你应当把这些技术看成给人安全而不是让人扫兴的技术。要积极地调查研究虚拟化、企业搜索和智能电话等新兴技术。你不能因为下面这些问题而保持现状、不敢采用这些新技术。要有所准备，然后一往无前。

   一、智能电话带来越来越大的风险

    还没有谁因为使用“黑莓”智能电话而被炒鱿鱼。

    这是空洞无物的安慰人的想法。你可能不会因选择“稳妥的”智能电话被炒鱿鱼，但没有哪款智能电话满足得了每个专业人员的要求，所以抱怨声不绝于耳也就可想而知了。即使你谨慎行事，也要注意智能电话的三个隐藏问题以及相应的规避方法。

    1、产品周期与消费类电子产品一样快。提供移动设备管理服务的Movero科技公司的首席执行官（CEO）Bruce Friedman说：“有些公司在项目实施到一半时才发现，那款产品已停止供应了，这样的例子我见过很多。”高端移动电话和智能电话更新速度很快，所以习惯了三到五年技术更新周期的公司发现在测试、采购及部署新设备方面老赶不上步伐。办法很简单，但做起来不容易：设法加快产品采购审批及测试过程，比如确保新的应用程序和升级不影响智能电话、操作系统和网络连接。规划好6到12个月的产品周期，并按照这个周期来更新。

    2. 应用程序泛滥。智能电话的优点在于能够运行多种应用程序，于是有些员工觉得自行下载应用程序是理所当然的。禁止所有未授权的应用程序，但人的本性决定了公司用户会设法违反这样的规定。比较好的办法是：使用为应用程序分配“信任级别”、并且只允许事先批准的应用程序访问操作系统的一种安全协议，比如基于Symbian操作系统的平台安全（Platform Security）协议，或者Windows Mobile的应用安全（Application Security）协议。

    3. 出租车因素。智能电话比笔记本电脑更容易丢失、失窃及受损。应作好规划，以便实时修复、清除关键数据及更换设备。这时候，Movero或者Mformation等公司的“托管移动服务”公司可以发挥作用：如果你要部署大量设备，他们几乎总是能够为你节省费用。

    二、虚拟化威胁近在眼前

    如果公司一味扩大服务器虚拟化，而不考虑虚拟机有别于物理机器的地方，就无异于为入侵者敞开了进入数据中心的新大门。我们还无法确认这类威胁的具体性质，因为它们还没有切实出现过。因此而高枕无忧的任何人在过去两年里肯定没有注意过信息安全。

    VMware和开源厂商XenSource提供的虚拟机管理程序（hypervisor）软件是数据中心中一层新的特权软件，类似操作系统，可以全权访问其他软件资源；但与操作系统不同，它没有经过多年的测试与评估。Gartner公司估计，直到2009年，60%的虚拟机不如物理机器来得安全。如果存在安全漏洞，入侵者只要能访问虚拟化服务器的虚拟机管理程序，就能控制该虚拟机管理程序管理的所有虚拟机。

    许多公司保护虚拟服务器的方法与保护物理服务器的方法一样。如今只出现了少数几款专门的工具可以监控及保护VMware的ESX虚拟机管理程序，如Reflex Security公司的VSA和Blue Lane科技公司的VirtualShield。针对Xen的安全工具则比较粗糙、简单。

    VMware指出，银行和军队使用ESX Server，这证明这是个安全的平台。但是虚拟机管理程序的运行有别于操作系统在物理服务器上的运行。

    Blue Lane公司的高级副总裁Allwyn Sequeira说，VMware的VMotion工具能够找到虚拟机管理程序，然后转移到另一台物理服务器上来运行，但失去了原来的安全环境。Sequeira说：“采用虚拟化之前，防火墙、路由器和服务器都有一个相对静态的架构以确保安全。”安全策略针对某个特定的TCP/IP地址，这很常见。他说，当VMotion把虚拟机转移到新的服务器和新的TCP/IP地址时，新旧两套安全策略应该保持同步，但常常并不同步。

    想跟踪所有虚拟机、控制在视野范围之内也很难。Blue Lane公司的一个客户曾忽视了一台虚拟机，直到后来检查时才发现它在6个月前就启用了。要是入侵者偶尔发现了这台虚拟机，危险就更大，因为没有哪位管理员在跟踪这台虚拟机。

    虽然BMC、冠群和惠普等系统管理厂商正在添加更多的虚拟机管理功能，但现在还是轻而易举就能离开管理员的视线

    三、企业搜索关键在于掌握合适的度

    企业搜索听上去完美无缺：员工不用没完没了地搜索众多FTP站点和奇怪的文件名，就能轻松找到所需的文件和文档，从而提高了工作效率。但一旦人们开始搜到不该搜到的东西，搜索就成了安全和合规人员的噩梦。

    搜索技术厂商Autonomy公司的美国区CEO Stouffer Egan说，有家国防承包商把机密信息网络与绝密信息网络“隔离”开来，但机密网络上的员工仍能搜索到绝密网络上的信息。真是糟透了。

    标准做法是，如果你无法以其他方式访问网络上的信息，那么也无法通过搜索来找到这些信息。富国银行在尝试让公司主管通过博客与客户和员工进行交流，它甚至建立了自己的虚拟世界。不过该公司对企业搜索有所限制，限制了员工搜索数据存储库的能力，因为授权机制很复杂。富国银行把应用开发和部署时间的80%用于授权和验证等安全措施上。

    即使各类信息和特定应用都受口令保护，也并不意味着它们保密起来。弗雷斯特研究公司的分析师Matt Brown说，有家公司发现，其搜索系统能在很少被访问的一部分文件系统中发现敏感的工资单信息。所谓的“通过隐匿来实现安全”（security by obscurity）迟早会出问题。

    最后一个风险是，如果编入索引的资料不足，因而没有价值；或者搜索关键词要极其精确，员工会放弃使用搜索工具。针对250名商业技术专业人士的一项调查发现，大约四分之一的公司部署了集成搜索系统，却很少使用。

    四、迷失于NAC缩略语

    最近炙手可热的安全缩略语就是NAC――它对不同的厂商来说有着不同的含义。尽管吹得天花乱坠，但没有哪家NAC厂商完全说到做到，概念的混淆让安全效果大打折扣。

    网络准入控制（NAC）是思科的产物，它旨在控制哪些设备可以连接到网络上：设备是否没有病毒？安全设置是不是最新？如果不是，就加以隔离。网络访问控制（或者用微软的话来说，网络访问保护）着力解决的是，一旦设备连接到网络上，可以进行哪些操作――对照目录服务器或者访问控制服务器，检查个人电脑或打印机的安全状况，查看具体权限。目前还没有哪家厂商同时提供网络访问控制和网络准入控制；而厂商之间的合作也刚刚起步。

    所以你说要部署完整的网络准入和访问控制系统，好比你说要为孩子的下一次生日聚会弄一头独角兽来庆贺。除非思科、微软和可信计算组织（TCG）以及最近互联网工程任务组下设的一个工作组就大大简化NAC部署的标准达成一致，否则这项IT技术不会露出庐山真面目。

    对愿意等待的人来说，很快能得到厂商的帮助。弗雷斯特研究公司的分析师Robert Whiteley说，思科、迈克菲、微软和赛门铁克都正在把端点风险管理功能集成到即将推出的产品中，但至少一年后才能准备就绪。

    作为一种概念，NAC值得人们积极采用――因为它结合使用反恶意软件、访问控制以及身份验证和配置管理工具，阻止非法设备企图连接到网络上，或者在网络上搞破坏活动。可是现在，利用各种工具来防止恶意行为需要从多台服务器获取数据，也就是说需要多台服务器协同，这自然增加了复杂性。别欺骗自己，以为如今的哪个产品已经完全具备了NAC理念。

    五、统一通信尚未统一

    统一通信领域显得有点混乱，仍随着不同技术的整合在逐渐成形。这意味要把合理的通信工具放到业务流程中所需的环节，无论是把点击呼叫功能嵌入到应用程序中；整合语音、电子邮件和呈现等技术；还是让员工的讨论渠道从即时通信切换到视频会议。不过，你还无法用哪家厂商的产品可以直接实施统一通信系统，所以企业最好做好准备，因为将来需要大量的集成和带岗学习。

    贵公司可能已有北电网络公司的IP PBX、IBM的统一通信软件、思科的局域网设备以及Oracle的商业应用软件，希望借助统一通信项目，把它们都充分利用起来，却苦于缺乏集成所有这些产品获得实时通信方面的丰富经验。举例说，微软与北电网络组成的联盟正开始提供共同开发的统一通信产品，着眼于未来四年的发展远景。与此同时，微软也加大了与其他厂商的产品实现兼容的力度，包括思科、Avaya和西门子等公司的产品。

    公司必须确认哪种业务流程会受益于统一通信技术；之后再来选择合理的厂商。帮助公司客户实施统一通信规划的Vanguard通信公司的总裁Don Van Doren说：“如果你选择的厂商无法满足你的业务要求，你就会陷入困境。”公司也不应该想当然地以为，必须全面改用IP协议，才能部署统一通信系统。Don Van 说：“就某些应用和业务问题而言，统一通信系统能够与遗留系统很好地兼容。”

    工业设备供应商Ultrasonic Precisions公司的CIO Steven Fishman说，该公司把网络会议系统、视频会议、Outlook电子邮件和联系人系统集成到基于微软软件和思科设备的单一系统上后，工作效率大大提高。不过部署工作要试好多次，还要与厂商紧密合作。而这需要妥协：Fishman决定避开集成任何非微软应用软件的做法，因为它们与SharePoint、Exchange 2007和微软Dynamics GP10不能很好地兼容。

    六、SOA：规范你的行动

    面向服务的架构（SOA）本该可以让技术基础设施变得更加灵活、运转更迅速。但要是创建的Web服务缺乏足够有效的治理，就会出现失控、甚至适得其反的局面。

    伯顿集团的分析师Anne Thomas Manes说，就最初的一批Web服务而言，你采取之前的做法恐怕不会有什么问题――极少跟踪Web服务的性能、不同的开发人员无计划地随意改动生产环境的Web服务，或者很少使用自动化的监控工具。但除了这批服务之外，她说：“你应当认真考虑对整个生命周期进行适当的治理。”

    这就意味着确保新创建的服务归纳到注册中心，并且存储到存储库中；应通过中央系统来实行变更管理；要么禁止使用不同版本的服务，要么详细地记录下来。服务需要进行测试，以便服务满足其他许多流程的要求。如果服务要重复使用，它必须与许多系统协同使用，而不是只与当初开发人员青睐的那些系统协同使用。要密切关注服务的使用情况、在什么情况下使用；还要找出并解决导致性能下降的环节。

    毕博咨询公司顾问Pete McEvoy最近撰写的有关金融服务行业SOA的一份报告得出了类似结论：“SOA已有7年的历史，但哪又怎样？”他认为，服务创建团队的IT专业人员“要像产品经理那样来工作”，因为如果服务需要更新，就要有人承担起责任。他写道：“之前很少有哪家公司彻底全面地考虑诸如此类的操作问题。”

    ZapThink公司的分析师Ron Schmelzer说，SOA旨在通过松散耦合、明确定义的服务来创建灵活的架构，这种架构针对应用的重复使用作了优化。他说：“人们以为SOA和Web服务是一回事。实际上，Web服务只是服务访问方式的改变，SOA却是做事方式的改变。”

    七、警惕面向大众的商业智能

　　随着商业智能（BI）逐渐从分析师和金融专家的桌面走向大众，就要警惕向大众提供BI时出现的“最坏习惯”。
　　
    如果你任由用户使用原始数据从头开始生成报表，这种报表可能会误导人，不同的团队会得出不同的结果。所以，最初的报表创建工作最好交给专家去处理。但公司要向那些希望深入学习的员工提供“学习课程”，惠普公司信息管理实践部门的负责人Jonathan Wu说。否则，“你就没法培养出高级用户（power user）。”
　　
    业务部门的经理们应当与公司内外的BI分析人员一起，帮助确定为员工们提供哪些衡量尺度和指标。他们还要就数据定义和命名标准达成一致。Wu曾与一家开发与客户关系管理（CRM）有关的报表系统的公司合作；对财务部门而言，这里的“客户”是指支付服务使用费的员工；而对营销部门来说，“客户”也指潜在客户。

　适合使用BI的人会期待某些工具，比如仪表板，所以IT团队应该记下什么东西会添加到项目中。Wu说：“而更重要的是告诉用户将来缺什么东西。”
　　
    大多数公司并没有把BI当成是灾难恢复规划中的一项关键应用，哪怕员工依靠这些工具来作出关键决策，也是这样。Wu见过BI应用系统因服务器出现故障而停顿几周的例子。
　　
    IT团队还要准备好应对要求更改数据类型和报表的众多请求。除非员工开始使用BI系统，否则他们不会知道可以用它来做什么。Wu说：“如果他们不问，很可能是没在使用。”没有什么比花巨资搞起来的项目却闲置不用更为失败的了。

    八、SaaS的缺点

    当然，你可以快速部署软件即服务（SaaS）应用。它们甚至能够为贵公司避免费用、为IT部门避免麻烦。但是SaaS应用到底适不适合你呢？
　　
    定制方面的限制是SaaS几乎一开始就饱受诟病的地方。与许多内部部署（on-premise）的应用不同，SaaS应用的代码是无法改动的。

    专业支持SaaS的服务公司Bluewolf的联合创始人Eric Berridge说，另一方面，SaaS应用的一大优点在于，Salesforce.com等厂商在不断添加功能，可以马上提供给用户。如果换成内部部署软件，新功能常常捆绑在重大版本里面，客户有时会错过这些功能。

    因为新功能频频添加到SaaS应用里面，客户必须保持灵活。这可能意味着需要添加流程以适应新功能，因而感到压力的是用户，而不是IT部门。Berridge说，不过对经理们来说，这意味着要随时了解变化，并且告知用户，以便他们愿意并且能够随时应变。

    太多的变化并不好。他说，如果新功能馕蹲拍阋亩鞒袒蛘哂τ帽旧淼牡胤匠?0%，最好还是采用内部开发的软件。

    弗雷斯特研究公司的分析师Liz Herbert说，SaaS的另一个缺点是：签署交易的常常是公司用户，而不是技术人员，而用户在安全和隐私方面可能毫无头绪，特别是由于针对SaaS的安全标准还在发展当中。虽然SaaS应用还没有出现任何重大的安全漏洞，“但人们要引起警惕，”她说。而Berridge认为，SaaS的安全问题更多地涉及软件在公司内部如何使用。“你未必想让纽约的销售代表看到新泽西州代表的销售数据。”他说，除非设定了规则，“否则每个人都能看到每个数据。”

    另外，许多公司改用SaaS时，要牢记诸如《健康保险可携性及责任性法案》和《萨班斯－奥克斯利法案》之类的法规。Berridge说，公司需要在本地保存数据副本，以免出现法规问题。这意味着要与SaaS厂商一起定好数据复制时间表。

    至于数据集成方面，有第三方软件包（包括Bluewolf的软件包）有助于SaaS 软件与SAP和Oracle等公司的内部部署软件连接起来。Berridge说，但如果数据交换的速度至关重要，如金融交易，这样的连接可能变得很棘手。

    九、JavaScript让人不安

    Web 2.0采用的是JavaScript动态语言。JavaScript通过Ajax编程，允许Web应用和用户个人之间进行交互。但JavaScript和Ajax也为网站入侵者带来了众多新的攻击途径。

    一年前，Yamanner蠕虫有段时间利用了雅虎邮箱的一处JavaScript漏洞，得以在网上迅速传播开来，还把地址簿上的电子邮件地址转发给垃圾邮件发送者。使用JavaScript允许用户上传内容的MySpace发生了几起这样的事件：恶意代码把跨站脚本安全漏洞植入到MySpace帐户中，然后传染给访问者使用的计算机。有人把“Sammy是我的大英雄”这条消息植入到了成千上万个MySpace页面上。

    为了评估将来的风险，不妨考虑使用Jikto，SPI Dynamics安全公司的首席研究员Billy Hoffman在去年3月24日举行的ShmoozCon黑客大会上演示了这个跨站脚本引擎。

    JavaScript拥有内置的安全模型，名为“同一来源”：JavaScript只能在来源网站上访问内容或者执行操作，而在其他任何网站上无法访问或者操作。但Jikto可用来绕过这种保护机制：把网站内容发送到Google Translate等代理网站，然后代理网站把网站内容从一种语言翻译成另一种语言。恶意的Jikto用户可以指示网站内容在Google Translate上显示，在此进行漏洞扫描，然后查看扫描结果。Jikto可以利用Google Translate或者原本另有其用的其他代理网站来检索一个个网站的页面，对它们进行扫描以查找漏洞，从而躲开JavaScript的安全模型。

    JavaScript可以经常变动，甚至按指令来改变自己，所以传统的病毒扫描通常发现不了它们。雅虎邮箱事件就牵涉上传照片的JavaScript功能，但该功能有可能被人恶意利用，因为雅虎的代码并不检查文件实际上是不是图片。网上有许多这样的后门。

    公布了Jikto的风险后，霍夫曼收到了为非作歹之徒发来的电子邮件，大意是“你可毁了我们的乐趣。”你要作好准备，因为这批家伙会想出别的点子来寻乐。