什么是安全控制?
黑蓝背景
安全控制

了解安全控制如何帮助保护您的数据和 IT 基础架构,并查找资源和最佳实践,以在您的组织中开发和实施安全控制。


什么是安全控制?

安全控制是通过实施的一些参数来保护对您的组织而言重要的各种形式的数据和基础架构。 为避免、检测、缓解或最小化安全风险,针对实物资产、信息、计算机系统或其他资产所实施的任何类型的保障或对策,都属于安全控制。

如今,随着网络攻击的不断增加,安全控制比以往更加重要。 马里兰大学 Clark School 的一项研究将表明,在美国,平均每 39 秒就发生一次网络安全攻击,每年影响三分之一的美国人;其中 43% 的攻击目标的是小型企业。 2018 年 7 月至 2019 年 4 月期间,美国数据违规平均成本高达 820 万美元

同时,数据隐私法规越来越多,因此企业必须加强其数据保护政策,否则将可能面临相应处罚。 欧盟去年已实施严格的通用数据保护条例 (GDPR) 规定。 在美国,加利福尼亚州消费者隐私法案于 2020 年 1 月 1 日生效,此外,还有其他若干州正在考虑推出类似的措施。。

这些法规通常规定,公司不满足所述要求将面临严厉的处罚。 例如,Facebook 最近报告称,预计美国联邦贸易委员会将针对 Facebook 缺乏数据保护政策而导致多起数据违规事件提出超过 30 亿美元的罚款。


安全控制的类型

安全控制有几种类型,通过实施这些措施,可以保护硬件、软件、网络和数据,以防受到可能导致损失或损害的操作和事件的影响。 例如:

  • 物理安全控制包括数据中心围栏、锁、门卫、门禁卡、生物识别门禁系统、监控摄像头、侵入检测传感器等。
  • 数字安全管制包括用户名和密码、双重身份验证、防病毒软件、防火墙等。
  • 网络安全控制包括任何专门设计用于防范数据供给的手段,包括 DDoS 缓解和入侵防御系统。
  • 云安全控制包括您与云服务提供商合作采取的措施,以确保对数据和工作负载实施必要的保护。 如果您的组织在云端运行工作负载,您必须满足其企业或业务策略安全要求行业规定。

安全控制框架和最佳实践

安全控制系统,包括用于定义这些控制的实施和持续管理的流程和文档,统称为框架或标准。

借助框架,组织能够根据普遍接受并经过检验的方法,跨不同类型的资产实施一致的安全控制管理。 一些著名的框架和标准包含:

美国国家标准技术研究院网络安全框架

美国国家标准技术研究院 (NIST) 于 2014 年制定了一个自愿框架,为组织提供关于如何防范、检测和应对网络攻击的指导。 这些评估方法和程序用于确定组织的安全控制实施是否正确,是否正常发挥作用,并达成所需结果(符合组织的安全要求)。 该 NIST 框架一直在不断更新以与网络安全进步保持同步。

互联网安全中心控制措施

互联网安全中心 (CIS) 制定了一个高优先级防御措施列表,为每个想要防范网络攻击的企业提供一个“必须做、优先做”起点。 制定 CIS 控制措施的 SANS Institute 表示:“CIS 控制措施之所以有效,是因为这些措施是根据主要威胁报告重点指出的最常见攻击模式设计出来的,并且经过了众多的政府和行业从业者的审查。”

组织可以参考这些措施和其他框架来开发他们自己的安全框架和 IT 安全政策。 一个完善的框架确保组织能够做到以下几点:

  • 通过安全控制强制实施 IT 安全政策
  • 向员工和用户传达安全准则
  • 符合行业与合规规定
  • 通过安全控制提高运营效率
  • 持续评估风险,并通过安全控制解决风险

一个安全解决方案是否强大取决于最薄弱的环节。 因此,您应该考虑多层安全控制(也称为深度防御策略),跨身份和访问管理、数据、应用、网络或服务器基础架构、物理安全和安全智能实施安全控制。


安全控制评估

安全控制评估是一个非常有用的初始步骤,能够确定存在漏洞的位置。 通过安全控制评估,您可以评估现有的控制措施,并确定这些措施的实施是否正确、是否发挥了相应作用并达到了您的安全要求。 NIST 出版了 NIST 特别出版物 800-53 ,作为成功安全控制评估的基准。 NIST 准则作为一种最佳实践方法,可以帮助减轻贵组织发生安全入侵事件的风险。 或者,贵组织也可以制定自己的安全评估

制定安全评估的一些关键步骤包括:

  • 确定目标系统:创建网络中需要扫描的 IP 地址列表。 该列表应包含组织网络中所有连接的系统和设备的 IP 地址。
  • 确定目标应用:列出要扫描的 Web 应用程序和服务。 确定要用于构建现有应用程序的 Web 应用程序服务器、Web 服务器、数据库、第三方组件和技术类型。
  • 漏洞扫描及报告:将所有评估活动告知网络团队和 IT 团队,因为当目标服务器载入请求时,漏洞评估可能会导致网络流量骤增。 此外,在整个组织网络中为扫描程序 IP 获得未经验证的直通权限,并确保这些 IP 在 IPS/IDS 中列入白名单。. 否则,扫描程序可能会触发恶意流量警告,导致其 IP 被封。

继续阅读,了解如何创建自己的安全评估来评估企业应用程序和网络漏洞


安全控制和 IBM Cloud

IBM Cloud 符合严格的政府和行业安全准则和政策,并采取了一些措施来提高物理安全性,这意味着无论您处于腾云之旅的哪个阶段,您都可以放心地实现应用程序现代化
采取下一步行动:

立即创建 IBM Cloud 账户以使用该产品。


相关解决方案

IBM Cloud

IBM Cloud 与 Red Hat 强强联合,提供市场领先的安全性、企业可扩展性和开放式创新,可释放云计算和 AI 的全部潜力。


物理安全体系结构

了解如何保护系统所在的物理基础架构和设施。