投资站点安全

IT@lntel白皮书英特尔IT部门IT最佳实践信息安全2012年1月衡量信息安全投资的价值我们的模型具有一个关键优势,即可以帮助我们分析每项投资在实际IT环境中的整体价值.
MattCarty英特尔IT部门IT金融信息安全专家VincentPimont英特尔软件和服务器事业部金融战略专家DavidW.
Schmid英特尔IT部门IT工程、运营和安全管理人员执行概述英特尔IT部门开发了一种全新的IT安全投资模型,可帮助我们根据具体的业务价值分析在安全方面的投资.
该模型还能够帮助我们客观地向英特尔的金融专家、安全专业人员和业务部门传达该价值.
为了开发基于电子表格的模型,我们将现有模型中的概念与内部最佳实践(包括财务和运营方面)相结合.
该模型的最重要成果是可根据投资所能降低的风险,评估每项投资的经济价值.
它的主要优势在于可以分析每项投资在实际IT环境中的整体价值,而不止是单个投资在个别方面的成果.
例如,当我们在现有的控制方案中增加一项新投资时,便可以预估其带来的新增价值.
其他优势还包括:该模型可应用于任何类型的安全投资,无论是培训还是基于硬件的控制.
支持我们在依次进行多项投资后衡量其累计价值.
从该模型中提取的数据能够以业务人员易于理解的方式呈现.
我们使用模型帮助英特尔IT及其他部门深化讨论.
我们还使用模型分析新的安全计划并研究现有控制措施,以便确定我们哪些领域需要调整战略.
2www.
intel.
com/cn/ITIT@lntel白皮书衡量信息安全投资的价值IT@INTELIT@Intel计划将全球各地的IT专业人员及其我们机构中的同仁紧密联系在一起,共同分享经验教训、方法和战略.
我们的目标十分简单:分享英特尔IT部门最佳实践,获得业务价值并实现IT竞争优势.
如欲了解更多信息,请访问www.
intel.
com/cn/IT或联系您当地的英特尔代表.
业务挑战英特尔IT部门与许多其他机构一样,在分析信息安全投资的价值以及将这些价值传达给金融和业务经理时都面临着挑战.
基于这一点,我们有时候会发现在评估这些投资以及确定投资优先级别时,难以有系统和客观地讨论.
这会令安全专业人员、金融专家和业务部门感到失望.
我们所面临的主要问题是由于决策者本身并不是安全方面的专家,IT部门需要一种有效的方法来分析安全投资的商业价值,并能够以简单易懂的方式向决策者传达这些价值.
目前,整个行业在衡量投资价值方面所采取的措施收效甚微.
基于现有安全数据分析的方法(如感染恶意软件的数量)难以应用到新发现的威胁中;为此,我们常常缺乏硬数据.
由于缺乏这些数据,行业中的安全专业人员在拟定投资时会考虑具体的困难或者依据新闻和行业报告,因而难以真实对比不同方案的价值.
此外,对新投资的价值作孤立的评估正在成为一种常见的做法.
这种方法并没有考虑现有安全环境,即我们已有的控制措施.
如果只作单独考虑,一项新投资可能会极具吸引力,因为它解决了一个极大的威胁问题.
但事实上,我们可能已采取有助于缓解这一威胁的控制措施.
但要真实分析投资为环境带来的结果,我们需要评估其为我们的现有控制措施带来了哪些新增价值.
另外一个挑战是安全投资决策正变得日益复杂.
与其他机构一样,英特尔IT部门已经针对许多重大投资做出了决策.
例如,我们已经在防恶意软件套件、防火墙以及其他防御某些最常见威胁的工具方面投资.
目前,更加隐匿的威胁形成了一种新的趋势,例如社交工程开发盗窃数据.
同时,英特尔IT部门正在采用新的使用模型,如IT消费化,包括使用员工的个人设备.
我们可以单独或联合使用各种不同的方法,来应对新发现的威胁和适应全新的使用模型.
其中包括新的安全技术以及非技术方法,如员工培训和认知宣传计划.
为了全面分析我们的选择,我们需要对这些不同方法的价值加以对比.
由于信息安全预算有限,我们必须确定投资的优先级别,以优化我们的防御产品组合.
我们需要一款工具帮助我们在现有安全环境中根据实际情况来分析和对比安全投资,并以金融专业人员和其他信息安全机构人员或非信息安全机构人员易于理解的方式传达.
我们计划开发一种安全投资模型来实现这些目标.
安全投资模型新的英特尔IT安全投资模型旨在帮助我们评估、对比安全投资并确定安全投资的优先级别,以及帮助我们与金融专家、安全专业人员和英特尔的业务部门共同探讨这些投资的价值.
我们的模型基于一个电子表格,它根据每笔投资可降低的风险为其分配预估的经济价值.
为了开发这一模型,我们将现有模型中的概念与内部最佳实践(包括财务和运营)相结合.
这一模型的主要优势在于可以在现有安全控制措施环境中分析投资的整体成果,而不止是单个投资在单方面的成果.
它可应用于任何类型的安全投资,无论是培训还目录执行概述.
1业务挑战2安全投资模型.
2概念:防御层与威胁类别.
3使用模型.
4成果.
7结论和下一步计划.
8缩略语.
83www.
intel.
com/cn/IT衡量信息安全投资的价值IT@lntel白皮书是基于硬件的控制.
这一模型的另外一个优势是可以用于评估新的和现有的投资.
我们可以衡量新控制措施的价值,即分析将它添加到当前的控制方案中所能进一步减轻的风险.
我们还可以衡量当前的投资组合,以确定哪些领域的表现不尽如人意并需要添加投资.
总之,我们使用该模型来突出需要进一步分析的领域,而不是将其作为投资决策的唯一依据.
在本文中,我们列出了使用假设示例和价值的模型如何重要和英特尔使用这些模型的真实案例.
为了保护英特尔的机密信息,实际的内部财务数据不会在此透露.
概念:防御层与威胁类别该模型使用了防御层概念(如图A所示).
最外层是治理与个人控制措施,其中包括安全策略和认知培训,旨在防止威胁入侵计算环境;最内层是我们的安全响应.
模型假定攻击以线性方式渗透,从外层开始并不断向内侵入,直到被拦截.
在每一层,都会有一定比率的攻击被我们在该层实施的控制措施所拦截,而其他攻击则可以绕过这些措施并渗透到下一层.
可以绕过这一层的攻击的比率被称之为"绕过几率".
假设的绕过几率仅用于说明目的,如图A所示.
可以绕过所有层的攻击的比率即"剩余风险".
我们的最终目标是尽量降低剩余风险.
每一层的安全投资会降低这一层的绕过几率,并降低后面各层的攻击侵入比例,最终降低剩余风险.
在图A中,"平台"层的投资将绕过几率从19%降低至13%,从而将剩余风险从3.
2%降低至2.
1%.
在我们的模型中,我们假设攻击以线性方式侵入,因为它便于计算安全投资的风险和预估价值.
在开发这一模型的过程中,我们与其他安全机构就该假设互相探讨,发现它易于理解和接受.
但是,实际上并非所有威胁都遵循这一形式.
图A.
防御层以及每个防御层的控制措施示例.
数据仅用作举例说明防御层安全编码、安全规范、安全套接层杀毒软件、补丁、系统的最低安全规范应用平台网络物理—数据中心物理访问控制、站点安全治理与个人剩余风险绕过几率当前投资后期投资70%70%63%63%32%32%19%13%11%8%8%5%6%4%3.
2%2.
1%恶意软件攻击策略与标准、风险评估、认知与培训大容量存储监控、入侵检测、主动式和被动式响应文件和数据加密、企业权限管理文件和数据磁盘与备份磁带加密、共享存储访问控制响应防火墙、隔离区、防止数据丢失4www.
intel.
com/cn/ITIT@lntel白皮书衡量信息安全投资的价值模型中的其他主要组件为威胁类别,1具体描述请参见表1,其中包括恶意软件、社交工程、误用和环境问题等.
使用模型以下假设示例介绍了如何使用模型对潜在新投资进行对比并确定优先级别.
我们首先分析当前的环境,计算现有控制措施的价值和成本效率.
这为我们评估新投资的价值提供了基本的信息.
然后我们分析潜在的新投资.
在这一示例中,我们向模型中添加了多个可选的拟定新投资,并比较了他们的价值和成本效率.
在实际环境中,我们将利用这一信息确定安全投资的优先级别.
当前环境第1步.
评估现有控制措施的效用我们首先对现有各层的效用进行评级.
我们将效用定义为被每层的控制措施拦截的攻击的百分比.
效用的评级可以基于现有的可用数据,也可以基于专家观点.
对于在英特尔IT部门内使用该模型的首个应用,我们从英特尔IT部门内的安全主题专家(subjectmatterexpert,以下简称SME)的调查得出评级信息,并要求每名SME对每层的控制措施拦截受到各威胁类别攻击的百分比做出预估.
通过对效用的评级,我们获取了每层的绕过几率以及剩余风险等信息.
在图A的假设示例中,SME将"治理与个人"层内的控制措施针对恶意软件攻击的效用评级为30%;这表明这些控制措施可阻止或拦截30%的威胁,该层的绕过几率为70%.
1威胁类别源自Veris开发的一个框架.
https://verisframework.
wiki.
zoho.
com/Incident-Classification.
html物理层的内的控制措施可拦截剩余70%攻击中的10%;因此在经过物理层后,绕过几率为90%x70%=63%.
随着时间的推移,我们计划使用从环境(信息可用)中直接获取的数据来替代效用评级.
例如,防恶意软件套件可对其检测和拦截到的病毒和其他威胁提供详细的指标.
但是在某些领域,获取硬数据可能并非易事,因此我们可能还会继续依赖于专家观点;例如,可能难以确定某个内部攻击是属于错误还是误用.
第2步.
确定现有控制措施的金融风险和价值构建模型的下一步是为风险和每层的现有控制措施分配经济价值.
我们首先对成功攻击需要保护的信息资产所带来的典型经济损失做出预估.
我们的假设示例注重以下两种具有极高价值的资产类型:个人识别信息和知识产权.
在这一假设示例中,预计所有威胁带来的潜在经济损失为10亿美元.
然后,我们根据威胁的类别来划分总体金融风险,结果显示在图B的饼图中.
比率反映了每种威胁类别所带来的经济损失.
我们根据以往每种威胁类别中攻击的百分比做出评估.
这一信息乃根据客服中心报告、之前的安全调查以及安全工具标准等来源而获得.
在我们的假定示例中,13%的攻击属于恶意软件,因此恶意软件所带来的潜在金融风险预估为10亿美元x13%=1.
3亿美元.
根据这一信息以及第1步中的绕过几率,我们计算出进入每一防御层后的金融风险以及在进入所有层后的剩余风险.
此外,这还使我们容易了解到每层所带来的价值—在进入该层之前和之后的风险差别.
表1.
威胁类别威胁类别威胁特性恶意软件病毒、蠕虫、恶意软件和按键记录软件黑客入侵SQL入侵和拒绝服务攻击误用滥用管理、违反使用策略以及使用未经批准的资产等故意的行为错误错误配置、编程错误和泄露机密等意外的行为物理物理资产被盗、篡改和破坏环境地震和洪水等事件以及断电等基础设施问题5www.
intel.
com/cn/IT衡量信息安全投资的价值IT@lntel白皮书在我们的示例中,治理和个人的恶意软件绕过几率为70%,因此在经过这一层后的金融风险为1.
3亿美元x70%=9100万美元.
将所有威胁类别的价值累计在一起(如图B右上角所示)便会得到经过这一层后剩余的总风险.
图B中清晰地展示了对威胁类别恶意软件的计算;所有类别和层的计算结果显示在图B的底部.
第3步.
评估当前控制措施的成本效率为了优化投资,我们必须考虑控制措施的成本效率以及它们所能减轻的总风险.
我们的模型提供了一个成本效率衡量值来帮助实现这一目标,我们将其称之为乘数:每投资一美元所降低的风险.
这是使用一种类似于投资回报计算的方法来预估.
我们的计算基于每层带来的价值(如果单独应用)—无其他防御层.
除非我们加以调整,否则内层的成本效率肯定低于外层.
这是因为它们降低的风险没有外层多,许多攻击已经被外层拦截.
我们用每层的效用比率(第1步中所述)乘以总金融风险得出这一值.
我们将所有威胁类别的值加在一起即获得了单独应用时所有层带来的总风险,如表2所示.
成本效率计算中的成本要素是每年为各层分配的预算.
在我们的示例中,平台层的预算为500万美元.
为了计算这一乘数,我们首先从减轻的风险价值中减去预算,得出投资带来的价值.
然后用预算除以该值.
在示例中,平台层的乘数是131.
恶意软件的潜在金融风险绕过几率后期投资(单位:百万美元)治理与个人70%91.
0物理63%81.
9网络32%41.
0平台19%24.
6应用11%14.
7大容量存储8%10.
3文件和数据6%8.
3响应3.
2%4.
1恶意软件恶意软件占13%1.
3亿美元黑客入侵占17%1.
7亿美元社交工程占24%2.
4亿美元误用占33%3.
3亿美元物理占4%4000万美元环境占1%1000万美元错误占9%9000万美元总潜在金融风险=10亿美元个人识别信息+知识产权风险恶意软件的潜在风险分配=1.
3亿美元总潜在经济损失(10亿美元)x威胁的可能性(13%)威胁类别的潜在金融风险分配与总剩余风险(单位:百万美元)威胁类别(潜在金融风险)总剩余风险防御层恶意软件黑客入侵社交工程误用错误物理环境治理与个人91.
0132.
0168.
0198.
051.
024.
07.
0671.
0物理81.
992.
4134.
4138.
640.
84.
83.
5496.
4网络41.
046.
294.
1110.
932.
62.
93.
2330.
9平台24.
627.
775.
366.
519.
62.
32.
9218.
9应用14.
716.
667.
739.
95.
91.
82.
6149.
2大容量存储10.
313.
361.
031.
94.
10.
90.
8122.
3文件和数据8.
312.
042.
722.
43.
30.
30.
689.
6响应4.
110.
821.
311.
21.
70.
20.
349.
6图B.
我们为风险和各防御层的现有控制措施分配经济价值.
风险评估基于历史数据并在饼图中以百分比显示.
数据仅用于举例说明6www.
intel.
com/cn/ITIT@lntel白皮书衡量信息安全投资的价值表2.
对比防御层的成本效率(单位:百万美元)防御层减轻的风险预算乘数治理与个人671.
02335物理736.
51736网络680.
53226平台659.
05131应用657.
52328大容量存储785.
56130文件和数据739.
51739响应577.
05114最高效表3.
新拟定投资后每层在阻止攻击方面的效用绕过几率防御层当前投资后期投资治理与个人70%70%物理63%63%网络32%32%平台19%13%应用11%8%大容量存储8%5%文件和数据6%4%响应3.
2%2.
1%剩余风险3.
2%2.
1%分析新投资除了以上的第1–3步外,评估新投资的价值还需要以下这些步骤.
第4步.
评估新投资的效益如第1步所述,我们的SME在拟定投资后再评定其效益.
每个类别的绕过几率计算结果如表3所示.
第5步.
计算每项新投资的价值为了估算每项拟定投资的经济价值,我们计算了其可以降低的剩余风险.
为此,我们计算了投资前后剩余风险的差异:即投资所能够减轻的风险.
图C基于我们的假设示例,列出多个不同层内的潜在投资价值的对比.
表中的值(图C,左侧)基于单独应用每项投资,而并非累计投资.
该表还可以帮助我们对比每项投资对不同类型威胁的效用.
如图C所示,投资A(治理与个人防御层)具有最高整体价值(它尽量减轻了风险),这主要是因为在阻止社交工程攻击时其效率最高.
在我们的示例中,为了防止社交网站上的机密信息意外泄漏,投资使用了全新的战略,其中包括员工培训和可主动监控外部站点的第三方服务.
这一战略可在很大程度上降低风险,尤其是社交工程攻击不断增长而企业并没有部署充足的控制措施来阻止这些攻击时.
第6步.
评估每项新拟定安全投资的成本效率我们根据新投资降低的风险以及所需的实施预算,使用上述第3步中的类似计算来评估每项新投资的成本效率.
表4对图C中显示的各项拟定投资的成本效率对比.
投资A(治理与个人层)的乘数最大,这表明其成本效率最高.
总剩余风险(单位:百万美元)威胁类别总体不断降低的风险恶意软件黑客入侵社交工程误用错误物理物理投资A(治理与个人)∞投资B(文件和数据)投资C(响应)投资D(网络)投资E(平台)1.
21.
415.
27.
51.
10.
10.
226.
71.
02.
46.
18.
01.
20.
10.
018.
80.
84.
88.
54.
5———18.
6——9.
27.
01.
00.
20.
117.
5———3.
70.
60.
1—4.
4最高整体价值∞表中显示了对单个防御层的一项投资.
事实上,一项投资可应用于多层,或多项投资可应用于一层.
图C.
计算累计投资可能会出现降低经济回报的结果,如图片右侧部分所示.
首先对"治理与个人"层投资.
每项投资都会降低部分风险,在实施这些投资时我们从最高层开始,逐渐向最低层过渡.
数据仅用于举例说明0.
51.
01.
52.
02.
53.
0平台网络响应文件和数据个人与治理累计降低的风险(单位:百万美元)累计降低的风险x预算x成本效率乘数7www.
intel.
com/cn/IT衡量信息安全投资的价值IT@lntel白皮书表4中显示的所有新投资的乘数都远远小于图C中显示的现有环境中的乘数.
这是因为表4仅考虑了一项新安全投资对已有控制措施新增的价值,而图C则考虑了在缺乏任何其他控制措施时整个层所带来的价值.
步骤7.
评估累计实施拟定投资的效用和成本效率为了能够尽量降低风险,我们可能需要作多项安全投资.
我们的模型支持我们在按顺序进行多项投资后评估其累计价值.
图C右侧的图表基于我们的假设示例,显示了一种可能的结果.
首先对"治理与个人"层投资.
每项投资都可降低一部分的整体风险,让随后的下一项投资面临较低的风险,因此连续投资可能会降低经济回报,如图C所示.
不过这也可能实现相反的效果:之后的投资可能会比之前的投资产生更高的回报.
当一项安全投资能够为可带来更高价值的其他投资奠定基础时,即属于这种情况.
其中企业权限管理(enterpriserightsmanagement,以下简称ERM)即是其中一个示例,该功能在"文件和数据"层通过加密保护信息,并且是其他功能的基础.
这些功能包括数据丢失防护(datalossprevention,以下简称DLP)技术,它可以检测是否有人将机密文档传输至机构外的接收人,并可利用ERM保护传输之前的文档.
DLP有助于减轻社交工程、误用和错误等类别的威胁,进而带来可观的价值.
成果我们已经开始使用我们的模型来分析重大的安全投资,并推进与财务经理和业务部门的讨论.
我们正将模型应用于新的和现有安全投资中.
分析新投资我们使用模型来分析访问管理架构的重建,此架构是我们在英特尔IT部门中实施新安全战略的重要组成部分.
重建可带来业务优势,例如帮助更快适应新的使用模型和设备,包括具有不同安全级别的消费类设备.
重建需要按顺序部署多个新组件—第一个架构中其它组件所必需的身份与访问管理基础组件.
单独来看,这一基础组件是架构中最昂贵的组件,但是并未在很大程度上降低风险.
但是,当我们对整个投资顺序建设模型便可清楚看到实施这一基础组件可以让后续添加的新功能在风险降低和成本效率上取得更多收益,如图D所示.
这些基础组件包括一个单点登录系统、一个可提供硬件增强型安全访问的网关以及可通过智能手机和笔记本电脑简化访问的特定应用.
表4.
比较拟定的新投资的成本效率(单位:百万美元)投资(防御层)不断降低的风险预算乘数投资A(治理与个人)26.
5126投资B(文件和数据)18.
9118投资C(响应)18.
6118投资D(网络)17.
435投资E(平台)4.
321最高效风险降低模型分析风险降低累计降低的风险减轻的风险设备网关硬件单点登录身份访问管理基础组件智能手机笔记本电脑3x71x84x90部智能手机156台笔记本电脑单独来看,这一基础组件并未在很大程度上降低风险.
但是模型显示实施这一基础组件可让后续添加的新功能取得更多收益.
–+图D.
后续投资的价值和成本效率模型.
数据仅用于举例说明∞我们认为这是一个可为IT投资分析提供帮助的模型.
但是您必须根据您机构的价值做出您自己的决策和假设,并了解如何将这一工具应用至您的实际情况中.
对于此金融分析工具或其效果,英特尔不做任何陈述和担保.
本文仅用于参考目的.
本文以"概不保证"方式提供,英特尔不做任何形式的保证,包括对适销性、不侵权性,以及适用于特定用途的担保,或任何由建议、规范或范例所产生的任何其它担保.
英特尔不承担因使用本规范相关信息所产生的任何责任,包括对侵犯任何专利、版权或知识产权的责任.
本文不代表英特尔公司或其它机构向任何人明确或隐含地授予任何知识产权.
英特尔和Intel标识是英特尔在美国和/或其他国家的商标.
*其他的名称和品牌可能是其他所有者的资产.
英特尔公司2012年版权所有.
所有权保留.
C请注意环保0112/ER/KC/PDF326405-001CN缩略语DLP数据丢失防护ERM企业权限管理SME主题专家这有助于展示基础组件的价值.
它显示了初始投资的重要,虽然随后按顺序实施其他组件能够将风险将至更低.
分析现有管理继续分析我们现有环境的效用非常重要.
一个主要的原因是由于安全管理的效用通常会随着时间的推移而降低,其中部分原因是由于攻击者不断采用新技术来击败它们.
通过使用模型对现有环境进行全面的分析后证实了我们的怀疑,即我们的响应功能确实非常强大(如高乘数所示).
对于具有较低乘数的其他层,我们认为值得对其继续研究,以确定特定的控制措施的效用是否正在降低.
作为此次分析的结果,我们在得分较低的层内对管理按目录分类、记录具体原因并对投资给出建议.
结论和下一步计划我们开发了一个安全投资模型,这是一个极具价值的工具,可根据其商业价值对安全投资分析、对比并确定安全投资的优先级别.
模型可帮助推动与金融专家和英特尔业务部门举行系统化的数据驱动型讨论.
∞它还提供了可帮助回答关键问题的洞察信息,例如:特定层内一般的投资回报是多少特定威胁的剩余风险是多少哪项增加的投资可尽量降低风险哪项增加的投资可实现最高利润回报,即具有最大乘数如欲了解有关英特尔IT部门最佳实践的更多信息,请访问:www.
intel.
com/cn/it随着时间的推移,我们计划进一步增强模型,以提升其为英特尔带来的价值.
例如,我们计划根据从信息可用IT环境中直接获取的数据替代效用评级.
防恶意软件套件提供了大量标准,我们可以将其应用于模型之中.
我们还部署了商业智能工具来提供具体的详细信息,例如环境中受影响的系统数量.
在其他情况中,我们可以调整现有管理工具(如客服中心软件),以便它们生成的信息与模型中的类别和层保持一致.