很明显，网络风险对全球所有组织来说都是一个“明确而现实的危险”.”1 虽然有一些方法可以降低网络风险, 并非所有与网络安全相关的风险都可以消除. 网络风险是一个不断变化的参数，需要不断分析，而且很难量化，这一点至关重要.
并不是每一个与风险相关的网络安全举措都能显著降低风险. 有时是一些小举措, 随着时间的推移, 对组织而言，是否具有显著降低风险和成本的累积效应. 这些小的举措, 与定期的网络安全尽职调查活动相结合, 都值得探索.
并不是每一个与风险相关的网络安全举措都能显著降低风险.
风险总是存在的
So, 一个人成熟了, 资金充足的网络安全公司和他们的组织在审计方面有着良好的历史. 进行了详细的风险分析项目和业务影响分析(BIAs). 快速执行补丁, 有良好的端点管理, 所有凭据都需要多因素身份验证(MFA), 经常进行渗透测试，工作人员训练有素. 风险等级是澳门赌场官方下载可以容忍和接受的. 事实上, 与垂直工业相比, 该组织的风险比许多类似的组织要小. 这是否意味着组织完全没有风险? 不，这也不意味着澳门赌场官方下载不能被攻破. 如果正确的威胁行为者将其网络作为目标，这样的组织仍然可能遭受相当大的损害和经济损失.
减少网络风险的第一步是了解澳门赌场官方下载存在哪些网络风险来源. 没有人能幸免于网络风险. 漏洞和弱点(通常是人为的)是网络和数字世界所固有的. 不管澳门赌场官方下载花了多少钱，也不管他们的网络安全团队有多优秀, 他们永远不可能消除所有的风险. 然而, 组织应该总是尝试尽一切可能消除风险, 即使是在最小的方面. 微小的变化和改进可以产生显著的影响.
人员配置问题放大风险
适当的网络安全防御包括许多层. 有些层次可能会根据战术而改变. 随着时间的推移，许多层会出现和消失. 有些层只需要很少的时间，也不需要额外的资金, 而其他层在时间和费用方面可能很重要. 大型项目的最大瓶颈有时不是预算，而是人员配备. 一些最好的网络项目需要许多人为了一个共同的目标工作数月. 员工可能没有足够的带宽来协助重大的, 除了他们的日常工作功能之外，还要做一些耗时的项目. 缺乏足够的人员配置会增加执行关键安全改进计划所需的时间.
从历史上看, 一些网络专业人士有利用当地大学实习生协助大型项目的良好经验, 繁琐和资源密集的网络项目. 这对双方来说都是双赢的. 学院或大学很乐意给学生一个现实世界的项目，学生有机会获得宝贵的经验.
风险是流动的
认识到风险是一个移动的目标，与认识到风险永远无法消除同样重要. 风险不断波动. 组织通常将风险视为停滞不前的，并且每年只需要审查一次, 特别是在内部或外部审计之前. 一旦审计结束, 降低风险, 直到下一个审计周期才考虑分析和改进. 事实上, 有些组织不会考虑进行任何更改，除非审计发现建议的更改结果.
在当今瞬息万变的网络安全世界中，流动性至关重要. 威胁形势在不断变化. 一个组织90%的风险是基于威胁组织为经济利益而进行的攻击.2 这一事实使得即使在完全不同的垂直行业中，威胁形势也非常相似. 对于大多数没有商业秘密的组织，比如图表, 公式, 专利信息, 秘密知识产权, 威胁形势由以下几个部分组成:
- 丢失机密资料
- 网络功能和/或网络服务或电子商务功能的丧失
- 无法访问网络和/或数字资源
- 与机密数据泄露相关的声誉和/或法律问题
威胁情报是关键
了解网络风险和威胁形势变化的最佳方式是培养一种心态，即寻求不断发现开发和改进有凝聚力的威胁情报战略的方法. 制定和维护威胁情报战略是成熟的网络防御中最重要也是最容易被忽视的一层.
了解网络风险和威胁形势变化的最佳方式是培养一种心态，即寻求不断发现开发和改进有凝聚力的威胁情报战略的方法.
了解威胁组织正在计划什么, 它们是如何攻击的, 而使他们成功(或不成功)的因素是应对不断变化的威胁环境的最重要驱动因素之一. 本质上, 当人们明白威胁形势在不断演变时, 他们可以理解，大多数攻击都是由经济利益驱动的，并利用威胁情报在微小的变化上构建战略，以主动防御威胁组织正在实时使用的战术.
例如, 考虑一个每天从多个来源接收威胁情报的金融机构. 该机构收到了一个新的情报，一个威胁组织成功地部署了针对其他金融机构的勒索软件. 威胁情报包含可以用来实施反制措施的信息. 对于每一个威胁，都有一定的对策可以启动. 在某些情况下, 威胁情报可能包含与MITRE攻击等框架相关的信息，这些信息将允许目标根据诸如互联网协议(IP)地址等因素立即构建对策, 统一资源定位符(url), 港口, 散列, 启发式或技术.
在其他情况下，可以提示快速修补漏洞. 有时, 网络安全人员可以在邮件网关阻止某些信息, 向最终用户发送通知或向员工提供额外的培训.
小的改变会带来不同
每个威胁情报公告和相应的应对措施有助于降低风险. 此外，其他微小的更改可以降低风险，例如在防火墙外围进行地理阻塞. In 2023, 大多数组织可以屏蔽某些国家, 基于IP地址, 从外围发送和接收数据包. 地理封锁国家的黑名单是长是短, 如果研究和实施得当，这将产生重大影响.
降低风险的另一种方法是澳门赌场官方下载与员工协作，围绕某些IT工作流开发手动流程，以便在技术资源不可用时仍然可以进行业务.
经常, 安全团队想出了更小的方法来改进警报, 基于网络事件的日志记录和遥测. 每一个建议都应该考虑, 不管多小, 进行细微的更改(一致地)以减少风险并使组织的安全状态成熟. 一个有效的, 领导层应该鼓励成熟的网络安全团队寻找并实施额外的防御层. 事实上，改进的想法可以作为一种有趣的竞争来管理.
结论
一个好的防御有很多层，必须适应不断的变化. 如果一个组织不能更新它的防御，它就会落后并失去动力. 澳门赌场官方下载的改进频率永远不应该低于威胁组织. 如果是这样，它将在威胁行为者面前失去优势.
尾注
1 乔伊斯,年代.; D. Dobrygowski; F. Van der Oord; “网络风险董事会治理原则，哈佛大学法学院公司治理论坛，2021年6月10日
2 SecureWorks, 2022年威胁状态:一年回顾2022年10月
编者按
想了解更多作者对这个话题的看法，请收听“澳门赌场官方下载如何持续降低网络风险ISACA的一集® 播客.
帕特里克·巴内特, CISA, CISM, CEH, CISSP, PCI QSA, PCIP
是Secureworks的事件响应首席顾问吗. 他拥有超过30年的网络安全专业经验，专门从事网络工程，专注于安全. 在以前的角色中, 他曾担任首席信息安全官(CISO)和首席信息官(CIO)，并曾在一家大型金融澳门赌场官方下载担任副总裁. Barnett热衷于看到网络安全得到正确的处理，并致力于帮助组织制定适当的政策, 响应任何大小的安全事件的过程和机制.