你的CIO是按季度批准预算。而你，要经营整间公司，所以，你会很自然地把用于IT安全的投入放到网络安全领域。因为，你觉得这是黑客猖獗的地方，是吗?

对错分半。

大多数IT安全资源都侧重于保护网络设备不受黑客和泄露威胁。听起来不错，但事实真如此吗?不过大多数企业都认为黑客最想要的数据在数据库和存储服务器中。

甲骨文周一出具了一份有关IT安全开销的最新研究，该研究表明，大多数企业正把IT安全资源分配到网络设备上，而不是保存着大量公司和用户数据的服务器。

有110家公司接受了甲骨文的调查——从金融服务，政府机构到高科技公司不等——约66%的受访对象采用的是“由内而外”的策略，这样的策略将大部分的资源都用于保护网络层级。同时，只有不到四分之一的员工和预算资源被用于保护核心存储部件，服务器，应用和数据库。

仅有一半的受访者认为数据库是安全的，因为数据库被深深嵌入周边安全设备的保护之中。

Dropbox就是一个例子。“被盗的密码曾被用于访问员工的Dropbox账户，这些账户里包含带有用户邮件和地址的项目文档，”2012年Engineering Aditya Agarwal Dropbox副总裁在其博客中如是说。黑客不是非得深度挖掘——他们只需手中的钥匙进入Dropbox就可以了。

这还只是一个例子。还有很多的数据泄露事故，事实上都是由用户密码的疏忽导致，而并非黑客利用了公司系统的零日漏洞。

报告中还提到：

1.90%的受访者称在过去12个月里，对IT安全的投入都保持不变，或有所增加。

2.40%的受访者表示，不平衡和碎片化的保护方式，使得营业，企业和用户数据在面对威胁和内部数据泄露时，不堪一击。

3.近乎三分之二的公司计划在未来一年增加对IT安全的投资。

4. 超过三分之一的企业是因新闻报道和负面消息而增加IT安全的投资，并非是因为内部识别出的威胁而增加投资。

甲骨文首席安全官Mary Ann Davidson称：“各组织不能继续把钱花在错误的地方。当攻击者突破防线的时候，他们就可以通过寻找优先的用户访问权，带漏洞的应用和过量访问的账户，利用核心系统的薄弱环节。”

“所以各组织应该获取最根本的权限——包括数据库安全，应用安全和身份管理。”