根據上周剛剛發布的報告稱，隨著企業內應用數量的增加，保持業務應用的可訪問性和安全性變得越來越困難。該調查顯示，信息安全專業人士希望企業業務方面的管理人員更積極地參與應用風險管理過程。

[[112005]]

網絡安全政策管理服務供應商AlgoSec公司在其2014年網絡安全狀態報告中，采訪了2014年RSA大會上142位安全和網絡運營專業人士。該調查旨在確定受訪者在平衡業務關鍵應用的安全和訪問要求時所面臨的挑戰。調查發現，企業內部署的應用正在急劇增加，60%的受訪者表示他們的企業有超過50個應用需要管理，而20%的受訪者需要負責超過500個應用。

該報告稱，這些海量應用正在給安全和網絡專業人士帶來各種挑戰，約有一半的受訪者表示，最大的挑戰是簡單地識別和優先排序關鍵漏洞。

另外，21%的受訪者指責負責這些應用的業務部門，聲稱他們不愿意或者不能夠解決已經發現的漏洞。另外24%的受訪者表示他們的企業根本不了解業務方面的安全風險，讓他們沒有辦法及時修復漏洞。

總體而言，AlgoSec報告的受訪者中，超過90%的受訪者認為企業利益相關者應該承擔與應用相關的“自己的風險”，而不是將這種風險全權交給安全和網絡團隊負責。

AlgoSec公司營銷和戰略副總裁Nimmy Reichenberg同樣認為，業務領導最終需要負責應用風險管理，并將這些利益相關者和戶主進行類比。戶主可以聘請安全顧問來保護他們的家不會被盜竊，例如，安全顧問的建議可能是建造一個柵欄、安裝警報系統，或者甚至挖一條護城河，并在里面喂養鱷魚。他表示，戶主必須權衡每種安全措施的成本和優勢，并將其與入侵實際風險進行對比。

同樣的道理，Reichenberg表示，“安全從業人員也應該分析這種風險，并回答這些問題，你的風險的承受能力如何?為了得到更好的保護，你想要投入多少資金?最后，企業應用所有者需要了解其應用的風險水平，并確定部署何種措施。”

面對Heartbleed OpenSSL漏洞，非常重要的是強調這個漏洞的嚴重性以及及時修復漏洞的必要性，但安全專業人員也應該讓決策者了解該漏洞存在于業務關鍵性web服務器還是不會造成太大影響的服務器中。Reichenberg表示，由于大型企業可能會有數百臺web服務器，提供這些信息能使企業領導者做出更明智的安全決策，并且，在Heartbleed的情況下，這允許安全團隊優先考慮為有漏洞的服務器安裝補丁。

“這只是一個漏洞。如果你見過漏洞掃描儀的結果，你會看到幾十萬漏洞，幾乎超過你的能力范圍，”Reichenberg表示，“我們的想法是，拿著一個業務應用，并說‘這個應用存在整體水平的風險’，如果這種風險超過企業的承受閾值，那么，你需要采取一些行動。”