在過去18到24個(gè)月中，黑客的網(wǎng)絡(luò)攻擊行為已經(jīng)發(fā)生了變化，攻擊者使用病毒、木馬以及其他攻擊方式來誘使員工在安全防線后面安裝惡意軟件，從而獲取和傳輸重要數(shù)據(jù)。很多企業(yè)都不知道從何下手，并且用于解決影響較低的漏洞的資源很稀缺，這最終將讓關(guān)鍵數(shù)據(jù)陷于危險(xiǎn)之中。另外，應(yīng)該采用監(jiān)管控制來保護(hù)靜態(tài)數(shù)據(jù)。

對于管理以數(shù)據(jù)為中心的漏洞，這里提供了以下五個(gè)技巧：

1、通過按優(yōu)先順序排列數(shù)據(jù)以最大限度地利用資源和作出正確的決策：任何數(shù)據(jù)丟失都可能對企業(yè)的聲譽(yù)造成嚴(yán)重影響。以數(shù)據(jù)為中心的漏洞管理方法能夠幫助企業(yè)避免破壞性安全事故的發(fā)生，解決信息安全合規(guī)需求和控制安全總成本。企業(yè)應(yīng)該分配一定資源來修復(fù)漏洞，幫助保護(hù)最重要的數(shù)據(jù)、企業(yè)及其聲譽(yù)。關(guān)鍵數(shù)據(jù)可以包括客戶名單、商業(yè)計(jì)劃、商業(yè)機(jī)密和信息安全標(biāo)準(zhǔn)和法規(guī)上規(guī)定的其他重要信息。

2、以數(shù)據(jù)為中心的漏洞評估：當(dāng)發(fā)現(xiàn)有太多“高風(fēng)險(xiǎn)”漏洞，而且不知道每一個(gè)漏洞的影響時(shí)，企業(yè)很難判斷應(yīng)該先解決哪些漏洞。通過以數(shù)據(jù)為中心的漏洞評估，就能夠?qū)β┒吹膬r(jià)值進(jìn)行評估，這樣就能夠按照重要程度來解決漏洞。

3、需要進(jìn)行全面的持續(xù)的數(shù)據(jù)評估：根據(jù)Verizon的數(shù)據(jù)泄露調(diào)查報(bào)告，在安全事故和受害人缺乏對其操作環(huán)境（尤其是對于信息資產(chǎn)的存儲和狀態(tài)）的了解之間存在很強(qiáng)的聯(lián)系。所以我們認(rèn)為知道你的數(shù)據(jù)在哪里能夠幫助你預(yù)防這些類型的安全泄露事故。安全評估計(jì)劃應(yīng)該要有一個(gè)“自上而下”的組件來檢查數(shù)據(jù)保護(hù)的情況，還有一個(gè)“自下而上”的組件來檢查已經(jīng)部署的措施的情況。

4、必須考慮所有數(shù)據(jù)點(diǎn)：威脅和漏洞評估方法應(yīng)該擴(kuò)大到所有端點(diǎn)以及所有形式的數(shù)據(jù)保護(hù)：1）業(yè)務(wù)路徑：代表數(shù)據(jù)的生命周期；2）技術(shù)路徑：數(shù)據(jù)滿足業(yè)務(wù)需求的路徑；3）物理路徑：確認(rèn)位于業(yè)務(wù)路徑和技術(shù)路徑以外（例如打印內(nèi)容和移動媒體）的數(shù)據(jù)情況。

5、安全計(jì)劃應(yīng)該保護(hù)所有形式的數(shù)據(jù)：傳統(tǒng)的安全評估可能只考慮了數(shù)據(jù)安全的一部分，可能錯(cuò)過了可能泄露數(shù)據(jù)的明顯的漏洞。安全計(jì)劃應(yīng)該能夠體現(xiàn)一系列保護(hù)數(shù)據(jù)的政策和標(biāo)準(zhǔn)。例如確定企業(yè)內(nèi)所有權(quán)和管理責(zé)任的數(shù)據(jù)分類政策，以及涵蓋數(shù)據(jù)保存和銷毀的政策和標(biāo)準(zhǔn)等。

IT領(lǐng)導(dǎo)者和安全領(lǐng)導(dǎo)者需要做出明確的決定來促使企業(yè)努力靠近其業(yè)務(wù)目標(biāo)，以數(shù)據(jù)為中心的漏洞管理方法讓企業(yè)更加接近業(yè)務(wù)，這種方法能夠幫助企業(yè)避免安全泄露事故、維護(hù)聲譽(yù)和遵守信息安全法規(guī)，以及控制整體安全成本。