应用软件更要注意安全问题

  在信息系统安全所涉及的方方面面中,有太多东西需要CIO、CSO们特别关注,面对来自各方面的提醒,很多人已经有些麻木了。但是,安全专家还是要再次提醒一下这些负责人,毫无疑问,有充足的理由证明,下面将要探讨的问题应该被列为他们的关注重点,这就是软件安全(也有一些人称为应用安全)。

  CIO要介入软件开发流程

  也许有人会问,这些年作为信息安全主要负责人的CIO、CSO们不是一直在测试应用系统的安全吗?为什么还要说他们根本没有考虑应用软件的安全呢?这里先进行一下解释。

  这些年来,为了信息安全,CIO们的确已经慢慢接近这一层次,比如通过操作系统进入了网络层,最近也开始考虑应用层。但是,这里要说的是,这种“接近”太肤浅了。是的,我们曾经购买了各种各样的安全产品,我们安装了防火墙,安装了入侵检测系统或者入侵防护系统,还有个人防火墙、反垃圾邮件和防间谍软件系统、防病毒等等,我们一直在不停地购买和安装系统,我们希望某个产品或者某个软件组合能够保证我们业务的正常运营。

  但是下面这个事实不可否认,今天我们的经营活动很大程度上是在应用软件的基础上开展的。尽管这些系统本身也在安全方面进行了充分的考虑,笔者也不提倡完全抛弃这些安全措施,但是我们不能希望他们能够提供我们需要的应用软件安全。

  解决这个问题的唯一办法就是尽早动手,亲自参与到软件开发的流程中去,也就是进入软件安全领域,包括软件的设计、开发和软件安全性的测试等。

  根据笔者的经验,由于采用了软件外包,在大型企业中软件开发工作不管是涉及的范围还是开发量都在减少,对企业而言,只要软件满足了这些企业的需求就可以了。因此,在大多数情况下,企业的CIO和软件的真正开发工作联系并不紧密,甚至可以说很少有CIO会真正介入到软件的实际开发过程中,除了在软件已经开发完成即将交付,需要对软件进行所谓的安全测试以外。这时的测试通常是攻击测试(Penetration Test),这正是目前我们在软件安全上做得不好的地方。

  要保证软件的安全,就必须介入到从软件产品开发的早期直到软件的最终结束整个过程。现阶段,我们很难看到有人这么做,而事实上,的确需要这样的工具(或者服务)。

  这听起来很简单但真正做起来却并不容易。这一点比较容易理解,因为在达到这个目标之前所需要跨越的障碍实在太多了。CIO手下的人,即使最合格的信息安全工程师,也很少能说在软件开发上非常精通,他们并不了解究竟有哪些技术能对此提供帮助,而另一方面,对于开发者而言,他们缺乏对现代的软件面对的攻击工具和技术的了解,不具备独立地开发出能够应对这些攻击的软件的能力。

linux

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/wzzdfs.html