在拉斯维加斯Interop会场上，一位安全专家告诫与会者：公司的IT负责人必须注意影响到公司网络安全的七个安全产业内的小秘密。虽然IBM/ISS本身也是一个安全服务提供商，其首席安全策略师Joshua Corman还是在会上说：“对于安全产品和服务提供商试图想要告诉你的东西，最好是保持立度的怀疑。

　　他沿用1960年代Ralph Nader针对汽车安全出版的书《任何速度都不安全》来作为他演讲的标题：“任何速度都不安全，安全产业七个肮脏的秘密”。Nader讽刺汽车制造商针对汽车安全所做的改造都是一些花拳绣腿，没有实质性的提高。

　　安全厂商们时不时将其研发的投资用于管理界面而非更多的安全功能，他们更倾向于仅在客户强烈要求时才增加这样的安全功能。Corman说道：“安全厂商的目的是赚钱，而不是让用户更安全。”他说这是安全厂商的第零号肮脏的秘密。其他的七个分别为：

　　1、安全认证具有极强的误导性

　　安全认证标准经常确认说相应的产品能够100%地阻挡所有的可复制恶意代码。然而被捕获到的恶意代码中有75%是不可复制的，例如木马。当标准设定之后，Corman说：“不可复制的恶意代码仅占恶意代码的5%”。认证意味着一个产品只能捕获100%恶意代码中的25%.

　　2、没有安全世界

　　厂商常说网络世界必须设置防御，但大部分数据丢失其实并非经由防火墙，一半的数据丢失其实是经由丢失的笔记本电脑或其他移动设备。企业必须加强其商务流程的管理，如同他们加强其网络边界的管理一样。他说：“如果你继续相信网络世界，就像是你相信圣诞老人一样。”

　　3、风险评估威胁到安全厂商

　　安全厂商希望企业买他 们所卖的，这样他们能推动阻挡特定威胁的产品。例如，NAC能解决一些实际的问题，但是如果此类问题对企业来说并不会对其主要业务产生大影响，那就根本不 需要予以考虑。Corman说：“风险评估应能确定改进业务流程或固化配置是必须的，你需要了解所处的环境和大的优先级。”

　　4、弱的软件之新还有更多的风险

　　安全厂商力推如何保护 和修复软件的漏洞，但是Cormen说这些问题仅占被成功利用的漏洞的一部分。弱口令、弱配置，特别是缺省配置，以及易被社会工程突破的缺乏安全意识的人 才是最大的问题。Cormen说：“即使软件是完美的，仍有病毒木马会肆虐，他们其实并不完全依赖于软件问题。”

　　5、安全规范威胁到安全

　　安全规范本身并不是一 件坏东西，但是遵从政府制定的标准，例如：HIPAA或行业的标准如PCI并不是以使你的网络更安全。问题在于政策法规制造了规范要求与网管认为对业务来 说最需要做的事之间的落差，影响到预算和资源的投入。遵从这样的标准，同时意味着可能引发针对此类相同防御的可能攻击能被实施。他说：“如果PCI告诉他 们防御重点在什么地方，那攻击者就能轻易绕开。”