接上一篇《关于企业“下一代信息安全架构”的思考（一）》

本文为整个内容的第二部分。

---------------------------------------------

（四）构建下一代安全架构应该重视的关键点有哪些？

4.1、了解攻击者到底在哪里？（分析威胁源）

通过威胁要素的识别，“威胁的来源”、“威胁的途径”、“威胁的场景”、“威胁的层次”、“威胁的可能性”，以要素为关键点，建立应用系统安全威胁模型，得出业务系统可能面临的安全威胁。从人的视角的威胁源主要有以下四类：

　　4.1.1 内部员工的误操作、滥用职权

以前有过专门的统计，80%的安全问题是内部造成的。内部员工的误操作、滥用职权是威胁的一个重要来源。尤其是能够接触到用户敏感信息的内部管理员等。以前也多次出现有内部员工售卖用户信息的行为发生。

　　对于内部员工的维护、业务操作，要考虑日志审计、留取证据等。

4.1.2 、一般黑客

这两天刚刚爆发的bash破壳漏洞，再往前爆发的心脏出血漏洞，这些新漏洞一出来，网上有大量的攻击者会利用自动化工具进行漏洞探测，发现有问题的系统会直接攻击，拿下系统以供后续备用。我们平时安全工作做的再好，碰上这种新暴露的漏洞可能真防不胜防。

这种一般黑客，可能在你稍微打盹的时候就进入了你的系统。放后门、脱裤等等开始以系列的行为。

4.1.3 、商业竞争对手

商业上的竞争对手很可能会“关心”你的系统安全，历史上也出现过利用IT系统漏洞获取企业的客户信息、合同信息以及相关商业机密信息。好多公司的邮件服务器权限其实竞争对手手里也有。你的竞争对手也可能雇佣“黑客”来对企业做定点攻击。这种情况出现过很多起。

　　4.1.4 、敌对组织或国家

对一些商业上有一定影响力的公司，比如你的业务可能开展到海外，或者竞争对手可能来自于海外，这些都有可能受到敌对组织或国家的攻击。这些也可以理解为常说的APT攻击。在斯诺登所透露的信息中，我国著名的通信设备厂商也受到了美国NSA的攻击。（这个信息网上都有）

　　4.2、战略、合规驱动导向加强：

随着国家对信息安全的重视，企业面临来自国家、组织、行业的合规性安全要求越来越多。企业需要积极的实现合规性目标。在建立安全体系时，应充分识别相关的法律、规范等合规性要求，同时要关注行业或同类企业的最佳实践，完善或重新定义企业的风险管理和合规性管理架构。

　　4.3、新技术的应用：

基础架构防护必须积极考虑新技术的运用，以及各个作用层面上适用的安全能力。云计算安全、Anti APT、BYOD、大数据综合分析、数据安全等等都是需要考虑的内容。

　　4.4、数据安全是企业架构的核心：

数据是企业的核心资产，需要进行数据安全架构的设计，围绕数据安全生命周期打造多层防御的信息安全体系。针对当前越来越多的用户信息泄密，可以重点突出“用户隐私”，这个在国外比较重视，有些企业因为用户信息泄密出现CEO等管理团队辞职的情况。

　　4.5、“全线全时”业务安全保障：

为了更有效的控制安全风险，信息、软件和资源的全生命周期安全管理势在必行，需要端对端的“全线全时”业务安全保障。

4.6、打造信息安全生态圈：

企业需要构建一个安全的生态圈，不仅自身的安全很重要，企业的上下游安全也很重要，同时安全管理机构、安全评测机构等相关机构都需要保持充分的沟通和联系，通过广泛的合作来确保企业安全目标的实现。生态圈的管理包括管理制度、流程以及技术手段的建设等。

（五）安全架构样例

在最佳实践的研究上面，下一代安全架构借鉴了EA方法，并对EA架构模型进行了详细的分析和研究。整体安全架构的基本框架变化不大，下一代企业信息安全架构图如下：

（1）、以组织为本，企业信息安全架构同样分作了战略层、管理层、执行层。只有结合到现在的管理架构或优化现有的管理架构，才能更好的推进信息安全工作。所以第一纬度是安全组织的角度分三层考虑。

（2）、执行层主要参考EA的企业架构模型。进行分层设计。包括基础架构安全、应用安全、数据安全、业务安全等。

（3）、架构不是只设计一个框架，后续的架构管控和架构变更也一定是架构设计的一部分重要内容。

待续.......，下次完成最后一部分。