安全威胁和保护必须跟随者威胁的发展而发展。我们向安全专家咨询了在接下来三到十年期间中小企业将要面临的安全趋势的重要信息。
你今天制定的安全计划面对以后的威胁还能有用吗?
为了创建一个有效的信息安全项目，计划和准备是关键。尤其是那些安全主管必须知道安全威胁正在发生什么样的变化，并且评估哪些技术能够最有效的降低他们的风险。然后，至少在中小企业中，他们必须确认和采用可能的物有所值的安全方法。
毫不奇怪，因为这些要求，Forrester Research的研究表明中小企业今年的的高级安全开销的优先次序会是整合新的端点安全技术，在网络结构内部设置更多的安全保卫和持续采用多功能安全器材。
然而，考虑到这些中小企业用来保卫安全的稀少资源，这些开销次序合适吗?此外，安全环境在接下来的3到5年会有什么样的变化，在此期间，攻击以及技术会带来危险还是希望呢?
为了找到答案，我们向安全专家咨询了不久的将来的十大安全趋势的细节。
1.攻击者们会不断进步。
在接下来的5年里，公司会一直碰到什么类型的安全威胁?“安全中一般类型的攻击和规则是不会改变的”Randy Abrams预测，他是ESET，一个安全软件提供方的技术教育部门的主管，但是，“已有的攻击技术和模型会演化成新的方式”
以通过e-mail的419欺骗行为为例。这些是钓鱼式攻击(Phishing attacks)，欺骗人们相信他们正在和一个合法的在线公司交易。从概念上说，这些攻击并不新颖。但是，今天绝大部分的攻击只是在一个主题方面翻来覆去而已，这个主题就是如何偷钱。
“公司真正需要关注的重点是理解基础结构”Abram说。换句话说，维持一个用来减轻高级安全威胁的策略，包括更新安全策略和经常性的训练职员，尤其是识别社会工程攻击(social engineering attacks)的方法。“社会工程将一直会是对SMBs的最成功的攻击之一”他说，“教育会是对抗这个的唯一方法”。
2.钓鱼式攻击次数将会下降
教育者已经可以指出一个显著的成功：钓鱼式攻击的有效性逐渐下降。“钓鱼式攻击已经开始走向末路”Steve Cole说，他是拥有180个雇员的San Mateo Credit Union的观察员，“IE7，firefox2，扩展了Verisign的安全认证—Verisign刚结束对使用者的教导：不要点击e-mails的连接。”
即使教育是有效的，在将来一些自动保护也不会起作用。“我希望看到一些东西能够真正阻止钓鱼式攻击”他说。
3.Vista的效率问题挥之不去
除了不断的垃圾邮件，间谍软件，恶意软件和链接的流行，Cole说他的最头痛的安全问题不是最新的攻击，而是预先安装在新PC上的操作系统。“我们最大的困难是我们被强迫在桌面上安装Vista”他解释说“每次我和别人谈起Vista，它简直就是个恶梦”。主要是因为“加强安全”的提示的数目，这些提示在用户尝试一些可能不完全安全的操作时会询问，警告或者建议用户。
如果Vista的安全加强导致了一个潜在的效率恶梦，Microsoft需要多长时间来改变它?“7年前，人们说我们该怎么处理Windows 2000，我们需要从NT4.0升级吗?”Michael Gavin说，他是提供安全风险评估的Security Innovation的安全战略家。“我们的标准答案是，至少给它一个或两个服务包和足够的时间，这样一切可以解决，因为在这个时候，不只是从安全观点看，如果一些东西被你接受，只是因为它是新的，你暂时就会歇业了”。
4.随着移动的扩展，移动安全也会带来挑战
雇员的移动性越来越强。IDC预测在四年内，超过70%的人们会通过移动设备连到公司网络。但是Kom/Ferry International的调查表明，81%的经理主管说他们已经通过一个移动设备或其他的“一直”连线工作。
不幸的是，总是在线的雇员和经理更有可能把公司信息暴露给窃听者，或者暴露自己的电脑设备。例如，对移动雇员的调查表明73%的人没有关注移动安全。在7个国家对700个移动工人的调查由Cisco Systems和National Cyber Security Aliance发布，它也发现1/3的使用者经常使用开放无线互联，不管是通过Wi-Fi还是通过邻居的不安全的信号。而且，几乎一半的雇员经常打开不知来源的e-mails上的文件。
如果明天的工作地点是移动的，它会是安全的吗?“移动设备正融合进中小企业，公司需要考虑终端使用者和他们是怎么对待移动设备的”Ron Teixeira说，他是NCSA的执行经理。
专家建议所有的公司培训雇员关于移动安全的最好做法，描述公司会支持什么样的移动设备，确保这些设备(包括笔记本)运行提供强密码认证的安全软件，甚至是整个磁盘加密，以便确保这些设备上的任何公司数据在硬件丢失或被窃时是不能恢复的。
5.网络接入控制越来越普及
随着需要支持越来越多的移动工人，IT管理者正在关注网络接入控制，它可以使组织者分清安全软件是否是活跃和配置好的，补丁是不是要更新了，请求接入网络的PC或服务器是否已经达成妥协。如果是这样的话，网络内嵌的安全控制或者是PC或服务器的内嵌安全控制可以把设备放到网络的隔离区中直到问题得到补救(或者对于许多没有时间检测间谍软件感染的小公司来说，只要简单的清除和重恢复)。
