在象徵著安全與開放的長城腳下，全球資訊安全的領袖人物 - EMC公司執行副總裁、EMC資訊安全事業部RSA全球總裁Arthur W. Coviello，在名為『資訊風險管理為業務創新加速』的新聞發布會上，與中國媒體共同探討了當前資訊安全的形勢和發展趨勢。

長城在中國的古代曾經是防禦的象徵，是『邊界安全』的真實寫照。如今，大型組織機構如何面對資訊高速流動，大量成長和網路化的情況下做好資訊的風險管理，傳統的邊界安全無法實現對流動資訊全方位的有效的資訊防護。

在新聞發布會上，Coviello提出，資訊是業務流程和制度創新的中心。因此，有效管理資訊相關的風險至關重要。資訊風險管理是以資訊為中心的戰略，它提供了最有效的手段以識別，評估和減輕資訊在其整個生命周期暴露出來的風險。資訊風險管理追蹤著資訊在其整個生命周期被建立、派送、儲存、複製、移轉及互動的路徑。這個『路徑』提供了一個整體的觀點，在此基礎上企業可以制定一個全面的降低資訊風險戰略。資訊風險管理是目前國際上公認的資訊安全防護主流趨勢。

Coviello指出，資訊風險管理理應成為業務創新的『加速器』，而非業務創新的『絆腳石』。CIO對於資訊風險管理的態度可分為三個層次，即『恐懼─遵從─與業務結合』。曾經，CIO對IT安全心存恐懼，認為IT安全意味著災難，及對業務發展的阻礙；摩托羅拉副總裁兼首席安全官Bill Boni曾表示：通常，在大多數全球組織中，安全問題最多被認為是一種不可避免的災難，更常見的是被認為是一項必要的摩擦。在這種情況下，安全措施把重點放在了預防負面事件發生的約束行為上，安全從業者成為阻礙業務創新的人。當法規遵從成為強制時，CIO往往迫於法規遵從的壓力而實施相應的安全措施；RSA與IDC近日聯合進行的一項調查表明，對於法規遵從的恐懼依然是CIO重視資訊安全的主要驅動力。未來，CIO應正視資訊風險管理對業務的促進作用，並採取積極主動的態度。

根據業屆知名的研究公司的報告，2001年，全球資訊安全支出總額占IT投資的百分比僅為1.5%，大概是150億美元。到了2006年，這一比例上升到3.0%，約為350億美元。預計到2009年將提高到5.0%，高達550億美元。可見，企業對於資訊安全的投入正在大幅度增加，儘管這樣，但實際上企業的整體安全感並沒有得到相應提高。企業IT環境看上去風平浪靜，實則危機四伏。

資訊安全貫穿於資訊資產和資訊系統的整個生命周期，而威脅的來源則多樣化，可能來自於內部破壞、外部攻擊、人為疏忽以及自然危害等，風險意味著潛在的損失，如果企業能夠有效了解、管理和控制風險，則可化腐朽為神奇，為業務創新帶來巨大的回報。調查表明，如果在受到攻擊時，企業已採取了基本的安全控制，那麼87%被調查的破壞都是可以避免的。毫無疑問，在適宜的整體環境下，更全面的資訊風險管理將帶來更多的商業價值。在安全性足夠高的資訊保障下，企業的核心業務資產也以一種恰當的方式得到了保護。同時，企業可藉此部署可重複性解決方案──可滿足企業多方面需求的方案，棄用功能有限的局部解決方案，即傳統的『頭痛醫腳，腳痛醫腳』的做法，

Coviello指出，成功的資訊風險管理策略，必然與業務創新結合，以資訊為核心，基於風險/回報模式，進行整體、全面的戰略布局並且是可重複的流程化管理。CIO及安全專家應高瞻遠矚，在部署資訊風險管理時，不應只會對業務創新說『不』，而應指明『如何幫助』業務創新。

Coviello認為如何使資訊安全成為企業業務創新的戰略考量， CIO們需要做以下事情：對資訊安全有正確的認識；懂得業務並為業務著想；識別並抓住為業務增值的機會；建立關係並贏取影響力；成為風險/回報的分析專家；建立可重複的流程；保留戰略思考的時間。

綜合而言，企業的CIO、CSO等決策人員，應關注風險/回報的平衡，以最大程度促進業務創新；監管者應以資訊為中心，關注法規制定的結果；IT廠商則應開發基於內容/行為的動態資訊安全解決方案，以實現在政策性和強制行基礎上的IT風險管理流程自動化。

Coviello還預估了未來的資訊風險管理技術趨勢：在人類世界，人們以動態行為為基礎建立信任。未來，資訊風險管理應回歸人類本身，致力於創建一種可模仿人類思考且足夠安全的動態系統。企業現在所需的是如同人類大腦般，具備思考力和靈活性的資訊風險管理系統。

同時，Coviello詳細介紹了10月27號舉辦的RSA2008歐洲大會的最新情形，RSA在會中發佈了最新的研究報告、產品與技術。其中，第七次年度無線安全調查表明，由於加密的WI-FI 很脆弱，企業和個人的資產、聲譽面臨著極大的風險；RSA新推出的產品包括RSA SecurID

資料來源：
http://www.itis.tw

3