分析人士表示，應(yīng)該首先關(guān)注業(yè)務(wù)安全性，而不是實(shí)現(xiàn)標(biāo)準(zhǔn)化。他認(rèn)為"規(guī)章制度并不利于企業(yè)維護(hù)"。
Gartner 分析室主任Andrew Walls近日在一次采訪中表示，企業(yè)按照規(guī)章執(zhí)行的標(biāo)準(zhǔn)化并不意味著它擁有良好的商業(yè)安全性，而首先考慮安全性問題的企業(yè)，在各種規(guī)章制度面前基本不會出現(xiàn)不符的情況。
他認(rèn)為"安全性造就了標(biāo)準(zhǔn)化，而不是標(biāo)準(zhǔn)化造就安全性"。
這方面的例子并不難找。比如，通過PCI(支付卡行業(yè))認(rèn)證的公司出現(xiàn)了高危險(xiǎn)的數(shù)據(jù)泄露事故。
去年McAfee 的一位高層就表示，美國支付系統(tǒng)廠商Heartland Payment Systems 以及零售業(yè)主TJX都是在通過PCI標(biāo)準(zhǔn)化認(rèn)證后出現(xiàn)信息泄露事故的。
在一個(gè)安全論壇組織的會議上，本地公司e-Cop的主管Walls認(rèn)為，企業(yè)應(yīng)該把企業(yè)實(shí)現(xiàn)標(biāo)準(zhǔn)化的行為作為企業(yè)所面對的另一個(gè)安全威脅，比如像評估對企業(yè)網(wǎng)絡(luò)的影響那樣，評估企業(yè)實(shí)現(xiàn)行業(yè)標(biāo)準(zhǔn)化的風(fēng)險(xiǎn)。
Walls表示，"和其它的風(fēng)險(xiǎn)或威脅一樣，實(shí)現(xiàn)一定級別的標(biāo)準(zhǔn)化就意味著仍然會保留一定的風(fēng)險(xiǎn)在其中?？赡芷髽I(yè)需要選擇第三方的安全產(chǎn)品，雇傭或培訓(xùn)專職的安全人員，實(shí)現(xiàn)標(biāo)準(zhǔn)化文檔等。但是我從沒見過百分百符合標(biāo)準(zhǔn)化的企業(yè)。完全符合標(biāo)準(zhǔn)的企業(yè)在現(xiàn)實(shí)中是不可能存在的。你只能與標(biāo)準(zhǔn)保持兼容。"
需要風(fēng)險(xiǎn)對話
Walls認(rèn)為，企業(yè)改進(jìn)安全風(fēng)險(xiǎn)管理的最重要內(nèi)容是，"將風(fēng)險(xiǎn)作為每個(gè)管理過程中的常規(guī)部分"。
這有時(shí)候需要管理層從思想上進(jìn)行轉(zhuǎn)變，因?yàn)樵诤芏喙疚幕?不僅僅是東南亞公司)中，項(xiàng)目經(jīng)理談?wù)擁?xiàng)目中存在的風(fēng)險(xiǎn)，意味著上級領(lǐng)導(dǎo)可能認(rèn)為他不能勝任工作。
"通過有關(guān)風(fēng)險(xiǎn)的對話，企業(yè)管理者將能理解安全問題帶來的結(jié)果有多么嚴(yán)重，企業(yè)正面臨什么樣的安全風(fēng)險(xiǎn)，以及通過何種或服務(wù)來解決這種安全風(fēng)險(xiǎn)，管理者需要幫助解決什么樣的問題。"
最重要的是，企業(yè)需要通過監(jiān)控可疑交易預(yù)防商業(yè)欺詐，必要時(shí)進(jìn)行進(jìn)一步的審核動作，就好像信用卡公司在發(fā)現(xiàn)可疑交易時(shí)的做法一樣。