2010：值得关注的三大信息安全领域

　　进入2010年，当全球经济全面复苏时，信息安全问题也将呈现多样化的趋势。来自产业界的几位专家提醒用户，2010年，需重点关注信息安全领域的三大发展。

　　企业内控法规正式实施

　　从2010年1月1日开始，中国的萨班斯法案——财政部会同证监会、审计署、银监会、保监会5部委制定的《企业内部控制基本规范》（简称为企业内控法）将在中国的上市公司以及非上市的大中型企业中执行。这无论对中国的大型行业用户还是对IT产业界来说，都是一件值得关注的大事。它也许会带来企业整体IT架构和应用的重大变化，带来IT产业的巨大商机。因此，如何让企业有效符合这一法规？需要采取哪些战略步骤、采用哪些技术手段才能让企业有效符合法规？是在目前以及未来的相当长的一端时间内，中国企业CEO/CIO/CSO重点考虑并重点投入的领域。

　　对信息安全领域而言，新法规的出台更是意味着新的机遇和挑战。因为，企业内控法规实施的目的在于提高企业的风险管理水平与风险防范能力，实际上是一个大安全的概念。将对用户的信息安全战略实施和技术应用有一个很大的提升。

　　众所周知，美国的塞斑斯法案早已经实施，他们的实施经验，将对中国的用户具有重要的借鉴意义。近日，迈克菲高级副总裁兼风险与法规遵从业务部门总经理Stuart McClure来到中国时告诉记者，从国际来看，萨班斯法案最重要的意义在于让企业将风险防控意识提高到一个最高的程度。

　　他解释，企业风险防控所包含的内容异常丰富，不仅包括狭义的对企业关键信息内容进行审计、存储和保护，还包括广义的如何让企业在不期而至的金融危机面前立于不败之地并保持长远的发展。因此，企业内控实际上是企业级别的大安全概念，需要从企业的战略、风险预测、风险评估、业务持续发展、技术部署等多个层面进行系统部署。

　　他建议用户在部署实施企业内控战略之前，寻找专业的服务厂商获得有效的帮助。实际上，国际许多信息安全巨头如迈克菲公司、塞门铁克公司、EMC公司等，早已经开始提供法规尊崇的专业服务。比如迈克菲公司，就是全球著名的安全服务公司，可为用户提供完整的风险管理和合规管理等服务。

　　数据安全保护日趋重要

　　过去长久以来，企业对信息安全的理解就是在网络的边界部署防火墙等边界安全设备，这已经成为基础信息安全的重要的一个部分，但RSA， EMC信息安全事业部大中华区总经理江永清提醒用户，保护网络中数据的安全更为重要，因此，数据安全保护技术将成为2010年用户首选的安全技术。

　　他介绍，具体而言，保护信息安全的技术会有以下几种：身份认证技术、企业防数据泄露技术、个人隐私信息泄露技术等。这些技术会在2010年成为热点的信息安全技术。

　　在身份认证技术领域，金融等通过互联网对公共提供服务的领域对身份认证技术提出了越来越多的需求，根据应用的不同，需求的程度也并不一样。金融行业由于近年来网银用户数量的飞速发展，早已经开始部署各种身份认证技术，比如动态口令（令牌）双因素认证技术、数字证书技术等，并且将在2010年迎来爆发式的增长阶段。但对那些互联网上的公共服务，比如电子商务、网络反欺诈等，身份认证技术的应用目前还处于起步期，江永清预计，随着中国电子交易的日益增多，能保护交易安全的身份认证技术在2010年身会开始广泛部署。

　　企业防数据泄露技术（DLP）应用从2009年就开始升温，预计到2010年将处于飞速发展状态，尤其在中国，DLP技术是企业内控中的一个关键技术，可防止敏感信息通过各种渠道，如网络、邮件、USB端口、打印等方式从企业网中泄露出来，也可以检测和防止数据在网络内的不同部门内流通，这样，可以预防有意或无意的信息泄露。

　　而个人隐私泄露则目前人们面临的越来越严重的安全威胁，其中包括个人身份信息、个人电话号码、信用卡卡号等各种隐私信息的泄露，这不仅让每个人面临着被欺诈的风险，更面临着资金被盗窃的风险。江永清介绍，这些都需要新的信息安全技术进行保护。RSA目前推出的个人信息虚拟化技术，可以让个人的敏感信息在网络中以虚拟化的状态存在，即使被泄露，黑客也无法读取正确的信息，只有在正确使用时，才能正确显示，这样可有效预防个人隐私信息的泄露。

　　江永清谈到，RSA，EMC信息安全事业部是专注于数据保护的公司，提供了世界一流的数据保护方案。事实上，2009年中国的数据保护市场并没有受到金融危机的冲击，公司一个季度的销售额就超过了2007年全年。预计到2010年，中国的数据保护市场会呈爆发式的增长。

　　Web安全2.0时代到来

　　“2010年，我们将全面进入Web安全2.0时代。”稳捷网络大中国区总经理彭朝晖在接受记者采访时这样预测未来Web2.0时代的安全。他告诉记者，新的能解决Web2.0时代的信息安全问题的技术和设备，在新的一年中，将成为应用热点，预测这一市场在2010年将超过几十亿美元。

　　人们已经对Web2.0时代有了广泛的了解，但对Web安全2.0可能感觉比较陌生。彭朝晖解释，Web安全2.0来源于Web 2.0。因为，与Web 1.0相比，Web 2.0引入了大量的交互能力，由此引发了Web2.0时代的安全威胁的三大特征：感染范围大、感染传播速度快、网络边界消失。因此，Web安全2.0的目标就是控制和解决这几大安全问题。

　　他解释，Web安全2.0技术架构与Web安全1.0技术架构完全不同，其安全理念已经发生了彻底的改变，因此，促使厂商设计的Web安全2.0技术架构、产品、解决方案等都将发生彻底的改变。目前，Web安全2.0技术架构在以下Web2.0特征的基础上，正在形成新的标准：首先，它是基于动态的、不断变化的、多向通信的全球网络；其次，多数恶意内容是由无辜携带者传播的；第三，大多数攻击是通过合法的Web应用传播的；第四，网络带宽的增长率将远远超过CPU时钟周期的增长率；第五，攻击可以来自使用不同的应用协议的多种携带者；第六，网络由于满足不同目的的计算设备而变得更加异构；第七，安全解决方案应当适应现有网络。

　　因此，Web安全2.0解决方案与传统的解决方案相比，特色在于：提供高容量、灵活适应变化、容易部署在任何网段中。一言以蔽之，Web安全2.0不要求新的安全功能，但要求大规模提供安全功能，同时非常灵活，易于部署。

　　彭朝晖解释，稳捷网络BeSecure安全网关就是基于Web安全2.0技术架构的全新的产品，它充分利用了多核的技术核心，具备高性能、深层次的内容检查架构。这种高性能使稳捷网络的产品能为Web 2.0应用和主机提供最准确的、大覆盖面的安全保护。