奥卡姆剃刀定律与信息安全管理 作者:蒋鲁宁

奥卡姆剃刀(Occam's Razor)定律是一个问题解决的原则,该定律虽然不是由14世纪英国逻辑学家奥卡姆实际提出,但由于奥卡姆以各种形式阐述了该定律的内涵,故以其名字来命名这把有效解决问题的“剃刀”。

奥卡姆定律的基本含义是“在诸多相互竞争的理论中,选择假设最小的”,也即最简单的可能就是最正确的。“如无必要,勿增实体”,“切勿浪费较多东西去做用较少的东西同样可以做好的事情”。奥卡姆这些表述简而言之就是保持事情的简单性,不要人为地把事情复杂化、自寻烦恼,而是要驭繁于简。

奥卡姆剃刀定律在科研、管理、投资等很多领域作为一种指导原则而广泛地应用,信息安全管理领域无疑也可以借鉴。对于企业信息安全管理而言,奥卡姆剃刀定律有两层具有指导性等含义,一层是做事的原则,即企业信息安全管理措施或进行信息安全管理活动时不仅仅要寻求有效、可行的做法,还要进一步寻求是否有更简单的替代做法。管理简明性对于信息安全尤为重要,因为复杂的行为本身就有潜在风险。设想采取过多信息安全策略来对针对一项信息安全风险时,这些安全策略验证的本身就会成为问题,如各项安全策略的相容性、策略之间的协同性、策略执行的可审计性等等。从信息安全工程实践出发,可以先做“加法”来构建信息安全风险控制策略,然后再做“减法”,来简化形成的安全策略或优化(包括替代优化)这些安全策略。

奥卡姆剃刀定律对于企业信息安全管理的另一层指导意义是如何对选择进行决策。当存在面向企业信息安全威胁控制的不同方案时,哪个方案简单就采取哪个,除非有强有力的证据证明表明简单的方案不足抵御威胁,而不简单的方案能够抵御威胁。依照奥卡姆剃刀原则,企业信息安全风险能用简单的技术进行控制时,就不用复杂的技术(即使这些技术显得更先进或更体系化)、能用通用的技术解决问题,就不用定制的技术(即使感觉更具有针对性);能用无人干预的方案,就不用行政安全控制措施(即使认为管理者亲力亲为更可信)。在具有完备信息下进行决策时,奥卡姆剃刀定律或许不起作用,但大多数情况下信息安全决策者很难得到完整全面的信息,此时遵循奥卡姆剃刀原则是帮助决策的一个捷径。在有些场合若能大幅度简化安全控制措施,使得这些控制措施执行简洁、评价容易,那么即使牺牲一些控制强度也许都值得,特别是在没有任何证据能够证明这样的策略简化会产生问题时。

某央企的一位信息安全专家在讨论安全准入和安全合规关系时,提出的一些观点对奥卡姆剃刀定律的理解颇有启发。一个企业的安全合规不是一个简单的事,需要大量的人力和财务投入,尤其是对于大型企业。如果在进入企业网络环境时缺乏基本的控制,满足安全合规就会遇到很大的挑战,因为无序地进入企业网络而带来的问题都可能被企业网放大。例如,我们知道一个实体的信息安全基线是这个实体最小的信息安全需求集,未满足信息安全基线等终端(即未满足企业对终端最小安全要求)就可能将其携带的安全威胁遍布其访问路径。可以想象一旦这样的问题形成规模时会引起怎样的安全混乱,即使企业网中包含了全方位的技术安全控制,也难对其加以遏制。一个简单的策略就是对于人员、设备、系统进入企业网络都采取相应的安全准入控制。这个策略的实施也许会有这样或那样的技术挑战,但这的确是一个简明扼要的企业信息安全策略,涵义清晰、目标明确、结果可测。

奥卡姆剃刀定律如同所有其它的安全准则一样,不是灵丹妙药,不能解决所有的企业信息安全问题,也不意味着在所有的场合都适用。但奥卡姆剃刀定律是一个具有启发性的指导原则,其核心意义在于不要将已经很复杂的信息安全问题人为地更加复杂化,在风险控制概念上和模型上化繁为简一定是企业信息安全管理的一条正确的途径。

2017-01-13 14:15
来源:中国信息安全杂志(2016.07
热门推荐更多
热点新闻更多