1.4　来自政府和产业的挑战

IT企业面临着来自世界各国政府的挑战。不同的国家立法标准都不尽相同，使得企业在法律中常常遇到“雷区”，给一些操作带来了挑战，而跨国公司面临的挑战尤其巨大。在一些国家中，监管机构和工会组织，认为它可能会侵犯隐私。在一些国家，采集指定用户的上网行为记录是强制性的，并必须按照要求提供给政府。一些模糊而繁杂的规定，如美国的Sarbanes-Oxley（SOX）法案，已经形成了众多见效甚微但投入费用可观的安全控制措施。这使得基于全球管理软件包的网络主动防御面临更大的挑战，因为安全管理者现在只能从那些真正安全的行动中挑出符合当地法规的部分予以实施。

有关安全控制及相关认证和审计的行业标准越来越多，这些行业标准包括：SAS 70、SOX § 404、ISO 17799、ISO 27001、PCI、FIPS、HIPAA、GLB、IEEE P1074、EAL。标准和认证固然重要，但它们往往让我们忽略了最核心的问题：存在漏洞的软件、架构和策略。没有什么能长期替代基于良好编程、充分测试、合理配置并经有效实践后部署的软件是无法代替的。