在经历了病毒的肆虐、黑客攻击的扫荡，防病毒、防黑客成为安全的主旋律，成为安全体系建设的首选目标。当铺天盖地的广告、无孔不入的病毒、大规模的网络钓鱼和间谍软件随着垃圾邮件一起涌入我们的网络之后，防垃圾邮件成为安全体系的必要补充。

然而，安全真的就是防病毒、防黑客、防垃圾邮件这么简单么？

三防不是马其诺防线

过去，“三防”所构建起来的安全体系，就像马其诺防线，完全可以把各种威胁挡在门外。但随着安全威胁的逐步升级，马其诺防线的缝隙越来越多。

过去，病毒只是通常依靠软盘、光盘传播，传播速度慢，扩散范围小，毫不夸张的说，杀毒软件的特征码一个月升级一次，都不会“过时”。而今，借助网络、漏洞传播的病毒随时都可能蔓延至全球，更主要的是，现在的病毒更加充分地充分利用了社会工程学原理，通过各种“利诱”让用户染毒上身。

现在的黑客攻击目的已经由自我炫耀转移到获取直接的经济利益，攻击能力和破坏能力远非昔日可比。尽管很多企业都会部署防火墙等安全设备进行防范，但只要“漏洞”存在，黑客就会见缝插针。这个“漏洞”，不单单是指未及时修补的系统漏洞，还包括了很多人为造成的“管理方面”的漏洞，比如：访问带有诱惑性的网页导致被植入后门程序，不加控制管理的随意下载导致木马感染……不管是有意还是无意，人为产生的“漏洞”已经成为黑客攻击的最佳途径。

而垃圾邮件则完全是网络应用发展到一定程度的产物，并且充分利用人们的好奇心传播安全威胁，如果不对邮件使用者进行一定的限制，很难有效防范。

尽管无论是现在还是将来，防病毒、防黑客、防垃圾邮件这三方面都是整个安全体系中不可或缺的重要组成部分，但它绝对不等于全部——因为再坚固的堡垒，从内部攻破都会很容易。

三防的最大缺失，就是无法对“人”进行有效管理。

最大的危险源是“人

安全自始至终都是“人”的问题。

病毒不会凭空感染，必然是有人误入“禁地”。

攻击不会凭空出现，除了黑客不断变幻攻击手段，必然有人有意无意为黑客开了“方便之门”。

反向思考，各种网络威胁也不可能攻入无懈可击的网络。传统的病毒、已知的攻击、明确的垃圾邮件，通常都会被对应的安全产品挡在门外。但您的网络为什么依然不安全？

网康科技产品服务总监陆继周先生认为：“道理其实很简单，安全威胁除了利用系统漏洞和安全产品的疏忽，更多的还是要借助社会工程学，借助缺乏安全意识的“人”的无意操作，才得以进驻网络和系统。”

事实上，“人”的行为带来的，远不只安全威胁这么简单。

以员工的网络访问行为为例，如果不加以控制，就会带来各种危险。比较常见的包括：

◆ 带宽被蚕食。企业带宽虽然不断扩大，业务应用却依然得不到满足，这就是网络资源滥用的直接后果了，因为不加限制的P2P下载、在线视频等就是网络带宽的最大杀手。

◆ 效率被降低。炒股、聊天、购物、游戏等行为，与工作无关的视频、语音、图片、文档的上传和下载，必然带来严重的生产力流失。

◆ 机密被泄漏。女秘书PK老板的EMC“邮件门”事件、惠普“电话门”事件等，都在告诉我们一个事实：通过外发邮件、BBS论坛等导致内部机密信息泄漏的现象越来越普遍。企业/机构赖以生存的机密信息，很可能会被在职甚至离职员工有意或无意地泄露出去。

在安全体系建设过程中，除了要对“事”，更要对“人”！

七分管理你还缺几分

“三分技术七分管理”，一直是安全领域的至理名言。三分技术，防治的更多的是已知的各种安全威胁；七分管理，则主要针对人，无论是通过各种安全制度约束，还是利用各项技术对人进行管理，目的都是约束“人”的行为，不给安全威胁可乘之机。

网康科技CEO袁沈钢认为：“如果能从管理的角度，制定具体到使用人员的细粒度策略，提高对内容访问的控制力度、对上网行为的控制和审计，防患于未然，将极大地降低因网络带来的安全风险。”那么，七分管理，您究竟执行了几分？您的安全制度究竟有多少能够被执行？您能否让员工在工作时间只做工作相关的事情？能否制止员工访问危险的网站或进行不当的操作？能否提前一步阻止机密信息的外发？

陆继周先生介绍说：“利用上网行为管理产品，企业可以实现细致的‘WEB访问控制、网络娱乐限制、网络聊天监控、信息外发审计、带宽流量管理、P2P下载管理、上网记录审计’等功能。” 网康互联网控制网关是全球领先的上网行为管理产品，拥有Web访问过滤、网络应用控制、带宽流量管理、外发信息监控、互联网活动审计等5大功能，能够做到细化、量化的上网行为管理效果，帮助企业全面的管理内部人员的上网行为，加强网络管理，降低安全风险。

“制度”虽然在一定程度上具有约束力，但它却和网络的复杂度成反比。越是复杂的网络，就越难对“人”进行管理，但也更需要对人进行有效管理。根据IDC的调查，目前在欧洲和美国有80%的公司在监控员工的在线行为，而在世界500强企业中，绝大多数企业对员工的邮件、MSN等上网行为进行监控，而且这一举措得到了法律条文上的支持。例如美国的《萨班斯•奥克斯利法案》和中国公安部第82号令《互联网安全保护技术措施规定》，都明确规定了连接到互联网上的单位要做到记录并留存用户上网信息，并要求联网单位要依此规定落实记录留存的技术措施。

所以，三防之后，安全防护的重点应该在对“人”的管理。

安全不是可以一劳永逸的事情。即使网络中部署了众多安全产品，即使您层层设防，只要“人”的问题没有解决，就不代表您的网络是安全的。