能短缺與多種測試挑戰– 在本次調查中，最為常見的安全測試挑戰包括人手不足、無暇執行安全測試以及缺乏相關技能以支持定期測試。

超過半數企業正逐步引入第三方協助其進行安全測試– 為了解決上述問題，相當一部分受訪企業開始從第三方獲取幫助，例如托管安全服務供應商，旨在由其負責執行安全測試。五分之三的受訪企業已經開始與第三方達 到安全測試合作，而另外21%企業則計劃在明年之內完成這項工作。只有9%的企業從未計劃利用第三方提供的安全測試服務。

沒人能夠完全不受網絡攻擊的影響– 95%的調查受訪者報告稱，其曾經遭遇過調查中所列出的十余種常見安全問題當中的一種。

“以影子IT、移動以及物聯網為代表的新興趨勢意味著定期安全測試正呈現出史無前例的重要意義，”Trustwave公司SpiderLabs主任 Kevin Overcash指出。“其中包括自動化安全掃描，旨在幫助企業發現潛在安全漏洞以及薄弱配置環節; 外加深度滲透測試，旨在站在與犯罪分子相同的立場尋求漏洞利用可能性。”

“這份報告應該向企業及政府機構敲響了一記警鐘，提醒其應當盡快利 用新的安全漏洞測試策略以實現更理想的數據庫、網絡與應用強化效果，從而對抗各類數據竊取與泄露行為，”Osterman Research公司的Michael Osterman解釋稱。“企業需要著眼于更為綜合的安全測試機制并更為頻繁地加以執行。越來越多的企業亦開始向這一領域的托管安全服務供應商尋求幫助。”