在今天，IT已成為企業(yè)業(yè)務發(fā)展和管理不可或缺的組成部分，其作用和影響力已從單一的業(yè)務部門擴散到企業(yè)與組織的每一個領域。在IT系統(tǒng)給企業(yè)帶來活力、利潤和競爭力的同時，也給企業(yè)增加了因此而帶來的風險——日益依賴IT系統(tǒng)的企業(yè)面臨著因IT系統(tǒng)故障導致的業(yè)務災難。不難看出，如何最大限度地降低IT對業(yè)務的負面影響，IT系統(tǒng)如何充分為企業(yè)戰(zhàn)略目標服務，如何獲得IT價值最大化，這便是每個企業(yè)都必須要真接面對的信息安全與IT治理的問題。
一問理念：如何理解信息安全架構與IT治理的關系？
2007年在上海舉辦的“IT治理與安全大會”上，微軟公司大中華區(qū)信息安全總監(jiān)何迪生先生表示，假如把信息安全治理比作指引組織進行安全項目的路標，那么安全架構和設計便是組織通往信息安全這個目標所用的交通工具的基本結構。它包括用于設計、實施、監(jiān)控和保護操作系統(tǒng)、設備、網絡、應用以及用以實施各種級別保密性、完整性和可用性控制的概念、原則、結構和標準。
事實上，建立完善的信息安全架構對于整個IT治理來說至關重要。沒有了信息安全架構，IT治理根本無從談起。
據Hillstone安全專家介紹，IT治理需要遵從特定的原則，并在企業(yè)統(tǒng)一、完善及健全的安全架構中去實現(xiàn)，這是一個系統(tǒng)工程，需要從信息安全本身直至企業(yè)內部的每個員工共同來實現(xiàn)。每個期望通過信息化來達到快速發(fā)展的企業(yè)都需要將應用安全架構以及IT治理作為工作重心之一。
任何事物都有它的兩面性。正確、恰當?shù)厥褂肐T系統(tǒng)能為企業(yè)帶來飛速的發(fā)展，但由于系統(tǒng)缺陷、人為誤操作、系統(tǒng)攻擊等不可預料的各種風險也同樣使得企業(yè)面臨著巨大的災難。因此，企業(yè)用戶更應該建立統(tǒng)一、完善、健全的信息安全架構來規(guī)范IT系統(tǒng)行為，通過建立冗余機制、災備機制、詳盡的策略遵從機制等各種風險控制機制來降低整個企業(yè)的IT系統(tǒng)風險。
事實上，IT系統(tǒng)誕生之初就決定了它不可能“堅如磐石”，系統(tǒng)問題在所難免，但“因噎廢食”的做法和思路絕不可取，用戶需要的是在問題出現(xiàn)的時候能夠迅速獲得有效的解決辦法來避免中斷造成的影響。
此前深信服的安全產品經理鄔迪舉例說，早在2005年，國務院信息化辦公室攜手電子政務、銀行、電力、鐵路、民航、證券、保險、海關、稅務等行業(yè)，聯(lián)合起草的《重要信息系統(tǒng)災難恢復指南》就正式出臺了，災備的作法將是解決IT系統(tǒng)故障的一方良藥，但很可惜因國內廣域網的緩慢傳輸速度，災備至今還未得到普遍推廣和應用，如何大幅提升廣域網的傳輸速度將是這方良藥能否發(fā)揮作用的前提。
另外，數(shù)據傳輸?shù)陌踩砸彩潜仨毧紤]的問題。員工利用企業(yè)網絡訪問一些不良網站，同時一些員工在上班時間在論壇博客上發(fā)表一些不負責任的言論……這些行為無疑給企業(yè)帶來一系列的法律風險和商業(yè)災難。
其實解決此類問題非常簡單，只需在企業(yè)網絡部署一臺專用的內容管理設備就可以了。此類設備通過強大的數(shù)據中心，很方便地控制審計企業(yè)內網流向外網的每一個數(shù)據，防止機密的泄露和引起法律風險，即使問題出現(xiàn)也可以做到有據可查。而類似的處理方式都預示著一個問題：IT系統(tǒng)風險隨時存在，但是任何風險都可以降低，甚至是可以完全避免的。IT系統(tǒng)問題導致業(yè)務災難的風險，IT監(jiān)管問題導致法律災難的風險，都可以利用IT自身的安全架構與技術設計來應對。
二問風險：如何才能平衡IT架構中的風險？
有業(yè)內人士指出，風險控制是一門系統(tǒng)科學，風險降得越低需要的支出就越多。所有的企業(yè)都在尋找一個合適的平衡點來保障企業(yè)能夠在可接受的風險范圍內支出盡量少的錢。設備級別的冗余機制是企業(yè)用戶選擇最多、也是見效最快的一種降低設備故障風險的方法。
當然，不可否認，利用先進的信息系統(tǒng)架構確實能夠幫助企業(yè)很好地完成一部分風險管理和企業(yè)治理的工作。但是Hillstone的安全專家認為，風險管理和企業(yè)治理中有很大一部分工作是針對自然人的，這就為風險管理和企業(yè)治理工作帶來了很大的不確定性以及不統(tǒng)一性。
無疑，這就要求IT經理在進行信息系統(tǒng)架構設計與治理的同時，必須了解到安全架構設計應該和企業(yè)的安全策略相吻合，否則就不能實現(xiàn)企業(yè)的安全目標。換句話說，只有在充分考慮人的因素的前提下，用IT治理IT才能發(fā)揮出更大的積極作用。
因此一些用戶反映，在進行一個信息系統(tǒng)的設計時，需要對目標系統(tǒng)的眾多需求進行平衡，這些需求包括功能、靈活性、性能、易用性、成本、業(yè)務需求和安全。需要強調的是，安全應該在系統(tǒng)設計中的開始階段就作為一個要害因素進行考慮。
此前新華人壽的IT經理杜大軍表示說，如果在信息架構的開發(fā)過程中使用了超過業(yè)務需求的安全性能，就會導致用戶體驗的惡化，但降低安全性能也會導致系統(tǒng)的部署和運行維護成本大增。
不難看出，想要平衡IT架構中的安全風險，就必須在IT系統(tǒng)設計的過程中平衡多種需求，這些需求可能是來自業(yè)務部門，或者來自企業(yè)的方方面面。安全架構的設計者通常需要根據組成構架的每個元素的重要性來確定如何進行取舍和開發(fā)。
在設計階段考慮安全性并不會增加太多的工作量，恰恰相反，這種安全思路貫穿始終的做法可以平滑地嵌入到架構設計的各個階段，這樣就可以保證安全性隨著架構設計逐漸的完成而完成。
基于此，不少安全專家認為安全架構從概念上說，就是從安全角度審閱整個系統(tǒng)架構，它主要提供系統(tǒng)架構所需要的安全服務、機制、技術和功能，不僅可以平衡架構設計與應用中的安全風險，而且可以提供如何進行安全設施部署的建議。
但無論如何，信息系統(tǒng)架構安全仍然是一個相對的概念，安全威脅無時無刻不在增加，只有不斷地加固才能獲得更加有效的安全。整個IT系統(tǒng)的安全涉及方方面面，任何一個地方的疏漏都會成為整個系統(tǒng)的致命短板。因此對用戶來說，目前情況下在整體信息安全架構的基礎上搭建安全防護設備能夠確保企業(yè)IT安全的最大化。
三問出路：如何解決信息安全架構與IT治理實現(xiàn)中的技術與管理挑戰(zhàn)？
首先，從技術方面看，目前隨著網絡應用的快速發(fā)展，基于數(shù)據應用層的安全防護以及風險控制得到越來越多企業(yè)用戶的關注。然而為了實現(xiàn)整個信息系統(tǒng)的安全架構，核心網關設備的應用層性能成為了各個企業(yè)實現(xiàn)統(tǒng)一安全架構的攔路虎。據Hillstone的安全專家介紹，基于應用處理的高性能安全網關是推動安全架構發(fā)展的技術因素之一，只有越來越多的高速設備出爐，才能從技術上確保網關層面的安全。
前面說了，高度集中的應用層安全網關還只是技術環(huán)境中的一方面。據何迪生透露，企業(yè)如果希望獲得完整的信息系統(tǒng)架構安全并在此基礎上獲得IT治理的效益，那么部署一套全方位的安全系統(tǒng)方案是不可避免的。
比如，對現(xiàn)代企業(yè)來說，確保其信息基礎架構的安全性已經成為主要任務。在這個過程中，信息與各種協(xié)作工具對大多數(shù)企業(yè)的日常運營來說都至關重要。不幸的是，這些工具常常成為攻擊者的目標。因此，企業(yè)的CIO必須確保信息和協(xié)作基礎架構不受外部威脅的干擾，避免企業(yè)的工作效率受到影響，從而導致內部問題或者泄露機密信息。
面對種類繁多且不斷變化的安全威脅，信息和協(xié)作基礎架構應具備多層保護機制，在攻擊影響到企業(yè)網絡之前就要解決問題。對此，他的看法是，多個保護層能夠減少因單一威脅而導致的網絡癱瘓問題。目前的焦點在于，所有的安全廠商都有各自獨特的需求，他們提供不同的安全產品和服務。因此，如果要實現(xiàn)全架構的安全防護，安全技術本身也要具有適應性。
以微軟的技術方案為例：Microsoft Exchange Hosted Services可在垃圾郵件和病毒滲透到網絡之前就進行過濾；Microsoft Forefront內部部署軟件可以保護關鍵應用服務器免受內部威脅侵害，并能執(zhí)行內容規(guī)則；Microsoft Internet and Security Acceleration（ISA）Server 2006可實現(xiàn)協(xié)議層和應用層的檢查，以確保安全地實現(xiàn)Exchange Server、Live Communication Server和SharePoint Portal Server的遠程訪問；而Microsoft Windows Rights Management Services（RMS）與Microsoft Office Outlook 2003客戶端應用配合工作，可以確保敏感的電子郵件和文檔不致泄漏出公司之外。
其實，類似的技術方案有很多，無怪乎都是從多層次、大縱深為出發(fā)點。換句話說，一個有效的技術方案，除了為企業(yè)整個基礎架構提供防御之外，還必須采用縱深防御策略，通過多種技術來發(fā)現(xiàn)并防御安全威脅。事實上，依靠多種技術低于攻擊或誤操作，有助于消除整體安全架構中的單個故障點。
