IT核心 建立牢不可破的IT安全策略
与几年前相比，人们对网络安全投入了更多的关注与资金。好的安全策略已经成为任何关注信息安全的组织的必需品。但是无论采用何种策略，很多情况下，它都会在细节上有这样那样的不足。
建立安全策略的动机应当是由CIO/CSO执行，为了使组织机构遵循相关法规以及审查手续，帮助控制网络安全，并且还因为它是最实用的。我们得承认，有时各组织只实现最少量的安全必要措施，以便符合审查或管理报告的要求。但是这只是公司能实现的一般水平的策略。
安全专家们建议公司实现任何安全架构的时候采用分层设计的方法。大多数的组织已经有了适当的防火墙和杀毒方案，因此，随着各类威胁变得越来越老练以及网络越来越复杂，额外加安全层是很实用的方法。处理好安全问题的一个有用的方法就是将它分成三段策略：反射性，前向性以及顺势性。
反射性
反射性安全措施是最普遍的方法，尽管我们并不主张这样的策略。当发生安全事件的时候，一个叫做事件响应进程(IRP)的操作将控制，协调并且执行任何必要的防御措施。例如，当攻击进入网络范围时，防火墙会阻止其对网络的访问。
除了防火墙，还有两个补充的安全层起到很大保护作用。入侵防御系统，或者IPS，它彻底地对数据包进行检查，并且通过搜索对话信息内容中的恶意软件，或者危险的传输流来跟踪网络通信的状态。IPS通常都是配置在防火墙外部，防火墙内侧，网络核心以及其他网络中互相联结或者边缘的点。IPS被看作是反射性的，这是因为它们得等到出现攻击才能反应，然后阻止攻击的数据包或者包的源头。
前向性安全措施
前向性策略能够在出现攻击或者潜在威胁之前就做好对网络的保护。在前向性安全策略中进行分层能够阻止攻击者进入网络，这将使这种策略更有利。最新的前向性安全策略叫做网络访问控制(NAC)。全面的NAC方案确保任何终端设备在自由访问网络资源之前，系统都对它们按照企业安全策略进行测试。
NAC对IT安全管理员来说非常有用，它在确定装置是安全的之前将任何装置都视为有威胁的，有助于控制人们对网络上所保存的机密信息、私人信息的访问。
很多NAC工具使用用户认证来确定特殊用户是否可以访问网络。接着，它检查每一个装置以确定该装置是否对网络构成威胁。组织的基本要求可以是随时更新安全补丁以及防毒软件。更进一步的要求可以是确保网络浏览器，应用程序以及操作系统都处于安全配置状态。另外，一些精明的NAC方案还会阻止那些一连接网络马上就试图散播开的恶意软件。
很多行业分析师以及安全专家都认为NAC方案是财政、教育、政府以及卫生保健领域的各组织机构的首选安全方案。
作为对NAC的补充，漏洞管理(VM)进程帮助系统确保网络上的装置能够抵挡进入网络的攻击。VM预先监察网络中的装置，扫描它们各自的潜在漏洞，然后再确定它的操作系统，配置以及应用程序。该数据将被记录和保留在中央数据库，安全工程师可以使用这个数据库来了解出现的漏洞，并处理它们。
人们可以用多种方法处理漏洞。很多漏洞都可以通过应用卖主提供的补丁来解决，随时更新软件就行。另外一些漏洞可通过其他方法缓解，如用访问控制列表或者设定防火墙规则使攻击者通过的可能性降到最低。还有其他的漏洞对组织只造成很小的，可以接受的威胁，并不需要马上处理它们。
顺势安全措施
第三种策略是顺势性策略。对大多数组织来说，只有一套适当的安全方案是不行的。他们必须确认这些方案的有效性，并且在整个公司范围贯彻安全策略。笔者可以很快区分那些没有想好安全策略的组织和已经实现有力的工具，策略和遵循的组织。安全架构中的每一个环节都必须保留了能够报告非顺势事件的关键信息。
来自这些系统的全面的报告非常重要。重要的报告包括那些说明哪些装置不符合当前安全策略，哪些不合规格的装置是被例外许可的，没有解决的漏洞以及漏洞修复进程，还有安全事件及安全入侵报告。审查者通常都需要具有突出的报告能力，以便创建自定义报告，过滤及搜索标准等。
评估你的网络
有了这三个安全策略——反射性，前向性，以及顺势性——CIO和CSO们可以开始评估他们的网络，以便确定那种策略最符合他们的需要。把三种分层的安全策略结合在一起的方案仍然是安全专家们最为推荐的，有策略总比没有好。不论采用哪种策略，人们都应当在公司范围确立策略以及手续，并且委任具体的执行人员来完成这些工作。
鉴于威胁越来越多并且人们越来越依赖信息技术，安全问题不容忽视。安全是IT进程的核心，它将被更多的考虑到，并产生更加深远的影响。
