网络安全：风险管理平衡功能和安全

在设计和管理一个安全的网络时，风险管理过程是其中非常重要的一部分。在实施风险评估的过程中，你可能会发现你的网络没有得到充分保护，并且可能会发现还需要另外增加硬件、软件或者对用户进行管理和（或者）培训，教会他们如何进行防护。 
 
网络安全在安全性、用户功能以及速度之间起到了一种平衡作用。为了证明某些操作功能的减少是正确的，例如关闭ActiveX，你必须能够说明这种特定的行为可以给公司的资产和用户提供一个更为安全的环境。

无论你所在的公司是一个大公司还是一个小公司，你都应该能够并且应该使用风险管理原则来识别出公司网络所存在的威胁、判断出公司网络在哪些地方容易受到攻击、并且给出具体的实现过程。最近，很多组织都在削减公司的IT预算。公司之所以增加在风险管理方面的预算，你应该将其归功于你的员工：识别安全风险以及证明如何去掉或者降低这些风险将从正面影响公司在安全方面预算的底线。

风险管理的基础是安全风险评估。风险评估需要实现以下三个步骤：判断网络的价值，定义威胁并且判断出网络在哪些地方容易受到攻击。

风险评估过程 判断网络的价值
在评估公司的网络资产价值时，记住既要考虑公司的有形资产，又要考虑公司的无形资产。例如，下面的一些问题是经常要问到的问题：

如果系统出现故障，会对公司的财政收入造成什么样的影响？

网络出现问题时，要让其恢复正常工作，需要花费多少人力成本？

在你的网络中，重建保存的信息需要花费多少资金？

如果公司网络中的信息被泄漏，那么对公司的财政收入会造成什么样的影响？
定义威胁
你的网络以及网络中的数据很容易受到环境本身、内部以及外部威胁的攻击。因此你必须理解每种类型的威胁，并且能够尽可能多的识别出可能存在的风险。

大多数的管理员都非常了解环境本身的威胁，他们不会将其数据中心放在泛洪区中，或者将关键服务器放在一个喷水系统中。内部的威胁通常是好定义的。这些类型的威胁是很常见的，而且可以很容易识别。

在定义外部威胁的时候，首先要判断是谁想要以未授权的方式来破坏需要保密的数据--无论是患者记录还是信用卡号码。也许是你的竞争对手正在寻找你的客户信息，也有可能是一个到处探测信息的黑客决定要修改或者改变你的数据并且破坏这些数据的完整性和（或者）可用性。

判断网络在哪些地方容易受到攻击

所谓的安全弱点就是你已经认识到的、可能发生的威胁。将你所认识到的威胁按照一定的等级进行分类。

威胁可能会是什么样的？（你所在的公司在该行业受到大多数人的关注吗或者说是众矢之的吗？）

这种威胁的可行性有多大？
许多人常常对安全弱点评估的结果感到焦虑不安。我的建议是根据实际情况来考虑这些因素。

执行解决方案
在风险管理过程中最后一步是如何实现一个安全的解决方案。你的解决方案中可能需要包含这些方面的努力：如对用户或者管理员的培训、重新设计网络的结构、或者在安全硬件方面增加投资。当然，你的解决方案也可以变得非常简单：简单的关闭资产中有安全弱点的并且是不需要的服务或者测试和添加补丁程序。

在你考虑评估公司网络中的威胁时，你可能需要借助于一个现成的例子，这样一来，你可以在网络安全的框架内看一看他们是如何实现风险评估工作的。那好，让我们来看一个在全国范围内汽车修理店的安全管理员是如何实现网络风险评估的。这个修理店的网络主要维护员工的工作时间和出勤记录以及用户汽车修理信息。之所以需要与因特网的连接，是由于有电子邮件服务和网页通信服务。汽车修理店完成的风险评估看起来如下所示：

判断网络的价值--如果网络被删除，修理师仍然可以修理汽车而且即使黑客知道了用户的轮胎不在一条直线上，用户不会感到痛苦。但是，如果没有网络，每个维修站每天需要花费另外四个小时来计算时间和出勤情况。

定义威胁--除了环境威胁和内部威胁外，最有可能存在的威胁来自黑客或者脚本编写者。

判断网络在哪些地方容易受到攻击--最容易受到攻击的地方在于恶意Web流量和电子邮件所携带的病毒。

解决方案--最简单的解决方法也是成本最低的解决方案：在工作站上执行防病毒解决方案并且在工作站上限制ActiveX、Java、以及脚本的运行。另外，在网络边界上限制只允许http、https、DNS请求以及SMTP等方面的出站通信。进站通信只允许已经建立的通信、返回的DNS查询以及SMTP等。

最后的思考
如果在你的责任范围内需要提供相应的解决方案，那么采取相应的行动吧。如果这个解决方案涉及到价格问题，那么将这个解决方案提交给那个有财务决定权的人吧。但是不要期望你的经理会使用一百万美元的解决方案来保护他那价值只有5万美元的数据和硬件。

在设计和管理一个安全的网络时，风险管理过程是其中非常重要的一部分。在实施风险评估的过程中，你可能会发现你的网络没有得到充分保护，并且可能会发现还需要另外增加硬件、软件或者对用户进行管理和（或者）培训，教会他们如何进行防护。至少，你的分析可以证明你正在通过全面检查来保护你的网络。