文档介绍：木桶新理论与信息安全1、传统木桶理论2、、、总结1、传统木桶理论_a说到木桶理论,可谓众所周知:一个由许多块长短不同的木板箍成的木桶,决定其容水量大小的并非是其中最长的那块木板或全部木板长度的平均值,而是取决于其中最短的那块木板。要想提高木桶整体效应,不是增加最长的那块木板的长度,而是要下功夫补齐最短的那块木板的长度。这个理论由谁提出,目前已经无从考究了,但是这个理论的应用范围却是十分广泛,从经济学、企业管理到人力资源到个人发展。1、传统木桶理论_b同样这个理论也被引进了安全领域,在信息安全中,认为信息安全的防护强度取决于“马奇诺防线”中最为薄弱的一环,因此出现的一个状况是发现哪个安全问题严重就买什么样的产品。这个理论意义在于使我们认识到整个安全防护中,最短木块的巨大威胁,并针对最短木块进行改进。但是,….1、传统木桶理论_c根据这个理论,我们会发现有些企业找出安全防护中的最短木块,并买了很多安全产品进行防护:发现病毒对企业影响很大,就买了最好的反病毒软件,发现边界不安全,就用了最强的防火墙,发现有***,就部署了最先进的IDS。这其实只是一种头痛医头,脚痛医脚的做法,是治标不治本的方法。所以实施后,安全问题还是很多,有人曾形象地说“洞照开,虫照跑,毒照染”。2、新木桶理论根据最新的分析,传统的木桶理论存在一定的缺陷。实际上,我们可以看到一个木桶能不能容水,容多少水,除了看最短木板之外,还要看一些关键信息:1、这个木桶是否有坚实的底板,2、木板之间是否有缝隙。,除了木桶中长板、短板,木桶还有底板。正是这谁也不太重视的底板,决定这只木桶能不能容水,能容多大重量的水。这只底板正是信息安全的基础,即企业的信息安全架构(InformationSecurityArchitecture)、制度建设和流程管理。对于多数企业而言,目前还没有整体的信息安全规划和建设,也没有制度和流程。信息安全还没有从整体上进行考虑,随意性相当强。这就需要对企业进行一次比较全面的安全评估,然后结合企业的业务需求和安全现状来做安全信息架构和安全建设框架,制订符合企业的安全制度和流程。,信息安全制度不是没有,也不是不完备,最大的问题在于执行不力。前段时间曾和国内运营商中负责信息安全的人聊到,目前在大型企业和运营商中,安全的最大问题是无法贯彻执行企业的安全政策和流程。所以一位在运营商负责安全的朋友说:“安全是一把手工程,只有得到领导的强有力支持,才可能把安全策略进行推广;安全是全民工程,只有全民参与,才能有效地贯彻安全策略和制度。”,由于企业不断发展,安全是动态变化的,因此也就需要我们不定期的检查信息安全这个“木桶“的桶底是否坚实,一个迅速长大的企业,正如一只容纳了相当水量的木桶,越来越大的水容量将构成木桶底板的巨大挑战。特别是目前新技术,新产品发展迅速,WLAN、3G的出现和使用都可会增加对安全这个木桶底板的压力,如果不时时关注底板,最后可能因为”不能承受之重“而导致所有的蓄水都丢失。,在客户端联网之前进行安全策略检查,如果不符合企业的安全策略,则对该机器进行隔离;只有对符合企业策略的系统,才允许它联网使用。这样就能够强制用户执行企业安全策略。