1、感悟信息安全之道温水煮青蛙如果把一只青蛙扔进一锅滚烫的水中，它会立刻拼命从水里跳出来逃生；而如果把青蛙放进一锅冷水中，然后慢慢加热锅里的水，青蛙就会一直呆在水里直到最终被烫死。信息安全需要居安思危，通过风险评估，及时发现隐患和威胁，早作预防，并且养成良好的安全意识和操作习惯，避免变成“温水中的青蛙”死狗原理没人会去踢一只死狗美国曾有一位年轻人，出身寒微，依靠自己的努力，在30岁时就当上了全美有名的芝加哥大学的校长。这时各种攻击像雨点般落到了他的头上，有人对他的父亲说：“看到报纸对你儿子的批评了吗？真是令人震惊。”而他父亲却平静地说：“我看见了，真是尖酸刻薄。但是记住，没有人会踢一只死狗的。”对
2、信息安全来说，威胁和风险往往和高价值的信息资产联系在一起，安全保护工作，也就应该重点放在高价值的信息资产上，什么是高价值信息资产？通过风险评估，您知道，它是您业务依赖的信息系统，无论软件、硬件、服务还是人。如果您想“无为而治”，除非您所见的只是毫无价值的“死狗”。冰山理论：露出水面的仅仅是冰山一角著名的冰山理论：一座浮于海面的冰山，露在水面以上的只是其十分之一，而另外90是看不见的。当一艘巨轮撞到冰山的时候，很可能遭遇泰坦尼克一样。要想消除一起严重的事故，就必须像发现并回避藏在水面以下的冰山那样，把事故隐患控制住并消灭在萌芽状态。信息安全工作的重点，不能仅仅放在对各种事故的应急处理上，更应该及
3、早发现隐患和威胁，积极预防，防患于未然。当然，面对已经暴露出的问题，也应该深入彻底解决，真正做到“三不放过”：当事人未受到教育不放过；根本原因未查明不放过；整改措施未落实不放过。破窗效应：破窗会带来更大的麻烦如果有人打坏了一幢建筑物的窗户玻璃，而这扇窗户又得不到及时的维修，别人就可能受到某些暗示性的纵容去打烂更多的窗户。久而久之，这些破窗户就给人造成一种无序的感觉您公司的管理制度是破窗呢？还是热炉？规定要有可屡屡发现陌生人尾随进入；规定要安装防病毒软件，可总有人电脑中病毒；规定口令要安全，但弱口令，空口令比比皆是。如果大家都熟视无睹，如果领导也不以为然，也许有一天，您的重要财物就会失窃，您的网
4、络就会瘫痪，您的敏感信息就会泄漏。执行不到位，再好的制度和措施也都是一纸空文。墨菲定律：掉落的面包总是涂有黄油的一面着地当你用早餐时，一片涂了黄油的面包突然从手上掉下，它将如何着地？是的，一是抹了黄油的那面着地。“如果某种事情可能出错，它就会出错。”这就是著名的墨菲定律。对此，通常会有两种截然没的态度：一种很消极，认为既然差错难免，事故迟早会发生，那就索性放任，听天由命；另一种是积极的态度，认为既然问题可能存在，那就不能存有侥幸心理，应该时刻警觉，小心提防，别让面包从手里落 地岂不更好？病毒发生并非天天都有，但不要以为今天平安无事，不安装防病毒软件就理所当然；门禁系统失灵，虽然今天没有陌生人进
5、入，但你能保证明天或者后天不会？大量案例告诉我们，侥幸心理和麻痹大意是导致信息安全事故发生的主要原因。尽管有些事故发生的概率很小，但在一次活动中仍可能发生，因此不能忽视，必须坚持预防为主的原则。名医启示：名医起死回生，神医防微杜渐扁鹊是公认的名医，其实他还有两个哥哥，医术比扁鹊还好。一次魏文帝问起此事，扁鹊解释说：我的两位兄长才是真正的神医。我大哥最擅长的是预防人们生病，让人们保持健康。所以一般人不知道他会治病，只有家里的人知道。而二哥则擅长在人们刚刚开始感到不舒服的时候，就把病给他们彻底治好了。所以一般人以为他只能治治小毛病，只有家乡的人才知道他。我则擅长治那些非常严重的病人。一般人一看到我
6、又是开刀，又是放血，能够把快死的人都给治好了，所以就会认为我的医术最高明，自然也就扬名四海了。信息安全不应该只停留在查杀病毒、入侵检测、信息泄漏等应急事件处理上，这样只会成为焦头烂额的“救火队员”，而更应该具有前瞻性，在日常工作中防患于未然，将安全工作做到“隐形”。对企业的管理者来说，您在信息安全上更需要神医？还是名医？篮子理论：别把所有鸡蛋放在一个篮子里篮子理论首先是作为一个金融投资理念被提出，用以降低投资风险，但它具有更广泛的适用性，可以用在其它风险管理领域中。举个简单例子，“9.11”事件中，上千家公司和机构的重要数据随着世贸大厦一同葬身火海，有的公司就此消失，但还有此公司却能在第二天就
7、恢复业务，这天于有没有把鸡蛋放在不同篮子的区别（因为有些公司做了完全的异地灾备，而另一些没有）。对企业来说，做好数据备份是确保业务连续的重要手段。除了信息和数据，相关的人员、设备、服务等，都需要基于冗余和备份的思想，将其纳入到统一的业务连续性管理当中。KISS原则：“Keep It Simple,Stupid!”直接翻译过来就是“保持简单、傻瓜！”KISS原则可以用在很多方面，程度设计ISS，系统架构KISS，企业管理更要KISS。很显然，越是复杂的事情越容易效能低下和资源浪费。解决问题应把握主流，抓住根本，不要人为地复杂化。当然把事情变复杂很简单，把事情变简单却很复杂，就看如何去把握了。KI
8、SS也是适用于信息安全的一项原则。尽量保持系统简单，从而实现稳定、高效和安全；尽量保持管理制度的简明，从而实现明确、可行和安全。木桶原理：木桶容量取决于最短的那根木板用木桶来装水，如果组成木桶的木板参差不齐，那么它能盛水的容量不是由最长的板子来决定，而是由木桶中最短的板子决定的，因此这又被称作“短板效应”。如果事物发展过程中存在“短板”，其整体发展程度就会受到影响，往往劣势决定优势，劣势决定生死，很多时候，通常一件事情就会毁了所有的努力。信息安全牵涉非常多的方面，无论哪个方面薄弱，都会对整体的安全带来隐患。如果只重视技术，不惜巨资采购设备和实施技术控制，却轻视管理，安全制度建设和员工安全意识，
9、真正的安全也难以实现。您知道吗？当您部署了最新的防火墙和入侵检测系统，实施了严格的网络接入控制，可有人随便拿一下U盘，直接插在没有锁屏的服务器上，您的核心数据也许就泄漏出去了。飞轮效应：旋转的飞轮依赖持之以恒的推动为了使静止的飞轮转动起来，一开始必须从事使很大的力气，但随着飞轮转动得越来越快，达到某个临界点后，其重量和冲力就会成为推动力的一部分，这时候，只需持续地轻轻用力，飞轮会一直快速转动。信息安全是动态持续的发展过程，也许起步阶段（建设期）很困难，毕竟需要改变一些固有的东西，特别是人的意识和习惯，很只要坚持下去，使得信息安全各项制度执行和控制检查进入良性循环，依靠完善的制度、安全的环境、良
10、好的意识，加上持续的支持和维护，信息安全这只飞轮就可以稳定地旋转下去。您是只把信息安全当作一个项目？还是想让信息安全成为公司管理的常态？这完全取决于您怎样去用力。独眼鹿寓言：自以为安全的地方往往是最危险的一只独眼鹿正在河边吃草，她用一只眼睛看着陆地，留意着猎人，另一侧瞎了的眼睛则对着河流，因为她从未见过猎人从河里出现，恰巧有个猎人乘船从河上经过，一箭就射倒了她。相对于“外部”，人们对于“内部”有着天生的安全感，因而更容易疏于防范。实际上根据权威调查，信息安全威胁几乎90%都出自于企业内部。当您认为防范外部黑客入侵是避免信息泄漏的关键时，殊不知内部员工一次毫无障碍的资料拷贝就轻而易举地将防线化解
11、。企业应该通过访问控制、职责分离、监督检查、安全意识宣贯等措施，从根本上减少内部威胁。懒蚂蚁效应：任何组织都存在不可或缺的懒蚂蚁在一个蚁群中，在辛勤忙碌的工蚂蚁背后，总有一定数量的懒蚁，它们“无所事事”，“游手好闲”。这些从不干具体事务、看似好吃懒做的蚂蚁，实际上担负着开辟食源、危险预警、组织分工等特殊使命。懒蚂蚁把大部分时间都花在了“侦察”和“研究”上。它们能观察到组织的薄弱之处，防卫预警，拥有让蚁群在困难时刻仍然存活的本领，保持对新食物的探索状态。一旦蚁群遭遇危机，懒蚂蚁就会挺身而出，指挥全体蚂蚁寻找出路、渡过难关。不要以为信息安全是可有可无的工作，尽管它似乎不会为企业创造直接的效益。您是当发生了重大事故时才想起了信息安全？还是一直就对此有所投入而避免重大事故的发生？对现代企业来说，信息安全已经渗透到企业的方方面面，从商业机密和客户数据的保护，到风险管理和业务连续性的保障，再到企业形象和客户信心的维护，信息安全已上升到企业的战略层面，成为关系企业命脉的重要组成部分。懒蚂蚁其实并不懒，只是分工不同，表现形式不同，幕后英雄虽无名，却成就了辉煌。
