本文转载自David Shen’s Weblog，原文参见链接。

每年的CSI/FBI报告我是必看的，今年的在这里。我们还是先来看一下安全损失和安全技术应用的情况，这次不是TOP10，而是TOP20了。:)

I. Dollar Amount Losses by Type

排在安全损失前四位的（1）病毒；2）未授权访问；3）笔记本或移动设备硬件被窃；4）资产信息被窃等，共占所有损失的四分之三（74.3%）；

对比2005年：

  • 病毒的危害依然是最强劲的；

    • 笔记本和移动设备被盗上升迅速！ 对比2004年：
  • 拒绝服务在2006年没有大规模的发生过 II. Security Technologies Used

在安全技术应用上，2005年与2004年基本上没有改变，但在2006年有较大的变化，我们来看看：

  • 防间谍软件正式成为一个独立的技术应用出现，而且占据着第3位， 也就是长期以来是IDS占据的位置；防间谍并非新出现的技术，之前我想一般都归在防病毒类吧。记得以前公司里将防间谍单独拿出来说时，我还不置可否，因为 我认为现在的病毒种类是繁多的，应该将所有的恶意程序（病毒/蠕虫/木马/间谍软件/拨号器/流氓软件等）都归在防病毒这个大类里，现在看来，国外确实将 它们单列了。

    • IDS的部署及应用已逐步下降了；这可能和IDS越来越不能满足用户的投资预期有关吧。反正我个人并不看好IDS。

    • Log management software和Forensics tools正式在安全技术应用里出现了。这正好印证着我不看好单纯部署IDS的原因（我认为IDS预警的功能有限，倒是在日志取证方面有些用途），日志管理和取证工具倒是可以和IDS是相辅相成。

    • 数据在传输中的加密和存储中的加密越来越受到用户的重视。数据在传输中的加密我想不仅仅是指VPN这种通道式的加密吧，也应该包含一种对数据（或文档）本身的加密。这种加密与数据在存储中的加密类似，都是针对具体的数据或文档这种客体。近年来涌现出的一批做文档加密的公司看来还是很有前景的。

III. Effect of Sarbanes****Oxley Act

除了以上两个是我每次看CSI/FBI报告必看的内容外，这次我还注意了SOX法案在信息安全方面的影响：

  • 在电信、零售、金融、制造业这四个行业里，60%以上认为萨班斯法案提升了对信息安全的关注度；（Compliance with the SarbanesOxley Act has raised my organizations level of interest in information security.）

  • 在电信、金融、零售行业里，有50%以上的认为萨班斯法案让组织对信息安全的认识从过去的技术层面转移到公司治理层面。（The SarbanesOxley Act has changed the focus of information security in my organization from technology to one of corporate governance.）

IV. The others

再看一下其它的几个结果：

注：2005年的报告参考这里。