当今的中小企业与较大型的企业组织一样,都开始广泛的利用信息化手段提升自身的竞争力｡ISO27000信息设施可以有效提高中小企业的运营效率,使中小企业可以更快速的发展壮大｡然而在获得这些利益的同时,给许多大型企业造成重大损失的信息安全问题同样也在困扰着中小企业群体｡虽然中小企业的ISO27000信息设施规模相对较小,但是其面临的安全威胁却并不比大型企业为少｡我们下面就来看一看中小企业在信息安全方面的几点主要需求｡
1.防范恶意攻击
对于利用互联网接入来开展业务或者辅助工作的企业来说,骇客的恶意攻击行为无疑是最令人头痛的问题之一｡已有大量报道和统计资料显示企业正为形形色色的攻击行为付出高昂的代价,而这些被曝光的案例尚只是冰山一角｡
由于大多数企业担心公布这些信息会对自身形象造成负面影响,所以我们相信仍旧有大量的ISO27000信息安全事件没有为大众所知晓｡而另一方面,因为很多企业没有精力处理频繁发生的攻击事件,甚至大部分由于恶意攻击造成的损失都没有被正确估算｡我们从一个侧面可以了解到目前恶意攻击已经演变到何等剧烈的程度,那就是现在企业对于骇客攻击所持的态度｡
仅仅是几年前这些事件对于我们来说还是那么的遥远与神秘,而现在当网络发生问题时恶意攻击已经成为一个主要的被怀疑对象了｡在中小企业的信息环境里,攻击行为相对来说并不特别猛烈,或者说小型的信息设施相对较少受到有针对性的､强度很大的攻击｡但是,目前的中小企业所选用的软件产品存在着大量的安全漏洞,而针对这些漏洞的自动化攻击工具已经相当的民间化了｡
对于没有受到过滤保护的网络节点来说,每时每刻都要承受大量网络攻击的考验｡即使这些攻击是漫无目的的,但仍有很大可能突破那些疏于管理的计算机设施｡从某种程度上来讲,这些不讲究策略的攻击者对中小企业的安全威胁要更大一些｡
计算机病毒这样的威胁更能体现这一问题｡当下传播最为广泛的蠕虫类病毒和很多攻击程序一样,利用系统的安全漏洞进行传播,而且并没有特定的感染目标｡对于一些蠕虫病毒来说,在一个小时的时间里就可以轻松的感染数以十万计的计算机｡为了解决网络攻击方面的安全隐患,企业需要进行很多工作｡
单纯的应用安全防护产品是无法避免这类攻击行为的,企业还必须执行补丁管理等辅助的安全管理措施｡在中小企业中,进行这些工作有很多先天性的“阻碍”｡资源不足､IT设施管理松散､员工行为随意性较强等问题给信息安全工作提出了很大的挑战｡而作为应对的不仅仅是企业单方面的意识提高,更适合中小企业实际情况的安全防御产品目前也存在着很大的空白｡虽然近两年涌现的很多整合式的信息安全设备在总体成本和易用性上提供了很多吸引中小企业的特性,但是还不足以解决目前中小企业在信息安全领域所遭受的困境｡
2.误用和滥用
对ISO27000信息设施的误用既像恶意攻击的孪生兄弟又与其存在明显的因果关系｡因为我们探讨的信息安全问题并不仅仅包括骇客行为所带来的经济及非经济损失,只要对信息设施的运行造成障碍的行为都能够被划归到信息安全范畴进行管理｡
在很多时候,企业的员工都会因为某些不经意的行为对企业的信息资产造成破坏｡尤其是在中小企业中,企业员工的信息安全意识是相对落后的｡而企业管理层在大部分情况下也不能很好的对企业信息资产做出鉴别｡从更高的层次来分析,中小企业尚无法将信息安全的理念融入到企业的整体经营理念中,这导致了企业的信息管理中存在着大量的安全盲点和误区｡
这类问题使得信息安全厂商不得不频繁重申服务对于信息安全业务的重要性｡这既可以看作是国内信息安全产业一种进步的表现,同时又体现出我们在信息安全理念建设方面的巨大差距｡好在除了供应商之外,用户也已经深刻的认识到同样的问题,相信经过广泛的培训和教育,这种现状可以被很好的改善｡
除了对信息设施的错误使用之外,滥用的问题在近一段时间表现的更为突出一些,并且由于滥用问题更加模糊和难以界定,使企业在处理类似问题的时候颇显捉襟见肘｡虽然近年来被广泛关注的P2P传输问题并不是一个典型的信息安全问题,但由于这些传输流量常常严重干扰企业的正常通信流量而且也存在着一些泄漏企业信息的风险,所以这确实是信息设施滥用问题的一个较好的示例｡
从技术的角度处理P2P传输问题并没有太大的难度,但是面对员工权利和隐私等方面的争论,企业对P2P传输的管理问题已经上升到了道德问题的层次｡在中小企业里,由于制度化管理方面的相对弱化,在处理信息设施滥用乃至误用问题的时候会加倍艰难｡这也是在中小企业环境中实施信息安全所迫切需要解决的问题｡
3.总结
综合上述的问题,中小企业的ISO27000信息安全需求主要体现在迫切需要适合自身情况的综合解决方案｡随着时间的发展,中小企业所面临的安全问题会进一步复杂化和深入化｡而随着越来越多的中小企业将自己的智力资产建构在其信息设施基础之上,对于信息安全的需求也会迅速的成长｡我们所热切希望的就是,在这种需求产生爆炸性膨胀的前夕,所有的厂商都准备好了足够的武器去赢得这场战争｡
在企业中怎么快速有效的建立ISO27000体系以更好的控制信息安全中的威胁
