先进的网络攻击正在对企业造成日益严重的损害，云计算、大数据、移动等新技术也为企业带来新的安全风险。面对挑战，企业应如何认识当前所面临的安全形势？近日，惠普公司企业安全产品部大中华区总经理姚翔针对如上问题，为大家阐述了惠普是如何帮助企业建立统一的防御阵线以抵御这些安全威胁的。

　　威胁严峻 企业安全建设仍存误区

　　姚翔在分析当前信息安全形势时提到：当前在黑市上作交易的信息价值已经超过了1000亿美元，而与此形成强烈对比的是，在网络安全的总支出仅仅为460亿美元。“整个黑市的规模要比网络安全的投资要大，基本上是两倍左右。也就是说，我们用于防御黑市的投资还不如黑市本身的交易金额大。”

惠普公司企业安全产品部大中华区总经理姚翔

　　同时，大数据、移动、互联网等业务对企业造成的安全损失会越来越大。姚翔表示：“这些技术让我们的安全形势变得越来越复杂。例如，如果没有很好的安全考量，我们的大数据其实也是黑客的大数据;而移动技术的发展使得当下安全防护的边界已经不存在了。”

　　而对于很多企业而言，在安全建设上的误区使得他们将投资用在了不恰当的地方，或者是把资源放在了不正确的地方。姚翔表示，企业当前在安全建设方面的误区主要表现在如下几个方面：

　　首先是缺乏组织支持。大部分的企业到目前为止都没有一个安全的部门，很多安全人员是隶属于网络部门或是运维部门。姚翔指出：“一个成熟的企业的安全部门必须与IT部门分拆平级。越来越多企业开始成立一个平行于CIO级别的CISO角色，而一个成熟企业的CISO是可以从安全角度出发延缓新的IT项目的发布的。”

　　而对技术的过分依赖让企业专注于产品的数据，而缺乏对安全威胁的可视性。企业在遭受安全攻击后，对于究竟造成的损失有多少、哪些数据已经泄漏了、以及攻击来源等问题，目前大部分技术报告和人员无法提供。

　　基础的IT往往被忽视。“企业往往比较关心新的业务，但是一些最基础的安全架构和IT设施，例如大家每天都在用的PC，其实很可能就是一个很大的安全漏洞。”对此姚翔说道。

　　而在不少企业中，行政任务被分配到安全运营中心也是当前企业安全建设存在的重大误区。“企业不应该给安全运营中心做任何不相关的事情，它只是一个哨兵，感知外界对企业的安全威胁，而不是让企业内部安排做事情;可是现在有很多企业把一些简单的IT运维工作放在安全运营中心上，包括给新来的员工配电脑、或者维护的员工设备等。”姚翔强调道：“这不是安全运营中心的价值，行政任务并不是安全的事情。”

　　最后，姚翔认为，过于专注于合规是很多企业在安全投入方面的又一大误区：“合规很重要，可是合规不足以保证安全。大部分的企业觉得合规了就安全了，其实合规仅仅只是及格而已。”

　　对于安全企业而言，一方面需要找到最新的技术跟黑客搏斗，而另一方面则需要说服客户和市场，必须对安全进行投资。那么，面对如上的困难和挑战，惠普又有哪些做法来帮助企业抵御日益严峻的安全威胁？

　编辑：刘月