一、网络安全管理应以数据安全为中心

在过去18到24个月中，黑客的网络攻击行为已经发生了变化，攻击者使用病毒、木马以及其他攻击方式来诱使员工在安全防线后面安装恶意软件，从而获取和传输重要数据。很多企业都不知道从何下手，并且用于解决影响较低的漏洞的资源很稀缺，这最终将让关键数据陷于危险之中。另外，应该采用监管控制来保护静态数据。对于管理以数据为中心的漏洞，这里提供了以下五个技巧：

1、通过按优先顺序排列数据以最大限度地利用资源和作出正确的决策：任何数据丢失都可能对企业的声誉造成严重影响。以数据为中心的漏洞管理方法能够帮助企业避免破坏性安全事故的发生，解决信息安全合规需求和控制安全总成本。企业应该分配一定资源来修复漏洞，帮助保护最重要的数据、企业及其声誉。关键数据可以包括客户名单、商业计划、商业机密和信息安全标准和法规上规定的其他重要信息。

2、以数据为中心的漏洞评估：当发现有太多“高风险”漏洞，而且不知道每一个漏洞的影响时，企业很难判断应该先解决哪些漏洞。通过以数据为中心的漏洞评估，就能够对漏洞的价值进行评估，这样就能够按照重要程度来解决漏洞。

3、需要进行全面的持续的数据评估：.根据Verizon的数据泄露调查报告，在安全事故和受害人缺乏对其操作环境(尤其是对于信息资产的存储和状态)的了解之间存在很强的联系。所以我们认为知道你的数据在哪里能够帮助你预防这些类型的安全泄露事故。信息安全评估计划应该要有一个“自上而下”的组件来检查数据保护的情况，还有一个“自下而上”的组件来检查已经部署的措施的情况。

4、必须考虑所有数据点：信息安全威胁和漏洞评估方法应该扩大到所有端点以及所有形式的数据保护：1)业务路径：代表数据的生命周期；2)技术路径：数据满足业务需求的路径；3)物理路径：确认位于业务路径和技术路径以外(例如打印内容和移动媒体)的数据情况。

5、安全计划应该保护所有形式的数据：传统的信息安全评估可能只考虑了数据安全的一部分，可能错过了可能泄露数据的明显的漏洞。安全计划应该能够体现一系列保护数据的政策和标准。例如确定企业内所有权和管理责任的数据分类政策，以及涵盖数据保存和销毁的政策和标准等。

IT领导者和安全领导者需要做出明确的决定来促使企业努力靠近其业务目标，以数据为中心的漏洞管理方法让企业更加接近业务，这种方法能够帮助企业避免信息安全泄露事故、维护声誉和遵守信息安全法规，以及控制整体安全成本。

随着信息化在企业的深入部署，企业越来越多的业务被放到了互联网上，数据安全也成了企业的重中之重，说数据已经成了企业的命脉也不为过。

因此，企业的网络安全管理者不能只检查数据在应用程序中是如何受到保护的，更应该知道从数据被创建到数据“生命结束”的整个生命周期中应该如何受到保护。

二、值得关注的网络安全热点问题

随着我国互联网新技术、新应用的快速发展，网络安全形势将更加复杂，尤其需要重点关注如下几方面问题：

（一）网站安全面临的形势可能更加严峻，网站中集中存储的用户信息将成为黑客窃取的重点。由于很多社交网站、论坛等网站的安全性差，其中存储的用户信息极易被窃取，黑客在得手之后会进一步研究利用所窃取个人信息，结合社会工程学攻击网上交易等重要系统，可能导致更严重的财产损失。

（二）随着移动互联网应用的丰富和4G、wifi网络的快速发展，针对移动互联网智能终端的恶意程序也将继续增加，智能终端将成为黑客攻击的重点目标。由于Android手机用户群的快速增长和Android应用平台允许第三方应用发布的特点，运行Android操作系统的智能移动终端将成为黑客关注的重点。

（三）随着我国电子商务的普及，网民的理财习惯正逐步向网上交易转移，针对网上银行、证券机构和第三方支付的攻击将急剧增加。针对金融机构的恶意程序将更加专业化、复杂化，可能集网络钓鱼、网银恶意程序和信息窃取等多种攻击方式为一体，实施更具威胁的攻击。

（四）APT攻击将更加盛行，网络窃密风险加大。APT攻击具有极强的隐蔽能力和针对性，传统的安全防护系统很难防御。美国等西方发达国家已将APT攻击列入国家网络安全防御战略的重要环节，2012年APT攻击将更加系统化和成熟化，针对重要和Z敏感信息的窃取，有可能成为我国政府、企业等重要部门的严重威胁.

（五）随着ICANN正式启动新通用顶级域名（gTLD）业务，新增的大量gTLD及其多语言域名资源，将给域名滥用者或欺诈者带来更大的操作空间。

（六）随着宽带中国战略开始实施，国家下一代互联网启动商用试点，以及无线城市的大规模推进和云计算大范围投入应用，IPv6网络安全、无线网安全和云计算系统及数据安全等方面的问题将会越来越多地呈现出来。