压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

高管總想削減預(yù)算，CISO需有靈活的結(jié)構(gòu)以改進(jìn)基線評估和目標(biāo)、戰(zhàn)術(shù)及能力。

大多數(shù)現(xiàn)代企業(yè)都將網(wǎng)絡(luò)安全視為重中之重，這不算什么秘密。但風(fēng)險管理公司Marsh最近的一份調(diào)查報告揭示，僅1/5的公司企業(yè)有工具可以管理網(wǎng)絡(luò)攻擊風(fēng)險——盡管高管宣稱網(wǎng)絡(luò)攻擊是其首要風(fēng)險管理關(guān)注點(diǎn)。

為什么認(rèn)知與實際行動會倒掛？這往往是因為安全產(chǎn)品及工具似乎沒有能直接影響商業(yè)結(jié)果的投資回報(ROI)，也就讓安全人員難以在公司里倡導(dǎo)購置這些工具。

公司企業(yè)難以量化網(wǎng)絡(luò)安全投資價值的同時，需重點(diǎn)指出的是，真正的ROI來自于防護(hù)公司免遭實質(zhì)性損害。Juniper Research 的一份研究預(yù)測，到2019年，數(shù)據(jù)泄露將令公司企業(yè)損失2萬億美元以上。因此，鑒于防損和公司底線之間的直接聯(lián)系，聰明的安全在成本節(jié)約、信譽(yù)保護(hù)等方面值回票價。公司企業(yè)知道自己需要關(guān)注安全，但想要真正獲得高管支持，安全團(tuán)隊需證明ROI——正確的ROI，并提供清晰的實現(xiàn)計劃。

同時，傳統(tǒng)信息安全角色不斷擴(kuò)張，如今的安全角色已超出了安全運(yùn)營的范圍。安全人員現(xiàn)在身兼多責(zé)，不僅僅要確保安全工具正常運(yùn)轉(zhuǎn)，還需證明實現(xiàn)特定工具的需求是合理的。

面對領(lǐng)導(dǎo)層的這種新考驗，安全團(tuán)隊該怎么讓高管理解應(yīng)將安全從一開始就植入產(chǎn)品和過程以避免在遭遇重大安全事件之后才亡羊補(bǔ)牢呢？做張安全路線圖可幫助規(guī)劃說服高管掏錢所需的戰(zhàn)術(shù)性行動。

一張在CIO下創(chuàng)建靈活安全結(jié)構(gòu)的有效路線圖，有4個支柱：

1. 安全監(jiān)管：包含企業(yè)治理和關(guān)鍵績效指標(biāo)(KPI)跟蹤。

2. 信息風(fēng)險：內(nèi)部風(fēng)險管理項目的設(shè)計及可持續(xù)性，可跟蹤企業(yè)整體風(fēng)險和可接受較高風(fēng)險水平之例外情況。

3. 安全架構(gòu)和工程：與跟蹤并緩解風(fēng)險的安全控制及工具的主動持續(xù)部署有關(guān)的內(nèi)容。

4. 安全運(yùn)營：利用以上3個支柱監(jiān)視并報告事件的運(yùn)營模型。

以此為基礎(chǔ)，以下4步可助信息安全人員將路線圖付諸實踐。

實踐 1：評估風(fēng)險、資產(chǎn)及資源

應(yīng)先識別并登記最需保護(hù)的資產(chǎn)。什么東西對你的公司最為重要？你系統(tǒng)和數(shù)據(jù)面臨的最主要威脅是什么？然后你得理解這些資產(chǎn)遭遇網(wǎng)絡(luò)威脅的可能性。如果你的安全團(tuán)隊人手不足，不妨在必要的時候利用其它團(tuán)隊或外包出去。一旦完成評估，應(yīng)選擇要遵從的安全框架來保持項目正常運(yùn)行，比如美國國家標(biāo)準(zhǔn)與技術(shù)局(NIST)制定的安全框架——覆蓋了任意相關(guān)監(jiān)管要求的。

實踐 2：更新信息安全策略

要獲得高管支持，得從經(jīng)理層開始一級一級往上。更新現(xiàn)有策略并創(chuàng)建通用安全標(biāo)準(zhǔn)，可在高風(fēng)險領(lǐng)域給他們提供指南。經(jīng)理也會受益于從風(fēng)險評估到商業(yè)用于的轉(zhuǎn)譯和使用與高管層一致的標(biāo)準(zhǔn)。

實踐 3：發(fā)現(xiàn)所需的新控制并部署它們

確保記錄下每一個ID對數(shù)據(jù)的所有訪問——這需要日志管理工具或安全信息及事件管理系統(tǒng)(SIEM)。

限制特定數(shù)據(jù)只能被特定人員訪問通常是個不錯的做法。另外還應(yīng)要求唯一的系統(tǒng)用戶名和口令，并清除組賬戶共享。數(shù)據(jù)防泄漏對于確保沒有敏感數(shù)據(jù)被郵出公司而言非常重要。一旦做好測試這些控制措施的準(zhǔn)備，你應(yīng)使用分階段的做法，以確保這些控制措施被集成到新基礎(chǔ)設(shè)施及應(yīng)用部署的軟件開發(fā)生命周期中。而且，測試過程中，你不應(yīng)僅注意解決方案在技術(shù)上是否有效，還應(yīng)關(guān)注是否會給你的雇員或過程帶來過重負(fù)擔(dān)。

實踐 4：教育你的員工、管理層、供應(yīng)商和客戶

準(zhǔn)備好推出新策略時，你需著眼內(nèi)部及外部教育。在內(nèi)部，你應(yīng)解釋員工需遵從的規(guī)則，以及不合規(guī)可能面臨的后果。定期安全培訓(xùn)會促進(jìn)良好安全意識的養(yǎng)成，做到“公司安全我有責(zé)”。對外，你應(yīng)讓供應(yīng)商和客戶都知曉你的新策略，讓他們知道合規(guī)所需要求。

雖然企業(yè)總想給預(yù)算瘦身，一張有效的路線圖是引導(dǎo)內(nèi)聚作用的最快方式。路線圖可使你改進(jìn)基線評估和目標(biāo)、戰(zhàn)術(shù)及能力。通過有效計算風(fēng)險，從管理該風(fēng)險的角度闡述安全產(chǎn)品的價值，以及合理化安全產(chǎn)品在預(yù)算中的位置，信息安全人員將能夠說服高管，留下預(yù)算。

Marsh報告鏈接：

https://www.marsh.com/us/insights/research/global-cyber-risk-perception-survey.html

Marsh報告下載地址：

https://www.marsh.com/content/dam/marsh/Documents/PDF/US-en/Marsh%20Microsoft%20Global%20Cyber%20Risk%20Perception%20Survey%20February%202018.pdf