Forrester 2011年安全策略建议

2011年1月25日，Forrester的VP和研究总监Khalid Kark在NetworkWorld上给企业和组织的CISO们提出了 一份2011年的安全策略建议。【注：CNW上有一份 中文译文，不过译文有若干处不达意:<】
Khalid Kark建议从三个方面进行考量：
1）更好的治理结构。尤其是在面对社交网络、移动互联网和云计算大势所趋的情况下。应该主动的去考虑这些新技术对企业和组织的影响，制定一份可接受的风险管理策略。
2）更成熟的安全流程，尤其是针对数据保护的流程。这个流程相比之前的反应式的，要更加主动；不仅限于身份管理，更要做到信息与访问控制管理；除了要有突发事件处理计划，更重要地是要有一份健壮的安全破坏响应计划。
3）更强大的分析与报告能力，重点是安全的可见性、可测量性（可度量性）和可决策性。其中，决策支持可以分为三个层次：运维的，风险的，以及以业务为中心的。每个层次都需要不同层次的数据提供支撑。
这里，我想对他提到的第三点多谈一点自己的体会。
可见、可测量和可决策应该是安全管理的三个递进和循环渐进的过程。正如西方管理学的普遍原则一样： 你无法描述就无法测量，而你无法管理和改进你无法测量的东西。描述->测量->管理也是一组递进关系。暂且不论这种方式对于安全管理是否能够真正有效，至少我们值得深入探讨KarK及其Forrester的安全管理思想。
可以说，对于各级安全管理角色而言，都需要作出自己的安全决策，不论你是安全运维人员，或者是风险管理经理，抑或是领导层。
对于一二线的运维人员而言，SIEM应该是一个比较有效的分析工具，可以帮助他们看到重要的安全事件和突发事件。当然如果使用不当，可能适得其反，陷入事件的汪洋大海。对于风险管理经理而言，一套行之有效的风险管理流程和工具是有必要的。而对于高阶的安全主管和领导层而言，必须知道IT风险之于企业和组织业务意味着什么，也就是业务风险。
在可见、可测和可决策三个环节种，最关键的是可测量，也就是安全测量，或者叫安全度量。安全测量也是可以分为不同层次的，对于运维人员，风险管理人员和决策层而言，有各自的测量数据和测量指标。在运维层，测量指标更加偏IT，而在决策层则更加偏业务。
最后，回到Kark的这个文章，正如他在开篇所述：Forrester's research shows that a majority of challenges for security professionals all relate to business orientation and alignment（安全专家们的主要挑战都关乎业务——面向业务或者结合业务）。他举例到：Many senior business and IT leaders are asking CISOs to better support and align with the business and IT objectives, requesting regular interactions and updates from security teams.