但是，除了網(wǎng)絡(luò)安全行業(yè)和一些主流媒體文章報道之外，人員的集體反應(yīng)是越來越沉默。通常當(dāng)計算機安全發(fā)生大事時，很多人都會問應(yīng)該怎么做。Meltdown(熔毀)和Spectre(幽靈)被報道之后，人們的反應(yīng)不再那么強烈。

    因為應(yīng)對Meltdown(熔毀)和Spectre(幽靈)通常需要固件補丁，用戶幾乎很難獨自處理。在未來的很多年里，全球?qū)⒂袛?shù)以億計的這樣的設(shè)備。為什么反應(yīng)并不強烈?這是因為炒作疲勞。每一個威脅都被過度夸大，而當(dāng)一個真正的全球性威脅出現(xiàn)時，需要每個人都進行關(guān)注的時候卻并不在意，并會認(rèn)為他們的操作系統(tǒng)提供商或設(shè)備提供商會在適當(dāng)?shù)臅r候修補它。坦率地說，這兩個新威脅很可能會導(dǎo)致更多的微處理器錯誤，被網(wǎng)絡(luò)攻擊者發(fā)現(xiàn)和利用。

3. 不良威脅情報干擾了關(guān)注焦點
   部分原因是大多數(shù)企業(yè)自己的威脅情報在提醒他們需要擔(dān)心哪些威脅。而威脅情報(TI)還應(yīng)該關(guān)注數(shù)以千計的威脅，并告訴工作人員哪些威脅最可能進行攻擊。與其相反，威脅情報(TI)的作用通常是用于進行炒作的放大器。

    想要知道大多數(shù)威脅情報部門是如何感染的?詢問對企業(yè)造成最大的損害的威脅是什么。是惡意軟件、社交工程、密碼攻擊、配置錯誤、故意攻擊、加密不足?沒有哪一個TI團隊可以直截了當(dāng)?shù)鼗卮穑⑶矣袛?shù)據(jù)支持其結(jié)論。如果企業(yè)無法確定最大的威脅是什么，那么如何才能最有效地應(yīng)對正確的威脅呢?

4. 合規(guī)性問題并不總是與安全最佳實踐保持一致
   如果企業(yè)想要在計算機安全方面快速完成某些工作，需要了解是否符合法規(guī)要求。企業(yè)的高級管理人員需要關(guān)注合規(guī)問題。在很多情況下，他們可以承擔(dān)責(zé)任，積極彌補合規(guī)缺陷。

    不幸的是，合規(guī)性和安全性并不總是一致的。例如，一年前的最好的密碼建議，卻違反了有關(guān)密碼的法律和監(jiān)管要求。事實證明，人們所認(rèn)知的密碼安全的許多事情都在變化，例如要求密碼的復(fù)雜性，網(wǎng)絡(luò)威脅隨時間而改變。大多數(shù)法律和法規(guī)建議的創(chuàng)建者和維護者似乎都沒有注意到，即使遵循舊的密碼建議，往往也會使企業(yè)的數(shù)據(jù)容易被泄露。

    在這個問題上，很多網(wǎng)站不會讓人們創(chuàng)建一個超過16個字符的密碼(而這樣的密碼將是非常強大的，無論其復(fù)雜性如何)，而密碼采用“特殊”的符號在理論上會使黑客的攻擊更加困難，數(shù)據(jù)和研究顯示這在實際應(yīng)用中顯然不是這樣。

5. 太多項目分散資源
    很多企業(yè)都有幾十個正在進行的安全項目，每個安全項目都旨在保護企業(yè)的電腦和設(shè)備。在任何情況下，這些項目中的一個或兩個如果完成，將提供其所需的大部分安全收益，以顯著降低安全風(fēng)險。而實施數(shù)十個項目，將拆分有限的資源。大多數(shù)項目即使完成，也會被延遲和低效執(zhí)行。而IT安全世界的軟件價格昂貴，并承諾項目不用工作人員監(jiān)督持續(xù)運作。

6. 寵物項目通常不是最重要的項目
   更糟糕的是，大多數(shù)企業(yè)都有一個或兩個寵物項目。企業(yè)不了解自己公司的數(shù)據(jù)面臨的最大威脅是什么，他們會從其他項目中選拔出最優(yōu)秀、最聰明的團隊成員來完成他們的任務(wù)，這其實影響了其他重要項目的實施。

    還有更多的例子說明為什么計算機維護者不把重點放在正確的事情上。企業(yè)通常從日常的威脅開始，并且在項目鏈上受到許多其他因素的影響。解決問題的第一步是承認(rèn)企業(yè)的安全有問題。而如果企業(yè)發(fā)現(xiàn)一些無效計算機防護措施，那么是幫助團隊中的每個人了解問題，并幫助他們更好地關(guān)注問題的時候了。