2、现代信息技术安全策略规划与实践

现代信息技术安全策略规划与实践

1. 信息技术安全威胁的演变

在过去十年间，信息技术安全威胁格局发生了巨大变化，这给各组织带来了理解、管理和预测方面的挑战。2003 年，SQL Slammer 和 Blaster 等大规模蠕虫攻击成功后，组织和 IT 专业人员开始适应互联网迅速变化的威胁水平。基于主机的防火墙、安全更新部署工具和防病毒解决方案成为组织管理威胁的主要方式。IT 专业人员通过学习一系列新的功能、工具和产品，扩展了他们的技能集，以管理所负责的基础设施的安全。

然而，新的安全要求对于许多人来说，理解、实施和维护起来都极为困难。IT 专业人员需要理解安全公告中的漏洞细节，利用这些信息做出合理的部署决策，并使用基础工具在大型环境中部署安全更新，同时不能影响所支持的业务。

如今到了 2013 年，情况发生了巨大变化。威胁格局不再是简单的、带有良性有效负载的蠕虫肆意横行的场景。有组织犯罪开始借用据报道由政府间谍和网络战计划开发的高级漏洞和威胁，来攻击组织和政府。IT 专业人员在首席信息安全官（CISO）和专业风险管理人员的协助下，正在保护关键基础设施，抵御那些决心使用各种手段破坏 IT 环境并窃取信息的有针对性的攻击。此外，关注政治诉求的黑客活动分子也在针对 IT 专业人员需要保护的组织。如今 IT 专业人员面临的威胁比过去更加隐蔽，这使得他们的工作比以往任何时候都更具挑战性和重要性。

在过去十年中，有一点始终未变，那就是对权威、准确且来自可靠来源的技术文档和指导的需求。一些专业人士在这方面做出了重要贡献，他们专注于现代前沿安全技术，帮助 IT 专业人员了解相关知识。

2. 核心安全原则回顾

2.1 安全原则的重要