2018 RSA 大(dà)會以“ Now Matters (現在很重要)”爲主題。但真的(de)重要嗎？看是誰說的(de)吧……

上個(gè)月(yuè)舉行的(de)RSA大(dà)會上，有個(gè)潛在的(de)討(tǎo)論主題就是IT網絡安全人(rén)員(yuán)可(kě)在與黑(hēi)客的(de)對(duì)抗中占據上風。

防禦者舉足輕重的(de)觀念被大(dà)會主題“ Now Matters ”完美(měi)呈現。而基本前提就是：現在開始行動可(kě)以改善狀況，從現在開始采取正确的(de)方法投入正确的(de)技術，網絡安全的(de)未來(lái)就會更好。

在看起來(lái)無窮無盡的(de)數據洩露、脆弱雲存儲服務和(hé)頻(pín)繁見諸報端的(de)隐私侵犯大(dà)背景下(xià)，一個(gè)又一個(gè)的(de)演講者試圖說服聽(tīng)衆：事情真的(de)沒有看起來(lái)那麽糟糕。

RSA總裁羅希特·蓋伊( Rohit Ghai )在大(dà)會開場(chǎng)主題演講中說道：

“我們來(lái)談談安全社區(qū)是怎麽變強怎麽走得(de)更快(kuài)的(de)吧。當然，新聞頭條是不會寫這(zhè)些的(de)。你不會看到《紐約時(shí)報》撰文描述基于風險的(de)多(duō)因子身份驗證是怎麽阻擋了(le)民族國家黑(hēi)客訪問關鍵數據庫。”

蓋伊稱，IT行業的(de)本質就是這(zhè)樣，最重大(dà)的(de)勝利從來(lái)不會出現在頭版。蓋伊的(de)主題演講基本圍繞“一線希望”展開，點出了(le)IT人(rén)員(yuán)可(kě)以爲自家企業安全所做(zuò)的(de)正面工作。

我們爲“一線希望”所做(zuò)的(de)努力，是不會出現在頭條的(de)。事實上，我們就是在阻止壞事上頭條。

VMware高(gāo)級副總裁兼安全産品總經理(lǐ)湯姆·科恩( Tom Corn )的(de)主題演講與之類似。他(tā)認爲，防禦者面對(duì)攻擊者應有“主場(chǎng)優勢”。他(tā)的(de)觀點是：沒人(rén)能像企業本身一樣對(duì)自家網絡如此了(le)解，而這(zhè)應該是防禦者握有的(de)天時(shí)人(rén)和(hé)地利。

以色列8200部隊(中央情報收集部隊，相當于美(měi)國的(de)NSA)前任指揮官納達維·紮夫裏爾( Nadav Zafrir )表達的(de)基本意思也(yě)是防禦者理(lǐ)應占據優勢地位。

我們知道戰場(chǎng)在哪裏。戰鬥必然在我們的(de)網絡上打響，而我們理(lǐ)應比對(duì)手更清楚我們的(de)網絡。

紮夫裏爾還(hái)提醒參會者，互聯網和(hé)技術的(de)角色不是安全，而是連接性和(hé)改善人(rén)類生活。

現在真的(de)重要嗎？

雖然一些RSA大(dà)會的(de)討(tǎo)論和(hé)演講者表達的(de)是樂(yuè)觀的(de)情緒，悲觀主義者依然存在。阿迪·薩莫爾( Adi Shamir )，RSA加密算(suàn)法三位提出者中的(de)“S”(另兩位分(fēn)别是羅納德·李維斯特( Ron Rivest )和(hé)倫納德·阿德曼( Leonard Adleman ))，在密碼學家小組主題演講中被問到：“在您眼中，網絡安全現在的(de)‘一線希望’是什(shén)麽？”

他(tā)回答(dá)稱：“我眼中網絡安全的(de)一線希望就是我們的(de)工作安全是有保證的(de)。”

IDC的(de)分(fēn)析師們在該公司的(de)年度RSA大(dà)會早餐會上也(yě)對(duì)網絡安全行業當前狀況表達了(le)一定的(de)擔憂。IDC安全産品小組研究負責人(rén)羅伯特·維斯特福爾特( Robert Westervelt )稱，人(rén)們在RSA大(dà)會展廳茫然閑逛，因爲他(tā)們被不同廠商的(de)宣傳搞迷惑了(le)。

維斯特福爾特認爲，廠商的(de)營銷基本不會正确描述他(tā)們實際提供的(de)産品，也(yě)講不清楚他(tā)們的(de)技術可(kě)以爲客戶企業做(zuò)些什(shén)麽。維斯特福爾特在網絡安全市場(chǎng)營銷上的(de)觀點被浏覽器隔離技術廠商Authentic8充分(fēn)呈現。他(tā)們的(de)攤位沒有推銷自己的(de)産品，倒像是在頂著(zhe)明(míng)晃晃的(de)“虛假安全”标簽兜售号稱包治百病的(de)印度神油。

現在很重要

“好事不出門壞事傳千裏”不假，過度宣傳“壞事”也(yě)确實會模糊大(dà)衆視線，甚至讓行業專家也(yě)無法正确理(lǐ)解網絡安全廠商的(de)營銷信息。

撇開這(zhè)些不談，網絡安全成果中沒有宿命論這(zhè)一說。雖然黑(hēi)客會持續找尋門戶大(dà)開的(de)目标，企業也(yě)是可(kě)以采取多(duō)種措施來(lái)限制風險的(de)。

公司企業不用(yòng)把自己定位在“固定标靶”的(de)位置上。現在就采取行動，開始考慮最佳實踐，理(lǐ)解風險，實現風險控制吧！公司企業現在采取的(de)措施真的(de)很重要，關系到未來(lái)的(de)安全狀況。