A False Sense of Security

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

无法盘点就无从防护。本文强调 IT 资产管理是一切安全计划的基础，界定了何为资产——从服务器、笔记本到数据库与未编译代码——并给出企业必须能准确回答的基础盘点问题清单。

一提度量指标，多数安全从业者就皱眉，但它是任何成熟度级别的安全项目都不可或缺的部分。作者将指标分为三类：投入类（培训时长、补丁耗时）、结果类（距上次泄露天数、未修复漏洞数）、环境类（已知漏洞与系统数量），并用漏洞老化趋势说明如何向上级证明安全投入的价值。

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。