俗話說："道高一尺，魔高一丈"，IT系統的安全性問題之所以讓企業頭疼，是因為指望通過一種方法或者一個安全軟件，一勞永逸地解決所有安全問題是不可能的。安全性問題永遠都存在，而且會不斷出現新的問題，這需要企業始終保持警惕。
安全事件回放暴露嚴峻問題
2007年剛剛到來不久，很多企業就被一只憨態可掬，頷首敬香的"熊貓"侵襲，這只"熊貓"就是兩個多月來蔓延網絡世界的"熊貓燒香"病毒。
2006年12月，幾名竊賊從波音公司一名員工的辦公桌上偷走了一臺筆記本電腦，其中載有38.2萬名現有和退休員工的個人信息（包括社會安全號碼和家庭住址在內）。
2006年5月，一伙盜賊從一名美國退伍軍人事務部工作人員的家中偷走了一臺筆記本電腦和硬盤，其中裝有2650萬名退伍和現役軍人的出生日期和社會安全號碼。
類似的例子不勝枚舉，不論是病毒、數據丟失，還是垃圾郵件等等企業IT系統的安全性問題，都給企業敲響了警鐘。其實，IT系統的安全性一直是企業信息化過程中最為關注的問題，但也是他們認為最為棘手的問題之一。IBM在2005年和2006年對企業信息安全主管的兩次調查都顯示，信息安全始終在企業關心的問題中排名首位。
《Information Week》研究部和埃森哲咨詢公司在2006年合作進行的第九年度"全球安全調查"中顯示，在中國，有23%的公司表示其客戶數據安全受到威脅，另有27%的公司遭受了身份竊取形式的攻擊。受訪的2193名安全專家和商業科技經理中有48%的人表示：對安全的復雜性進行管理已成為當務之急。
在《Information Week》和《Optimize》聯合發布的《2007年展望》中，將反黑客列為2007年CIO的重點工作。超過半數的IT經理表示，升級安全業務流程及安全軟件是今年的戰略重點。保護數據安全也是他們2007年比較重視的一件問題，數據加密軟件將一下子變得炙手可熱，因為有38%的企業將之列入今年計劃部署的軟件項目清單。
不久前，Gartner發布了年度安全軟件市場增長評估報告，報告稱2006全年，安全軟件的銷售額為82億美元，并預測2007年，銷售額將增長10.7%。但該報告同時指出，除了傳統的基于簽名的防病毒技術之外，IPS（入侵防御系統）、網絡行為監控工具和NAC（網絡訪問控制）等更為主動的防御應用將發揮更大作用。
網絡安全的舊麻煩新問題
就"熊貓燒香"病毒肆虐網絡事件來看，今年企業在信息安全問題上不能有絲毫松懈。Websense公司發布的2007年安全預測也顯示：網絡犯罪、Web 2.0帶來的安全問題將是今年最大的安全威脅。從報告中我們總結出了2007年關于企業IT系統安全的5點最值得關注的問題：
一、垃圾郵件、電腦病毒等傳統的安全問題依然是CIO需要防范的。據說，2004年，比爾·蓋茨（Bill Gates）在瑞士參加 "世界經濟論壇"的一場討論會時，曾對與會人員許下承諾："從現在起的兩年時間里，垃圾郵件問題將得到解決。"但是2006年9月，賽門鐵克公司（Symantec）發布的第10期《互聯網安全威脅報告》顯示，垃圾郵件仍然是困擾很多企業的一大難題。而Gartner最新的報告也預測，2007年銷售的安全軟件中將有53.8%，約為49億美元的銷售額屬于反病毒軟件廠商，比如賽門鐵克、McAfee、Trend Micro、Sophos、卡巴斯基、Panda、微軟和CA等。所以2007年，垃圾郵件和病毒仍然不可避免。
二、2006年，雖然"反流氓軟件聯盟"在與雅虎中國、中搜、千橡等的"流氓軟件"官司中，均因證據不足敗訴，但是它的成立，說明了流氓軟件（廣義上也可以說是惡意軟件）的危害已經到了一定的程度。在一場防治流氓軟件的研討會上，國家計算機病毒應急處理中心主任張健將四處泛濫的流氓軟件直斥為"危及全球軟件用戶的一大公害"， 賽門鐵克于2006年9月發布的《互聯網安全威脅報告》中也指出，在報告的前10大安全風險中，有8個是廣告軟件程序。Gartner于近期公布的2007年和以后幾年全球IT行業所作的十項預測中，有一項預測就是："到2007年年底，全球75%的企業將受到惡意軟件的感染"。由于流氓軟件具有一定的實用價值，處在合法軟件和電腦病毒之間的灰色地帶，CIO們更應該嚴加防范。
三、CIO的反黑客之戰似乎永無寧熄之日，而且黑客一般和病毒"狼狽為奸"，很不好對付。《Information Week》和《Optimize》聯合發布的《2007年展望》中顯示："超過半數的IT經理表示，升級安全業務流程及安全軟件是今年的戰略重點。"雖然這個數字無法和2年前的82%相提并論，但是黑客仍然是CIO們2007年的一大敵人。
四、信息是企業資產的一部分，現在的信息海量增長，數據安全是企業越來越重視的一個問題。而且，美國薩班斯法案的出臺，讓企業對信息的管理更加重視，在信息管理方面，《薩班斯法案》強調了三個核心內容：即信息的完整性、信息的保密性和要求信息能夠在適當的時間以適當的格式被訪問。中國企業的信息安全意識也在慢慢加強，保護企業數據安全是CIO們2007年的一大職責。
五、Web 2.0站點正在不斷增長，這類站點的特色是內容不斷變化，這種特點決定了Web2.0不僅監控非常困難，而且很難確保相應的安全。因此，Web 2.0站點在攻擊面前顯得特別脆弱。
許榕生：安全意識最重要

中科院高能物理所計算機中心研究員許榕生

那么，面對不斷襲來的安全威脅，除了購買安全產品以外，我們還應該做些什么呢？中科院高能物理所計算機中心研究員許榕生就指出："安全意識最重要！"
徐榕生談到："安全設施的建立只是企業信息安全的第一步，如何在構建完成的安全體系中有效徹底的貫徹事先制訂的信息安全策略以及不斷深化企業的全員信息安全意識將處于更加重要的地位。光靠技術不能完全解決安全問題，因為過了一段時間，一些先進的技術可能就過時了，所以企業的管理者應該有安全意識，重視自己企業的安全措施。這些安全措施包括，培養員工的安全意識，讓員工養成良好的上網習慣，比如及時打好系統補丁、不要瀏覽不良網站、不隨意下載安裝來歷不明的軟件等等；對相關的技術管理人員進行培訓也很重要，比如公司的網絡管理員，每天戰斗在第一線，沒有及時的技術知識更新是不能勝任這個工作的；另外，對于重要數據，一定要做好數據備份，一些重要數據一旦沒了，會導致災難性的后果。"
目前，很多公司都采用了設置操作系統權限的方式來管理員工電腦。用戶沒有安裝任何軟件和修改注冊表的權力，也沒有使用系統盤的權力，這是一種比較有效的手段。在這方面，左丹奴集團的CIO侯彤的經驗之談是：系統和軟件都是統一安裝的，這樣可以大大減少非法侵害。