为实现安全 IT 创新，首先要对常规性的安全假设进行重新审视。
人们常常会有这样一种先入为主的观念，认为开源软件开发的管理或控制不及专有软件。基于这种错误观念，IT 决策者往往倾向于选择变化迟缓的传统基础架构供应商，从而制约了企业采用突破性开源社区技术的能力。
实际上，开源代码必须接受一系列严格的审核、验收或否定流程的检测。其独具的开放和分布式开发流程反而对产品代码的检测更为严格和细致 — 与专有软件相比有过之而无不及。而且，参与软件产品审核和测试的人数也远远超过专有代码。这恰好使得任何潜在的安全漏洞能够更及时地被发现和修复。
软件测试公司和分析工具供应商 Coverity 对超过 1,500 个开源项目（包括 Apache Hadoop、NetBSD、Free BSD、LibreOffice 和 Linux 内核）与 Microsoft、SAP 和 RSA 等客户的专有代码进行了详细对比。
Coverity 的对比结果显示，开源代码库的整体缺陷密度为每 1,000 行代码存在 0.59 个缺陷，相比之下，专有软件缺陷密度则高达 0.72 。3
人们常常误认为，引入虚拟化技术会全面增加系统安全风险，从托管服务器，到虚拟机上运行的应用都是如此。实际上，虚拟环境所存在的风险并不比物理服务器高。而是该环境的底层软件（虚拟机系统监控程序和操作系统）决定了该虚拟环境的安全性的优劣程度。
恶意软件通常采用以下两种方式攻击虚拟系统：
在虚拟机系统监控程序和底层操作系统共享相同、一致的嵌入式安全功能时，可以有效缓解恶意软件攻击其他虚拟机或服务器硬件的风险。事实上，若能实现优化方式实施，虚拟化技术能够将虚拟机隔离到安全的操作系统环境之中，从而降低漏洞风险。
基于内核的虚拟机 (KVM) 是一种开源虚拟机监控程序，提供企业级的高性能、可扩展性和安全性。根据 IDC 的数据显示，它也是目前市场上发展速度最快的虚拟化技术产品之一，部署增长速度高达 50%。4
KVM 通过最初与美国国家安全局合作开发的安全增强型 Linux 系统 (SELinux) 提供强化的内置安全性。SELinux 是一种具备强大功能集合的安全系统，提供了利用 Linux 内核中的 Linux 安全模块实施细粒度访问控制策略的保护机制。
由于业务工作负载具备了在物理、虚拟和云端架构动态部署和移动的能力，因此企业必须谨慎对待以下情况：a) 所用映像含有漏洞（可能是由于映像过于陈旧）；b) 工作负载被移动到区域，或者迁移到不具备充分网络和系统层保护的主机上（例如，当“安全”工作负载被迁移到“未加密”的系统时）。
这就要求必须使用安全的基础架构作基础，同时具备与不断变化的环境变量保持同步的安全功能。一旦在操作系统、虚拟化和云端架构上实施了统一的安全策略，即可轻松实现安全功能与工作负载的动态移动同步。换言之，如果工作负载移动，安全策略和实施也会随之而动。
“到 2015 年，60% 的 CIO 安全预算在安全性日益薄弱的传统系统面前将存在 30-40% 的资金缺口，无法在维护现有被动安全投资的同时满足企业威胁评估的资金需求。”--- IDC 调查结果5
3.“为何开源技术开发项目越来越安全”，Nick Heath，TechRepublic，2014 年 6 月 3 日。
4.“开源项目竞争加速技术发展”，Jim Zemlin，Linux.com，2013 年 10 月 31 日。
5. IDC，IDC 2014 年预测：CIO 议程演示文稿，2013 年 12 月。