信息來源：企業(yè)網(wǎng)

如今，數(shù)據(jù)中心的失敗比十年前具有更廣泛的影響。在減輕網(wǎng)絡(luò)攻擊風險的責任方面，企業(yè)必須了解這些風險以及它們的全部影響。

雖然IT網(wǎng)絡(luò)安全具有監(jiān)測與評估系統(tǒng)人，但仍然可能遭遇攻擊。盡管一些企業(yè)具有ICS（工業(yè)控制系統(tǒng)）的經(jīng)驗，但仍然缺乏對監(jiān)測與評估數(shù)據(jù)中心漏洞的認識。其部分歸因于數(shù)據(jù)中心監(jiān)測與評估系統(tǒng)的不足，這些問題存在是因為它涉及到監(jiān)測和評估固件，因此IT技術(shù)和工程技術(shù)之間完全相反。

行業(yè)專家建議每個企業(yè)和政府數(shù)據(jù)中心都必須進行網(wǎng)絡(luò)安全監(jiān)督評估審計。并介紹了影響物理安全和環(huán)境控制的新的網(wǎng)絡(luò)安全法規(guī)。

金融服務(wù)立法將影響行業(yè)廠商

紐約州金融服務(wù)局（NYDFS）通過的網(wǎng)絡(luò)安全立法23NYCRR500于2017年3月1日生效。

新規(guī)則適用于在紐約州內(nèi)經(jīng)營的“銀行法”，“保險法”或“金融服務(wù)法”（有限豁免），包括非美國實體在內(nèi)的任何金融服務(wù)公司。

這些公司將在2017年8月28日之間有實施網(wǎng)絡(luò)安全計劃和政策。特別是第500.03條，（j）項是物理安全和環(huán)境控制。環(huán)境控制系統(tǒng)使用固件有三個原因：

1.系統(tǒng)屬于監(jiān)控與評估領(lǐng)域，而不是IT網(wǎng)絡(luò)安全。因為影響這些系統(tǒng)保護的這種治理與網(wǎng)絡(luò)安全的其他方面沒有得到同等程度的關(guān)注。

2.訪問固件進行修補或其他修改由第三方供應(yīng)商進行。

3.控制和監(jiān)視系統(tǒng)協(xié)議，例如MODBUS，BACnet和SNMPv3由于其防護較弱或通常不存在的加密和認證而容易受到惡意攻擊，因為它們將網(wǎng)絡(luò)安全本身作為一個問題。

防御性基礎(chǔ)設(shè)施

該法規(guī)規(guī)定，網(wǎng)絡(luò)安全政策（涉及物質(zhì)安全和環(huán)境控制的條款）是基于風險評估。不正當之處在于，盡管這些公司自生效之日起一年內(nèi)進行風險評估，但其所依據(jù)的網(wǎng)絡(luò)安全政策即將到期。

至少，承辦金融服務(wù)的數(shù)據(jù)中心必須緊急采取行動，對影響其監(jiān)測和監(jiān)測系統(tǒng)的漏洞進行審計。

2017年各國政府部門制定的新立法

英國政府于2016年12月發(fā)布了“網(wǎng)絡(luò)安全法規(guī)和激勵措施審查報告”，該報告指出，它正在考慮對關(guān)鍵部門另行監(jiān)管。在網(wǎng)絡(luò)和信息安全（NIS）下，關(guān)鍵數(shù)字服務(wù)（如云服務(wù)提供商）的指令運營商可能需要額外的風險管理和報告要求。

另外，新加坡政府將在今年推出新的網(wǎng)絡(luò)安全法案，要求“關(guān)鍵信息基礎(chǔ)設(shè)施（CII）業(yè)主和運營商負責保護其系統(tǒng)和網(wǎng)絡(luò)。這包括遵守政策和標準，進行審計和風險評估，以及報告網(wǎng)絡(luò)安全事件。”（新加坡網(wǎng)絡(luò)安全戰(zhàn)略2016，新加坡網(wǎng)絡(luò)安全局）

確定監(jiān)測和評估系統(tǒng)中的漏洞是組織需要采取的第一步，以遵守新立法的初步階段。