企業(yè)安全并不是一個(gè)新的領(lǐng)域，有太多的因素需要關(guān)心：沖突的主動(dòng)權(quán)、商業(yè)環(huán)境因素、信息敏感性、互聯(lián)網(wǎng)的失控、犯罪的猖獗、以及高層的連接和漏洞。在限制危險(xiǎn)和影響生產(chǎn)之間需要做出一個(gè)折衷：100%的安全意味著0%的生產(chǎn)力，而0%的安全性卻并不等于100%的生產(chǎn)力。另一方面，企業(yè)必須決定在沒(méi)有計(jì)算機(jī)或者網(wǎng)絡(luò)的情況下可以運(yùn)作多久，以及對(duì)數(shù)據(jù)的可用性及準(zhǔn)確性的依賴程度如何。絕對(duì)安全不僅難以做到，而且也并不受歡迎，所以正確的安全控制就是設(shè)法降低風(fēng)險(xiǎn)到可接受的程度。 

系統(tǒng)滲透威脅

有很多因素可能危及到系統(tǒng)的安全，中國(guó)有句諺語(yǔ)：“說(shuō)者無(wú)心，聽(tīng)者有意”，你永遠(yuǎn)不知道誰(shuí)在留意你說(shuō)話的內(nèi)容，我們中的絕大多數(shù)人在工作中會(huì)和其他專業(yè)人員發(fā)生聯(lián)系，無(wú)論是在行業(yè)聚集地，或在許多其他集會(huì)地點(diǎn)。意外泄漏某些可被利用的重要信息簡(jiǎn)直太容易了，這雖然不道德，甚至是不合法，卻能夠以傷害某集團(tuán)的利益為代價(jià)，使另一個(gè)集團(tuán)獲益。

獲取粗心丟棄的口令以及其他未刪除的人員識(shí)別信息，已經(jīng)成為潛伏者收集這種資料的首選方法。缺乏保護(hù)或保護(hù)不充分的系統(tǒng)（單一的安全措施、容易破譯的口令、未經(jīng)加密的數(shù)據(jù)等等）意味著會(huì)產(chǎn)生一系列的問(wèn)題，從低質(zhì)量的數(shù)據(jù)到未經(jīng)許可的滲透。

如果防火墻或病毒過(guò)濾器缺乏維護(hù)，將導(dǎo)致網(wǎng)絡(luò)很容易被突破。安全預(yù)算必須預(yù)備足夠的資金；將保密措施的資金視為可有可無(wú)或者任意挪用，將置整個(gè)企業(yè)于風(fēng)險(xiǎn)之中。擔(dān)負(fù)起我們的行動(dòng)職責(zé)，加上一個(gè)穩(wěn)固廣泛的安全策略，是阻止網(wǎng)絡(luò)突破發(fā)生的最佳保護(hù)。

互聯(lián)網(wǎng)安全現(xiàn)實(shí)

互聯(lián)網(wǎng)在設(shè)計(jì)之初用于軍事，所以內(nèi)置的信息保護(hù)功能非常稀少。網(wǎng)站管理員們可以看到經(jīng)過(guò)的數(shù)據(jù)包，但由于沒(méi)有進(jìn)行足夠的加密，這些數(shù)據(jù)很容易被竊密，外部的入侵者可以訪問(wèn)企業(yè)的網(wǎng)絡(luò)和計(jì)算機(jī)。外部信息的源地址一般無(wú)法找到，而信息的發(fā)送者也不知道除了接收者之外，是否還有其他人閱讀了信息。

黑客組織日益增加，通過(guò)彼此間的協(xié)調(diào)合作，突破網(wǎng)絡(luò)防線變得更加容易。互聯(lián)網(wǎng)本身是一個(gè)開(kāi)放和無(wú)控制的網(wǎng)絡(luò)，它不會(huì)改變自己以適應(yīng)企業(yè)的需要，而且互聯(lián)網(wǎng)上絕大多數(shù)的安全問(wèn)題其實(shí)并不是互聯(lián)網(wǎng)自身的問(wèn)題。企業(yè)必須假設(shè)所處的環(huán)境是潛在有害的，并通過(guò)各種手段以保護(hù)自身安全，如對(duì)敏感信息進(jìn)行完全的消息加密，使用數(shù)字簽名進(jìn)行文檔鑒別，高質(zhì)量的維護(hù)防火墻和其他過(guò)濾器，員工通訊和警告程序，以及對(duì)流入數(shù)據(jù)進(jìn)行適度而不過(guò)度的控制等等。

硬件設(shè)備的便攜性

經(jīng)常出差的員工需要攜帶筆記本電腦在外辦公，并要求能夠隨時(shí)隨地的通過(guò)Internet接入公司的網(wǎng)絡(luò)，從而提出了一系列的安全挑戰(zhàn)，筆記本電腦需要使用2種以上的安全控制手段以實(shí)現(xiàn)綜合加密，比如本地用戶名和口令，指紋裝置等，同時(shí)企業(yè)需要部署和強(qiáng)制執(zhí)行嚴(yán)格的移動(dòng)辦公技術(shù)策略。

新通訊方式的快速擴(kuò)散

公司是否提供類似BlackBerrys或Treos這樣的PDA，并提供網(wǎng)絡(luò)連接？這些設(shè)備是否進(jìn)行了安全保護(hù)？許多公司對(duì)這些設(shè)備所能夠帶來(lái)的巨大安全威脅并不十分了解，它們能夠利用Outlook或Notes上通過(guò)無(wú)線連接自動(dòng)同步Email、日歷以及聯(lián)系人列表，這樣一臺(tái)無(wú)口令保護(hù)的設(shè)備一旦丟失將被用于收集進(jìn)入系統(tǒng)的授權(quán)信息。

公司應(yīng)該要求所有移動(dòng)設(shè)備必須使用本地口令，并遵從那些一直被用于網(wǎng)絡(luò)上的相關(guān)口令規(guī)則，比如口令格式和更改口令的頻率等。同時(shí)，要求他們遵循這樣的策略：一旦丟失設(shè)備必須立即報(bào)告，以便及時(shí)清除所有本地?cái)?shù)據(jù)，并將該設(shè)備標(biāo)記為禁用狀態(tài)。

軟件的復(fù)雜性

對(duì)于已經(jīng)擁有網(wǎng)絡(luò)存取通用權(quán)限的用戶，并不意味著他可以獲得特定網(wǎng)絡(luò)功能部件的權(quán)限，哪怕僅僅是一個(gè)簡(jiǎn)單的集成環(huán)境，比如ERP。研究表明，職員們認(rèn)為太多的不同口令是離開(kāi)一個(gè)公司的有效理由；某些大公司居然要求用戶記住超過(guò)15個(gè)的用戶名和口令組合。單一登錄技術(shù)已經(jīng)保證了根據(jù)不同權(quán)限保護(hù)系統(tǒng)相應(yīng)部件的能力，所以沒(méi)有理由再因?yàn)榘踩沟脝T工疲于記住繁多的密碼。

互聯(lián)程度

企業(yè)應(yīng)重新認(rèn)識(shí)公眾存取互聯(lián)網(wǎng)的現(xiàn)實(shí)情況，供應(yīng)鏈連接著原材料提供商、制造者、封裝者以及零售商，一個(gè)鏈條的堅(jiān)固性取決于最弱的一環(huán)。即使整個(gè)供應(yīng)鏈中的單個(gè)組織已經(jīng)實(shí)施了正確的安全防護(hù)措施，合作伙伴的一次過(guò)失足以導(dǎo)致整個(gè)鏈條運(yùn)作的失敗。

設(shè)想一下，一個(gè)備件供應(yīng)商的網(wǎng)絡(luò)被滲透或者被暴露了，將導(dǎo)致所有的后續(xù)部件進(jìn)程受到消極的影響，企業(yè)需要實(shí)施一個(gè)綜合風(fēng)險(xiǎn)評(píng)估，并要求他們的合作伙伴或供應(yīng)商實(shí)施相應(yīng)的安全控制，并圍繞著可能失去通向重要合伙人入口的可能性，制定相應(yīng)意外情況的處理辦法。

介質(zhì)密度及可訪問(wèn)性

對(duì)于維護(hù)我們有權(quán)存取的共同數(shù)據(jù)的完整性和安全性，人人有責(zé)，新型高密度介質(zhì)的出現(xiàn)讓認(rèn)真地堅(jiān)守這個(gè)職責(zé)變得更加必要。CD、DVD、閃存，以及其他密集便攜介質(zhì)有能力將海量數(shù)據(jù)存儲(chǔ)到一個(gè)便攜設(shè)備中，并時(shí)常被轉(zhuǎn)移走。IT安全策略應(yīng)當(dāng)要求任何通過(guò)USB接口移動(dòng)的數(shù)據(jù)或使用其他方式來(lái)建立的介質(zhì)都必須在一個(gè)加密基礎(chǔ)上進(jìn)行。這些介質(zhì)類型絕不可以被用于任何數(shù)據(jù)的單獨(dú)拷貝，特別是重要任務(wù)或企業(yè)機(jī)密，并限制它們用于臨時(shí)性的數(shù)據(jù)傳輸。

集中

單一節(jié)點(diǎn)的故障可能是安全的噩夢(mèng)，正如保護(hù)企業(yè)網(wǎng)絡(luò)、系統(tǒng)以及數(shù)據(jù)安全的重要性一樣，當(dāng)這些資產(chǎn)集中放置時(shí)，安全就顯得特別重要。較小公司的有限技術(shù)資源往往特別脆弱，因?yàn)樗鼈円话愣际且粋€(gè)局域網(wǎng)房間或是一疊服務(wù)器，這就是整個(gè)企業(yè)的全部網(wǎng)絡(luò)。

未經(jīng)授權(quán)的訪問(wèn)、電力故障、通訊問(wèn)題、協(xié)議不兼容、以及不可靠的系統(tǒng)體系都可能導(dǎo)致災(zāi)難性的結(jié)果。無(wú)論是基于有限的資金要求或是基于正確的設(shè)計(jì)考慮，將貴重的技術(shù)器材集中起來(lái)，就必須對(duì)特殊安全的要求特別留意，以確保設(shè)備的連續(xù)運(yùn)轉(zhuǎn)。

分散

單個(gè)系統(tǒng)或者數(shù)據(jù)庫(kù)的多個(gè)拷貝必須得到同等的安全保護(hù)，一個(gè)暴露的拷貝會(huì)導(dǎo)致整體都受到懷疑。在跨國(guó)公司中更難處理的情況之一是在不同的國(guó)家，其網(wǎng)絡(luò)連接可能是不健康、不堅(jiān)固、或是不可靠的。在這種情況下，最好的解決方法是安裝一臺(tái)分發(fā)DNS服務(wù)器，以便進(jìn)行和主企業(yè)網(wǎng)絡(luò)的脫機(jī)同步，從而為當(dāng)?shù)卦O(shè)備提供雖非實(shí)時(shí)，卻滯后不超過(guò)1天半的必要數(shù)據(jù)全面拷貝。由于整個(gè)過(guò)程涉及高度敏感或機(jī)密的信息存取，策略和手續(xù)必須執(zhí)行以確保各地的設(shè)備執(zhí)行和主企業(yè)網(wǎng)絡(luò)同樣的安全水準(zhǔn)，以避免滲透和失密的風(fēng)險(xiǎn)。

跳槽

員工跳槽將帶來(lái)明顯困難的安全挑戰(zhàn)。在20年前，你只要簡(jiǎn)單地更換一遍鑰匙就完事大吉了，但現(xiàn)在事情就沒(méi)有那么簡(jiǎn)單了。任何職員的單獨(dú)訪問(wèn)必須被跟蹤，以便在該職員離開(kāi)后，可以立刻關(guān)閉全部訪問(wèn)。在某些情況下，當(dāng)一個(gè)具有深層訪問(wèn)權(quán)限的關(guān)鍵人物離開(kāi)后，其它所有人的安全系統(tǒng)都必須進(jìn)行更改。