在安全问题上，“头痛医头，脚痛医脚”的现象随处可见，完整的安全风险管理流程是怎样的呢？
在客户企业中，处于不同职责上的员工对安全的认识有所不同。对于企业审核部门，他们希望安全系统应该有自动的风险和法规报告功能；IT部门关心的更为具体，如确定安全计划和修复漏洞的优先级等；CIO则会更注重如何将安全问题可能带来的业务中断降低到最小。
可见，安全应该是一个符合企业各部门需求的方案。
安全不是哪痛医哪
企业业务活动均可能会受到恶意威胁、配置错误以及大量漏洞的影响，使得企业无法站在风险的角度来审视自己的安全系统，这样有可能导致“头痛医头，脚痛医脚”的事情发生。
McAfee华北区安全顾问陈纲认为，安全风险管理方法除了威胁防护功能外，还需要有遵从性的管理功能，此项功能包括策略增强、漏洞修复、网络接入控制、审计和数据损失防护进行集成。
安全风险管理解决方案可以划分为五个环节，这五个环节分别是风险识别、风险状况评估、企业安全策略的强制执行、保障和漏洞修补。这几个环节组合在一起，共同构筑出一个“圆环”，形成完整的安全风险管理流程（如图）。
举例来说，用户可以通过McAfee Foundstone发现企业的安全问题，再用McAfee ePo对企业网络所存在的安全风险进行评估，接下来McAfee IntruShield对发生风险漏洞的部分强制执行企业安全策略，通过ToPs、SIG等解决风险和故障后，最后由Remediation Manager自动修补漏洞并纠正策略违规行为。
安全风险管理流程是一种集成式的安全防护。对用户来说，要了解和关心的是安全风险管理流程和方法，而不必过多关注在某个环节中该用到哪个厂商的产品。
而且，企业用户也不需要一下子就将安全风险管理流程的五大环节一次部署完毕。用户应该根据对安全的需求选择重点和优先希望处理的问题来进行防护，逐步将整个流程建立起来，实现企业安全。
数据保护安全机制
IT风险管理需要包括现有IT的各方面，企业需要将网络访问控制、身份管理、数据泄露保护以及补救措施纳入框架，以确保实现对数据的保护。
IPS可被视作是增加了主动阻断功能的IDS，但IPS绝不仅是增加了主动阻断的功能，而是在性能和数据包的分析能力方面都比IDS有了质的提升。
IPS能够针对用户的特定需求提供灵活且容易使用的策略调优手段，以提高检测准确率。其中，漏洞分析技术与入侵防护技术结合起来，使关键资源得到主动防护。据了解，McAfee IntruShield 10千兆以太网平台是高达10Gbps的网络入侵防护系统，IntruShield 4.1在IPS范畴上提高一步，可提供网络和系统集成与协作功能。
目前，许多安全厂商都大力推广网络访问控制（NAC）技术。实际上，网络访问控制是一个扫描计算机及其他设备的进程，它可以在这些计算机或设备进入网络之前确定其是否符合企业在安全方面的策略。
网络访问控制可阻止不符合安全要求的系统访问，并感染您公司的网络，例如阻止访问、限制访问某些资源或只允许访问一个能够更新安全功能的独立网段。
陈纲认为，安全风险管理是一个流程而非一个产品，用户需要了解的是一个风险管理怎样去完成，然后规划企业未来的风险，而不是去实行产品堆叠。（责任编辑：崔平）
