压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

網(wǎng)絡(luò)風(fēng)險顯然已經(jīng)成為“全球所有組織的明顯和現(xiàn)實的危險”。雖然有一些方法可以降低網(wǎng)絡(luò)風(fēng)險，但并非所有與網(wǎng)絡(luò)安全相關(guān)的風(fēng)險都可以消除。我們必須理解網(wǎng)絡(luò)風(fēng)險是一個不斷變化的參數(shù)，需要不斷分析并且難以量化。

并非每個與風(fēng)險相關(guān)的網(wǎng)絡(luò)安全舉措都能顯著降低風(fēng)險。有時，隨著時間的推移，小的舉措會產(chǎn)生累計效應(yīng)而顯著降低風(fēng)險，并且對組織的成本很低。這些小舉措與常規(guī)的網(wǎng)絡(luò)安全盡職調(diào)查活動相結(jié)合，值得探索。

總是有風(fēng)險需要識別

例如，有一個組織在網(wǎng)絡(luò)安全方面資金充裕、管理較成熟、并且在審計方面有著良好歷史，已經(jīng)開展了詳細(xì)的風(fēng)險分析項目和業(yè)務(wù)影響分析（BIAs），補(bǔ)丁執(zhí)行速度快，端點管理良好，所有憑據(jù)都需要多因素身份驗證 （MFA），執(zhí)行了頻繁的滲透測試，員工訓(xùn)練有素，且風(fēng)險水平是企業(yè)可以容忍和接受的。事實上，與垂直行業(yè)相比，該組織的風(fēng)險低于許多類似組織。這是否意味著這個組織根本沒有風(fēng)險？答案是否定的，同時這也不代表企業(yè)不能被破壞。如果威脅行為者針對其網(wǎng)絡(luò)，這樣的組織仍可能遭受相當(dāng)大的損害和經(jīng)濟(jì)損失。

降低網(wǎng)絡(luò)風(fēng)險的第一步是了解企業(yè)存在哪些網(wǎng)絡(luò)風(fēng)險來源。面對網(wǎng)絡(luò)風(fēng)險，無人能幸免。漏洞和弱點（通常是人為的）是網(wǎng)絡(luò)和數(shù)字世界固有的。無論企業(yè)花費多少錢或他們的網(wǎng)絡(luò)安全團(tuán)隊多么有才華，他們永遠(yuǎn)無法消除所有風(fēng)險。組織應(yīng)始終嘗試盡一切可能消除風(fēng)險，即使是以最小的方式。微小的變化和改進(jìn)可能會產(chǎn)生重大影響。

人員配置問題放大了風(fēng)險

適當(dāng)?shù)木W(wǎng)絡(luò)安全防御由許多層組成。某些層可能會根據(jù)戰(zhàn)術(shù)而改變。許多層會隨著時間的推移來來去去。有些層需要很少的時間且不需額外的資金，而其他層在時間和費用方面開支巨大。大型項目的最大瓶頸有時不是預(yù)算，而是人員配置。一些最好的網(wǎng)絡(luò)項目需要許多人為一個共同的目標(biāo)工作數(shù)月。除了完成日常工作外，員工往往沒有精力協(xié)助額外的重大、耗時項目的完成。缺乏足夠的人員可能會導(dǎo)致關(guān)鍵安全改進(jìn)計劃需要更長的時間來完成。

過去，一些網(wǎng)絡(luò)專業(yè)人士會利用當(dāng)?shù)卮髮W(xué)實習(xí)生來協(xié)助大型、繁瑣和資源密集型網(wǎng)絡(luò)項目。這對雙方來說都是雙贏的。學(xué)院或大學(xué)很高興為學(xué)生提供一個現(xiàn)實世界的項目，學(xué)生則有機(jī)會獲得寶貴的經(jīng)驗。

風(fēng)險是流動的

與理解風(fēng)險永遠(yuǎn)無法消除同樣重要的是，理解它是一個移動的目標(biāo)。風(fēng)險不斷波動。組織往往將風(fēng)險視為停滯的，且每年只需要審查一次，尤其是在內(nèi)部或外部審計之前。一旦審計結(jié)束，直到下一個審計周期才會考慮降低風(fēng)險、分析和改進(jìn)。事實上，一些組織不會考慮進(jìn)行任何更改，除非審計發(fā)現(xiàn)建議更改。

在當(dāng)今瞬息萬變的網(wǎng)絡(luò)安全世界中，流動性至關(guān)重要。威脅形勢在不斷變化。組織百分之九十的風(fēng)險來自威脅團(tuán)隊為獲取經(jīng)濟(jì)利益而發(fā)起的攻擊。這一事實使得即使在截然不同的垂直行業(yè)中，威脅形勢也非常相似。對于大多數(shù)沒有商業(yè)機(jī)密（如圖表、公式、專利信息、秘密知識產(chǎn)權(quán)）的組織來說，威脅形勢由幾個組成部分組成：

• 機(jī)密數(shù)據(jù)丟失
• 網(wǎng)絡(luò)功能和/或網(wǎng)絡(luò)服務(wù)或電子商務(wù)功能的丟失
• 無法訪問網(wǎng)絡(luò)和/或數(shù)字資源
• 與機(jī)密數(shù)據(jù)泄露相關(guān)的聲譽和/或法律問題

威脅情報是關(guān)鍵

了解網(wǎng)絡(luò)風(fēng)險和威脅形勢變化的最佳方法是培養(yǎng)一種思維方式，即不斷尋求方法制定和改進(jìn)威脅情報整體策略。制定和保持威脅情報策略是成熟網(wǎng)絡(luò)防御中最重要但最容易被忽視的層級之一。

了解威脅組織正在計劃什么、他們?nèi)绾喂粢约笆鞘裁醋屗麄兂晒Γɑ虿怀晒Γ┦琼憫?yīng)不斷變化的威脅形勢的最重要驅(qū)動因素之一。從本質(zhì)上講，當(dāng)人們了解威脅形勢在不斷發(fā)展時，他們就可以理解經(jīng)濟(jì)利益驅(qū)動了大多數(shù)攻擊，并使用威脅情報來制定針對微小變化的策略，以主動防御威脅組織實時使用的策略。

例如，假設(shè)一家金融機(jī)構(gòu)每天從多個來源接收威脅情報。該機(jī)構(gòu)收到一條情報說威脅組織正在成功部署針對其他金融機(jī)構(gòu)的勒索軟件。威脅情報包含可用于執(zhí)行對策的信息。對于每個威脅，都可以啟動一定的對策。在某些情況下，威脅情報可能包含與 MITRE ATTACK 等框架相關(guān)的信息，這些信息允許目標(biāo)根據(jù) Internet 協(xié)議 （IP） 地址、統(tǒng)一資源定位器 （URL）、端口、哈希、啟發(fā)式或技術(shù)等因素迅速構(gòu)建對策。

在其他情況下，可以提示快速修補(bǔ)漏洞。有時，網(wǎng)絡(luò)安全人員可以在郵件網(wǎng)關(guān)上阻止某些信息，向最終用戶發(fā)送通知或向員工提供其他培訓(xùn)。

小改變帶來大不同

每個威脅情報公告和相應(yīng)的對策都有助于降低風(fēng)險。此外，其他細(xì)微更改可以降低風(fēng)險，例如防火墻外圍的地理阻止。在 2023 年，大多數(shù)組織可以根據(jù) IP 地址阻止某些國家/地區(qū)在外圍發(fā)送和接收數(shù)據(jù)包。無論被封鎖國家的黑名單是短還是長，如果研究和實施得當(dāng)，這都會產(chǎn)生重大影響。

降低風(fēng)險的另一種方法是企業(yè)與員工協(xié)作，圍繞某些IT工作流程開發(fā)手動流程，以便在技術(shù)資源不可用時仍然可以開展業(yè)務(wù)。

通常，安全團(tuán)隊會用一些較小的想法來改進(jìn)基于網(wǎng)絡(luò)事件的警報、日志記錄和遙測。無論多小的建議都應(yīng)得到重視，都要（始終如一地）進(jìn)行細(xì)微的更改，以降低風(fēng)險并使組織的安全態(tài)勢成熟。領(lǐng)導(dǎo)層應(yīng)始終鼓勵一個有效、成熟的網(wǎng)絡(luò)安全團(tuán)隊尋找并實施額外的防御層。事實上，改進(jìn)的想法可以作為一種有趣的比賽來管理。

結(jié)論

良好的防御有許多層次，必須適應(yīng)不斷的變化。如果一個組織未能更新其防御措施，它將落后并失去動力。企業(yè)的改進(jìn)頻率永遠(yuǎn)不要低于威脅團(tuán)隊。否則，它將輸給威脅行為者。

來源：ISACA