用相當(dāng)、甚至更好的解決方案來加固企業(yè)的IT系統(tǒng)，以面對不斷變化的安全威脅。
何迪生對此抱有充分的信心：首先，IT已經(jīng)不僅僅是企業(yè)的成本中心，一套完善、健康的IT系統(tǒng)完全可以成為企業(yè)業(yè)務(wù)的助推器，幫助企業(yè)成功。少花錢多辦事主要是落實到幾個方面——第一是企業(yè)內(nèi)部管理成本，信息管理不能復(fù)雜，復(fù)雜的管理必須要花時間花錢去參加很多的培訓(xùn)或者是招聘更多的管理員;第二就是企業(yè)希望廠商最好能夠提供一站式的服務(wù)，具體來說，信息部門尤其是安全部門都希望減少服務(wù)交付的時間，他們需要簡化服務(wù)供應(yīng)商的數(shù)量，讓服務(wù)提供商盡量是單一廠商。當(dāng)前，有些用戶的方案都是集成商把多家廠商的產(chǎn)品打包來做的，這個成本顯然高于單一廠商的集成解決方案。
何迪生特別強調(diào)ROSI——安全投資回報率，通過這個指標(biāo)，可以向企業(yè)負(fù)責(zé)人介紹安全投資的回報和業(yè)務(wù)表現(xiàn)。
如果一個CIO或者是CEO，或者是相關(guān)的利益方，不能夠認(rèn)識到保護(hù)數(shù)據(jù)的重要性，那么將很難說服他們投入足夠的資源來用于解決IT風(fēng)險的問題。但是，與商業(yè)直接密切相關(guān)，與股東權(quán)益直接相關(guān)的信息，都必須要采取一些措施保證投入足夠多的錢和資源來解決安全防護(hù)問題。顯然這不是一個輕松的工作，比如用ROSI去充分說明其重要性。
在具體措施上，大致可以分為如下步驟：
首先應(yīng)當(dāng)進(jìn)行商業(yè)的風(fēng)險評估，從商業(yè)發(fā)展的角度來看，什么是最重要的東西，如何來保護(hù)。
然后，才能進(jìn)入制定策略和公司的流程的階段。討論的安全的組織架構(gòu)，這都是如何實施這些戰(zhàn)略的基礎(chǔ)。比如，可以組成一個虛擬的安全團(tuán)隊，動員各個部門的力量參與進(jìn)來，包括人力資源部門和營銷部門，讓他們都理解安全性與重要性。
下一步是安全的架構(gòu)和控制，關(guān)于公司的政策和流程。
隨后進(jìn)行安全的確保，令每一個部分運轉(zhuǎn)正常，并通過一系列的測試驗證其是否可以防止黑客侵犯。
通過安全監(jiān)測來確保整個流程都是有效的。對于大公司，有可能需要每季度進(jìn)行一次，或者是每月一次，來確保網(wǎng)絡(luò)每天都是安全的。
最后就是安全評估。安全主管需要知道如何來和領(lǐng)導(dǎo)進(jìn)行溝通，來展示一下這個系統(tǒng)它的功效。
對于微軟這樣的安全廠商來說，構(gòu)建一套完整的安全生態(tài)系統(tǒng)，必須能夠應(yīng)對這些挑戰(zhàn)，包括防御攻擊和不必要的通信干擾，并且盡量預(yù)知用戶的業(yè)務(wù)發(fā)展趨勢，并努力提高自身的安全透明度，以便為用戶提供最優(yōu)的安全防御方案。
從技術(shù)革新上看，目前以微軟為代表的安全廠商正在努力推動分層的系統(tǒng)安全建設(shè)模式，包括了：負(fù)責(zé)ACL、RMS以及數(shù)據(jù)加密的數(shù)據(jù)層;強化防病毒結(jié)構(gòu)的應(yīng)用程序?qū)?負(fù)責(zé)操作系統(tǒng)強化、修補管理、身份認(rèn)證和HIDS的主機層;統(tǒng)籌網(wǎng)絡(luò)段，開展IPSec和NIDS的內(nèi)部網(wǎng)絡(luò)層;管理防火墻和VPN等設(shè)備的周邊設(shè)備層;以及提供防護(hù)、鎖定、追蹤功能的物力安全與策略通告層。這些技術(shù)層和非技術(shù)層組合在一起構(gòu)成了企業(yè)實踐中的深層防御(DID)機制。
何迪生建議，目前最為有效的企業(yè)安全生態(tài)系統(tǒng)建設(shè)戰(zhàn)略，除了要從技術(shù)上進(jìn)行革新，同時還要為企業(yè)提供最佳的安全實踐與操作方式指導(dǎo)，同時安全廠商與企業(yè)的CIO最好能夠與一些國際安全組織進(jìn)行合作，比如與ISACA, ISSA, CFIP-ISA和BCM保持交流可以獲得最新的安全防御指導(dǎo)意見，有助于安全生態(tài)圈的搭建。
在了解了一般方法，以及如何評估安全管理的效果之后，用戶可以借此改善安全防護(hù)的水平，來提升保護(hù)IT環(huán)境的能力。而在技術(shù)方面的很多因素，比如怎樣保護(hù)系統(tǒng)，加密等深層次的技術(shù)知識，都可以利用在日常保護(hù)IT的工作中去。但是對于IT