计算领域在不断变化，如何才能更为系统地进行管理和保护数据呢?

　　每个新年都让我们有机会评估一下现有的安全计划，调整一下明年的策略。许多首席信息安全官正在面对相似的问题，其中包括应对出现变化的威胁以更好的支持日益普及的社交技术、员工自购的移动设备和云计算服务。Forrester的研究显示，安全人员面对的主要挑战都与公司的定位和协调有关。比如说，许多高级商业和IT管理人员要求首席信息安全官更好的支持公司的商业和IT目标，这就要求安全团队需要进行定期的交流与提高。

　　除了为安全主管列出2011年应当重点关注的领域外，Forrester还针对目前市场上的安全发展趋势列出了一些安全策略建议。建议主要集中在以下三个方面：(1)完善管理架构;(2)更成熟的安全程序;(3)提高分析与报告能力。

　　完善管理策略，支持公司发展趋势

　　社交、移动和云技术已经成为了公司大发展趋势的一部分，推动着创新和商业改革。安全已经不再是阻碍或制约这种动力的力量。对于安全主管来说，现是应当想办法降低风险，让安全与公司和谐共存。这意味着安全主管需要：

　　*为社交技术应用做好准备。社交媒体应用就像一列飞驰而来的火车，如果我们没有为此做好准备，我们将被火车重重的撞倒。Forrester调查显示，社交媒体网站的人数每天访问都在激增， 2008年的增长率为11%，2010年的增长率由升到了30%。社交媒体技术的应用使得感染恶意软件和数据泄露(无论是故意还是无意)的风险增加。各种社交媒体管理规定有着很大的差异，但是重要的是除了技术控制、程序检查和人们对风险的意识外，还要有一个管理策略和管理细则

　　*帮助公司完善管理云服务的策略。目前云计算已经开始被普及，安全主管应当加大对数据安全和管控风险的关注力度。与此同时，他们还应当建议如何降低数据泄露的风险。

　　*在后PC时代主动支持移动性。随着平板电脑、电子书阅读器和智能手机的出现，台式机、笔记本和上网本已经相形见绌，安全和风险管理专家必须要采取措施控制住日渐混乱的办公环境，同时还要保持员工们的灵活性和创新主动性。

　　完善现有程序，提升数据保护能力

　　对于首席信息安全官们来说，在2011年的一个主要任务是理解和评估公司程序的完善程度。由于威胁出现变化，许多安全专家发现现有的程序并不完善或不充分。许多首席信息安全官正在制订更为严格有效的管理规定，以符合NIST、 ITIL和ISO 27001等标准。尽管更为完善的安全程序需要涵盖各个安全程序，以下是一些值得考虑的重要动向：

　　*从部署被动式工具转向前瞻性的将工具与程序整合在一起。在近期的调查中，一名安全系统整合商称，他们95%的客户选择部署IPS而不是IDS。尽管这番言论并不让人感到震惊，但是这反应出了一个大趋势：安全专家认识到预防是最好的办法。公司已经开始逐渐避免盲目部署被动式技术，并开始转而部署预防程序和技术，或者让他们的现有技术带有防范功能。

　　*从身份管理转向信息和访问管理。由于公司的重点是确保数据安全，因此安全专家需要认识到管理身份并不能收到很好的成效，访问控制和信息管理才是数据安全的重要组成部分。对用户帐户、访问权限和特权的适当管理和控制都是确保数据不流出公司的最有效办法。

　　*从无效的事故应对计划转向对违规操作的迅速反应。针对违规操作制订一个快速而又全面的反应计划能够有效控制事故苗头，而不会让其继续恶化。由于威胁正变得越来越复杂，应对这些威胁的频繁也越来越高。由于早晚这些威胁都会发展成安全事故，因此安全专家应当做好准备。

　　打造用于强化能见度、可测量性和决策的分析能力

　　许多首席信息安全官承认从源源不断的数据流中寻找相关信息如同大海捞针。首席信息安全官需要确保可测量性和报告专注与决策的三个层面：操作、风险、以公司为中心。每一个层面都需要不同类型的数据。一旦安全专家开始评价他们的环境，它们可以参照一下行业标准：

　　*针对决策，用相关信息教育风险员工。避免不使用任何正式的风险管理规定进行识别、分析和风险评估。这可帮助减少低估或夸大风险的机率。记住，首席信息安全官的工作是评估公司面临的风险，公司负责在可接受的风险水平内做出最终的决定。

　　*用业务和财务指标展示安全的价值所在。记录公司高管和董事会成员不关注的安全团队运作指标尤为重要。他们对公司面临的总体风险可能根本不怎么关心。实际上，许多高管能够充分理解一些安全投资根本没有什么投资回报率，他们会通过看这些指标以确定风险架构和模式是否成熟，以借此理解投资是如何改变他们面临的风险处境的。

　　*通过验证和测试强化安全管理。部署一个安全技术很容易，但要确保该技术持续不间断的运行则困难的多。一家公司由于SIEM(安全信息和事件管理)的一个规则被错误配置，虽然公司向SIEM工具发送了大量的警报和事件，但是还是被攻击了。在黑客的攻击中，这些工具甚至没有进行监控。许多首席信息安全官报怨，他们根本无法从海量信息中筛选出他们需要的信息，因此他们转而借助于SIEM工具的相关一些功能进行管理。除非你测试并验证过这些控制，否则即便是全球最安全的技术也没有用处。