減少重大網絡安全事件的十大最佳實踐
研究表明，新冠疫情已將網絡安全市場帶到一個關鍵的拐點。根據一項針對全球14個不同行業的1000多家大型企業的最新調查，2020年到2021年，受訪企業遭受的重大網絡安全事故數量增加了21%，網絡安全預算增長了51%，從占公司總收入的比例從0.53%上升到0.80%。
網絡安全成為一項戰略性業務，需要CEO及其管理團隊共同努力，以滿足監管機構、股東和董事會的更高期望。
此外，首席信息安全官(CISO)的職責和角色正在擴大，許多人負責數據安全(49%)、客戶和內部欺詐(44%)、供應鏈管理(34%)、企業和地緣政治風險管理(30%)以及數字化轉型和業務戰略(29%)。
然而，29%的CEO和CISO以及40%的CSO承認，他們的企業沒有為快速變化的威脅形勢做好準備。原因包括：
- 供應鏈的復雜性(44%)
- 數字創新的快速步伐(41%)
- 網絡安全預算不足和缺乏行政支持(均為28%)
- 數字資產和實物資產的融合(25%)
- 人才短缺（24%）
未做好準備的企業占比最高的是一些關鍵基礎設施行業，分別如下：
- 醫療(35%)
- 公共部門(34%)
- 電信(31%)
- 航空航天和國防(31%)
在接下來的兩年中，隨著國家黑客和網絡犯罪分子的不斷增多，企業安全主管們預計來自社會工程和勒索軟件的攻擊將會增加。高管預計，這些攻擊將針對主要由軟件錯誤配置(49%)、人為錯誤(40%)、維護不善(40%)和未知資產(30%)導致的薄弱環節。
十大最佳網絡安全實踐
經濟學家根據26個指標評估了企業和政府組織的網絡安全績效，包括檢測、響應和緩解網絡安全漏洞的時間，以及發現的重大漏洞數量。基準研究揭示了10個最佳實踐，可以有效減少重大違規事件的可能性，以及發現和響應事件所需的時間：
1.將網絡安全成熟度提升到最高水平
在應用NIST網絡安全框架方面最先進的企業在關鍵指標上的表現優于其他企業，例如檢測攻擊的時間（先進企業平均用時119天，其他企業為132天）。網絡安全成熟度高的企業的年度重大安全事件也更少（先進企業為0.76，其他為0.81）。
2.確保網絡安全預算充足
分析發現網絡安全投資與結果之間存在明顯的相關性。2021年報告多起重大違規事件的受訪者將其總IT支出的12.3%用于網絡安全，而2021年未發生重大安全事件的受訪者的安全支出占總IT支出的12.8%。花費更多的企業還能更快地檢測和緩解安全事件。
3.基于風險的安全管理方法
平均而言，基于風險的安全管理者（即在風險概率和影響的定量分析方面表現出色的領導者）在2021年平均經歷了22.5起安全事件和0.75起重大違規事件，而對基于風險的安全方法不熟悉的管理者則經歷了27.1起事件和0.88起重大違規事件。此外，表現最佳的企業中，有50%及時采取了基于風險的方法來緩解風險，而表現不佳的企業中只有17%采取了基于風險的方法。
4.讓網絡安全以人為本
網絡安全既關乎人，也關乎技術。當企業建立安全“人員層”、創建對網絡安全風險敏感的企業文化、實施更有效的安全意識培訓計劃并制定明確的招聘和留住員工的流程時，能夠大大減少違規行為和響應時間。
5.提高供應鏈安全能力
44%的受訪者表示供應商數量的不斷增加使他們面臨重大的網絡安全風險。能夠及時檢測、響應和緩解的企業通常在供應鏈安全方面更加成熟。例如，在檢測時間極短的企業中，超過一半的企業在供應鏈安全方面處于領先地位，而在檢測時間較長的企業中，這一比例為25%。
6.利用最新技術但避免產品擴散
能夠有效避免重大網絡安全事故的企業往往已經投資了多種安全解決方案，從電子郵件安全、身份管理等基礎功能到安全信息和事件管理系統(SIEM)等更專業的工具。這些企業也更有可能采用多層、多供應商的安全方法，通過強大的基礎設施更好地監控和管理風險。
7.優先保護IT與OT之間的聯系
隨著數字世界和物理世界的融合，受訪者的攻擊面正在擴大。優先保護互連的IT和OT資產的企業能夠減少重大違規事件，同時縮短檢測和響應時間。
8.利用人工智能與自動化
自動化與人工智能和編排相結合，可幫助CISO更好地交付成果，同時將員工從繁瑣的任務中解放出來。例如，在駐留時間（檢測和修復的時間）很短的企業中，大約有30%使用智能自動化，而駐留時間很長的企業中只有17%使用智能自動化。
9.改進對擴展攻擊面的安全控制
由于更大規模的數字化轉型、云遷移、遠程工作和供應鏈復雜性，新冠病毒大流行期間企業攻擊面擴大了。研究表明，越來越多的公司需要實施安全控制以覆蓋其不斷擴大的技術環境。
10.有效地衡量績效
目前，企業平均只跟蹤4.2個網絡安全指標。更加勤奮的執行團隊能監控六個或更多指標，從而大大減少重大違規事件，對攻擊的反應也更快。
“企業在新冠病毒大流行期間轉向數字化，現在又遭遇地緣政治緊張局勢升級，企業正面臨一個網絡安全風險的新時代，這需要企業高管及其員工之間更廣泛的團隊合作。
實證研究表明，企業需要實施積極主動、以風險為基礎、以人為本、技術先進且資源預算充足的網絡安全戰略，將其網絡安全能力提升到更高水平，才能將風險轉化為新的競爭優勢。
（來源：@GoUpSec）
