安全
受訪者: Jay Roxe, Irida Xheneti, Baber Amin
混合而非攪拌：完云服務(wù)雞尾酒
在過去，專業(yè)云服務(wù)和個人云服務(wù)之間的界限基本上一直是非黑即白的。在2011年，這些界限將變得模糊起來，一家公司所使用的云服務(wù)的數(shù)量也將會成倍增長。這種增長將由有計劃的在整體范圍內(nèi)鋪開發(fā)出的服務(wù)，和由個人帶到單位內(nèi)的應(yīng)用組成。隨著專業(yè)人員在日常生活中使用更多的云服務(wù)，專業(yè)和個人之間的界限變得模糊起來也就是自然而然的事了，并將提升單位內(nèi)采用云服務(wù)的量級水平。
安全
受訪者: Brian Singer & Irida Xheneti
“大泄密”不是某個樂隊：它是一個實實在在的威脅
技術(shù)進步會讓活動和信息外泄以及系統(tǒng)漏洞變得更復(fù)雜，對于也是如此。隨著分析人士和企業(yè)都在大肆宣揚采用云的好處，也有些人在不斷尋求開發(fā)新的攻擊方式。研究人士和黑客對此關(guān)注的提高令公司企業(yè)們行動起來應(yīng)對第一波云大泄密 – 不管這是有意還是無意造成的。云提供商的信息外泄尤其具有破壞性 – 鑒于云的結(jié)構(gòu)，一個缺口就可影響到諸多不同的單位。大泄密的形式有多種 – 從專門以云廠商為對象的黑客到掌握有未被關(guān)閉的云服務(wù)訪問權(quán)限的員工的泄密。實際上，我們已看到多起云服務(wù)提供商遭受小泄密的情況，由于一家提供商遭攻破，造成多個單位丟失掉客戶數(shù)據(jù)。可以確定，在2011年我們將會聽到來自云或由云造成的首次重大數(shù)據(jù)外泄事件的發(fā)生。
可訪問性帶來漏洞 - 為什么Amazon 和 Salesforce會被盯上
通常，數(shù)據(jù)外泄是發(fā)生在網(wǎng)絡(luò)層的。在2011年，通過移動技術(shù)和遠程訪問，對應(yīng)用的訪問會變得越發(fā)容易，信息外泄情況的發(fā)生也將會在應(yīng)用層面提升。因此，在新的一年里Salesforce 和 Amazon將會遭受信息外泄。網(wǎng)絡(luò)層的價值將變小，而對應(yīng)用層的訪問將變得更有吸引力。
“干掉(移動)”
我們在移動空間未看到大范圍的攻擊現(xiàn)象的一個原因是，在今年以前可用平臺都缺乏同質(zhì)性。然而隨著業(yè)務(wù)越來越多地通過多種移動端點進行，以及、Blackberry 和逐漸成為智能電話領(lǐng)域的領(lǐng)先者，我們將開始看到更多的一致性平臺。隨著這種同質(zhì)化在2011年的繼續(xù)發(fā)展，發(fā)生第一期大范圍的移動攻擊或移動蠕蟲的舞臺已經(jīng)具備，而這也是令人們再次燃起對移動安全解決興趣的催化劑。
Bert from Accounting：你的最大威脅
隨著雇員從多種不同的地點使用應(yīng)用，對公司企業(yè)和個人來說要想看清哪個環(huán)境是安全的變得日益困難。隨著社交網(wǎng)絡(luò)的發(fā)展，員工們可能沒認識到公開共享的信息中藏著風(fēng)險。在沒有對員工進行如何對待社交網(wǎng)絡(luò)的教育的單位內(nèi)這個問題將會持續(xù)存在并惡化。雇員們希望使用自己感覺最順手的平臺，并且這么做感覺很自由;但是，在企業(yè)與應(yīng)用很透明這一新現(xiàn)實進行格斗時，他們將開始制約誰可以在哪里做哪些事，擔(dān)心信息外泄或漏洞使他們的敏感數(shù)據(jù)曝光。而最后，公司企業(yè)將贏得這場戰(zhàn)爭，這是因為在一天的工作結(jié)束后，將證明信息資產(chǎn)對大多數(shù)單位來說是最有價值(和最有破壞性)的資源。
2011預(yù)測 – 身份管理
受訪者:: Lucy Sullivan
IT備忘錄：為大哥留個位子
許多行業(yè)在過去的幾年里已經(jīng)感受到政府管制的來臨。在2010年末，管制已經(jīng)來到IT行業(yè)的門前。
特別是在剛過去的11月，美國眾議院已提出HSCPIPA法案(家園安全信息技術(shù)和物理基礎(chǔ)設(shè)施保護法案)。這項立法提案將授予家園安全部合法權(quán)力“保護私營成分”計算機的安全，并委任一名計算機安全首腦，授權(quán)其針對那些被認為是關(guān)鍵基礎(chǔ)設(shè)施一部分的公司“建立和執(zhí)行”計算機安全要求。
雖然這項特別立法還處于國會審議中，IT機構(gòu)們已開始為新的一年里可能出現(xiàn)的一些立法做準備。公司企業(yè)將開始為強化的審計工作、事件解釋和創(chuàng)建新的在單位內(nèi)維護合規(guī)工作的角色做準備。實現(xiàn)增強粒度的唯一辦法是清晰定義用戶的角色和分配、必須具有一個更加高端的身份管理框架。
維基解密網(wǎng)給身份管理帶來惡略影響
盡管在過去的幾年當中曾偶爾發(fā)生了幾次信息泄露事件，但許多單位可能一致認為內(nèi)部人士的泄密行為只是孤立事件。但隨著今年發(fā)生的非常著名的數(shù)據(jù)外泄事件，公司企業(yè)將會在2011年更認真地看待內(nèi)部人士泄密事件。這回避了問題的本質(zhì) - Burt from accounting是你最大的威脅嗎？
具體來說就是，公司企業(yè)將會施加壓力以確保所有內(nèi)部和外部用戶的授權(quán)和訪問都將受到嚴密的監(jiān)控。這將涉及：
· 訪問認證將能證明在任何時間誰訪問了什么;
· 將更多的關(guān)鍵系統(tǒng)與強大的身份管理基礎(chǔ)相連接(不管那些應(yīng)用是位于之內(nèi)還是之外);
· 監(jiān)控特權(quán)用戶的訪問;
· 圍繞目前所部屬的安全技術(shù)與當今風(fēng)險的匹配情況進行內(nèi)部評估
內(nèi)部威脅將會繼續(xù)成為公司企業(yè)的主要擔(dān)心，這是因為新的安全侵擾行為會在相當頻繁的基礎(chǔ)上持續(xù)出現(xiàn)。Verizon 2010數(shù)據(jù)外泄調(diào)查報告顯示，48%的安全侵擾事件是由內(nèi)部人士引起的。用戶需要受到監(jiān)控以確保無人濫用他們的訪問權(quán)限，只能訪問他們完成工作所需要的資源。
IT開始進入人造云牧場
2010是評估和規(guī)劃的一年，云帶來的好處和挑戰(zhàn)在這一年里得到更加清楚地認識。如果一切順利2011年將是采取實際行動部署的一年，關(guān)鍵的問題一直是在朝云進軍的過程中企業(yè)如何保持安全與合規(guī)。
在評估如何管理基于云的身份時，公司企業(yè)有2個選擇 – 求助虛擬主機提供商來保證處理過程的安全，或是采取現(xiàn)有的IDM策略并創(chuàng)建云擴展。我們預(yù)測后者將會發(fā)生，這是因為公司企業(yè)將被迫擁有盡可能多的對IDM的控制。公司企業(yè)將需要保證他們基于云的資源注入企業(yè)級的身份管理。以便在內(nèi)部管理和合規(guī)問題與云的靈活性之間取得平衡。
正確理解合規(guī)氣候，與洶涌之威脅戰(zhàn)斗
在法規(guī)和內(nèi)部威脅不斷增加的氣候下，在涉及識別和跟蹤用戶活動方面，內(nèi)部審計將需要更多的粒度。尤其要注意的是公司企業(yè)將需要下延至用戶名和活動層面來維護合規(guī)，也即采取被稱為用戶活動監(jiān)控的做法。
用戶活動監(jiān)控結(jié)合了身份管理和安全信息與事件管理(SIEM)能力，使公司企業(yè)可跟蹤用戶的準確身份和行動。當即將產(chǎn)生的法規(guī)來臨時、或公司企業(yè)遭受內(nèi)部攻擊時，這些記錄將變得尤其重要。頭腦中認識到這些促進因素，為掌握更加緊密地跟蹤用戶活動的能力，企業(yè)將會在新的一年里采用這一措施。
身份管理與SIEM聯(lián)手
目前，身份管理(IDM)和安全信息與事件管理(SIEM)在公司企業(yè)內(nèi)是兩個單獨的信息豎井，但2011年我們將開始看到更多的IDM與SIEM的集成。公司企業(yè)正開始認識到將這二者集成的重要性和益處在不斷增長，諸如在用戶活動監(jiān)控、識別安全侵擾和將問題與特定用戶綁定方面將會提供更多幫助。
合規(guī)
受訪者:: Leo Castro and Chase Jones
合規(guī)或后果：你將選擇哪個？
在2010年10月更新之后，在2011年P(guān)CI DSS合規(guī)要求將在公司企業(yè)如何應(yīng)對他們的合規(guī)需要方面發(fā)揮重要的作用。公司企業(yè)將必須進行二選一，適應(yīng)新標準的要求或選擇不合規(guī)。滿足新的PCI DSS標準的成本和復(fù)雜度可能會使一些公司企業(yè)選擇不合規(guī)，因為遭受懲罰可能比實施新的技術(shù)和策略更經(jīng)濟。
遵循達爾文主義：合規(guī)進化
在滿足合規(guī)法令方面各個公司企業(yè)處于不同的階段。在2011年他們將致力于合規(guī)辦公室的正規(guī)化。極端情況會是公司企業(yè)將脫離人工基于電子表單的訪問認證和報告，尋找通過處理過程來推進操作效率的方式。基礎(chǔ)合規(guī)設(shè)施已就位的公司則在尋求通過持續(xù)合規(guī)，利用IDM與SIEM的集成，更主動的預(yù)防措施。這種集成將幫助實施和執(zhí)行恰當?shù)腎T控制。這將有助于公司企業(yè)立即識別風(fēng)險，判別這些風(fēng)險會對他們的商業(yè)目標產(chǎn)生什么影響。