所有机构都要面对一系列由于使用技术及这些技术所固有的缺陷而导致的安全问题。信息技术IT专家必须勇敢面对这些安全问题，从系统被入侵的威胁到硬件的可移植性，再到员工的流动。
安全问题并不是911事件发生以来新出现的问题。关心安全问题的原因由来已久：优先权发生冲突、业务环境因素、信息的敏感性、缺乏对Internet的控制、道德的沦丧、犯罪活动、粗心大意、高级别的连接性和漏洞。限制危险与影响生产效率两者之间必须要有一定的妥协：100％的安全等于0％的生产效率，但是0％的安全不等于100％的生产效率。
没有人希望被控制。这会降低甚至扼杀生产效率，而我们会对别人不相信自己不会弄坏网络而产生怨恨。另一方面，各个机构必须决定在没有计算机或者网络的情况下自己能够运行多长时间，以及它们对数据的可用性和准确性有多信任。绝对的安全是无法实现和不现实的，所以应该寻求正确的安全控制从而将风险降到可接受的范围。
1、系统入侵的威胁
让系统被攻破的方式有很多。第二次世界大战时的一句流行语是“口风不紧舰船沉（Loose lips sink ships）”，这是一种夸张的说法，你不知道什么时候会隔墙有耳，甚至是在本地酒吧里的喝啤酒的时候。我们中的大多数人往往都会在行业会议、社交活动或者其他很多场合里与其他的IT专家进行接触。所以很容易就在无意中泄露可以被利用的重要信息，从而以牺牲一个机构的代价让另外一个结构获益，这可能是有悖道德甚至还是非法的。
由于没有正确销毁资料而无意中泄露访问密码以及其他类型的个人身份信息是让别人获得此类数据的头号原因。安全措施不到位或者不足的系统（单级安全、能够被轻易猜中的密码，以及没有加密的数据等等）都能导致各种安全问题，包括数据质量低下、未经授权的入侵等等。
防火墙和／或病毒和垃圾邮件过滤器维护不当都会导致网络被攻破。安全预算的经费必须充足；管理层往往将用于安全措施的投入看作是无回报或者可有可无的项目，这事实上是在把自己的机构推向高风险的悬崖边。为我们自己的作为（或者不作为）负责，再加上全面踏实有效的安全策略，就是防止网络被攻破的首要最佳防御。
2、Internet安全现实
原先用于军方的Internet与生俱来就无法对信息进行多少保护。Internet网站的管理员总是可以看到数据包满天飞，没有采取足够的加密措施，消息极容易被截获。Internet不能自动地保护机构的信息——公司必须自己独立地采取措施。如果没有足够的控制，即使有了足够的控制，员工也能够访问到几乎所有的数据并把它们带回家。外部的入侵者也可以进入网络和个人计算机。外部的消息源一般都发现不了，消息的发送者不知道除了所希望的接受者还有其他哪些人可以读到这些消息。
黑客社区正在变得越来越有组织，通过相互合作，网络甚至更容易被攻破。Internet是一个开放的、无法控制的网络，它无法对自身进行改造以满足各个机构的要求。被发现的安全漏洞不会自动地修复，Internet上的大多数安全问题都不真的是Internet的问题。各个机构必须假设周围的环境是一个具有潜在威胁的环境，必须采取各种措施来进行自我保护：敏感信息进行加密、使用对消息进行身份验证的数字签名、安装高质量的防火墙和其他过滤程序、制定员工的沟通和发现规程，实施任何充足但不过分的入站控制等等。
3、硬件的可移植性
企业的外勤人员携带笔记本计算机旅行会带来大量的安全风险。更大更快的硬盘驱动器以及更加强大的处理器使得这些人能够下载和使用敏感或机密数据库的本地副本。无处不在Internet接口让我们能够随时连接上我们在办公室里使用的相同网络和系统。诸如Groove这样基于Web的服务可以被用来绕开企业的文档策略。
笔记本计算机至少需要两级安全控制措施才能够确保自身的安全，其中包括将加密、本地用户名和密码、生物测定设备等结合起来，机构也需要实施和加强旅行期间的严格的技术使用措施。
4、新通信方式层出不穷
你的机构为BlackBerry或者Treo这样的PDA提供了网络连接能力吗？这些设备都采取了安全措施吗？很多公司根本就不知道这些掌上的小玩意会导致多大的安全威胁。一般来说，连接到中央企业服务，例如Outlook或者Notes，提供不间断的无线自动同步（电子邮件、日历、联系人列表等），没有对密码进行加密的丢失设备都可以被用来获得进入这些系统的授权访问。至少，这些掌上设备可以被用来打印相当可观的手机话费单。
尽管会带来一些不便，企业还是应该要求所有这样的设备都必须设置本机密码，这与访问网络所要求遵守的规定相同，包括格式和更改的频率。员工必须被要求在设备丢失的时候立即根据安全策略上报，这样就能够向丢失的设备发出销毁本地数据和设备无法使用的指令。
5、软件的复杂性
系统和应用程序有很多集成的组件，所以无法单独进行安全保护，这一事实是不要求采取多级安全措施的苍白理由。已经经过验证能够对网络进行一般访问的用户并不一定需要对网络具体的功能组件进行身份验证，甚至也不用对单个集成环境（例如ERP）里的组件进行验证。研究和调查表明，有员工认为需要记住太多的不同密码是辞掉工作的一个正当理由；有些大型机构要求自己的员工记住超过15个用户名／密码组合。一次登录技术能够保护系统，它能根据每次访问一次保护一个组件，这样就没有必要让用户记住那么多密码了。
6、互联的程度
这只是另外一种形式的复杂性，它要求对公众访问Internet的现实有一个清醒的认识。供应链流程把原材料供应商、制造商、组装商和销售商连接在一起。就像俗话说的，链条的强度取决于其中最薄弱的一环。即使供应链中的各个机构已经制定了正确的安全控制措施，其中某一个环节的断裂都可能导致整个作业的中断。
假设这样一种状况：有一个配件供应商的网络被入侵和／或陷入危机状况。这对所有的下游组件流程都会产生负面的影响，要么推迟或者无法交付重要的元件，要么是输入的内容有问题，这就好比是安装生产线开始的部分发生的一点小故障都会导致整个作业的中断。所有机构都需要进行一个全面的风险评估，并努力要求其合作伙伴和供应商都坚持采用有力的安全控制措施，或者至少要针对无法联系到重要合作伙伴制定可能的应对措施。
