此页面上的内容需要较新版本的 Adobe Flash Player。

获取 Adobe Flash Player

信息安全

企业网络信息安全的七大误区,你重视了吗?
作者:   来源:热搜财经   日期:2019-12-25
    尽管大多数企业已经达成共识:安全事件的发生不是“如果”,而是“何时”,但对于许多企业而言,建立正确的安全体系结构以及树立严谨的安全意识依然举步维艰。 FireEye的《 Cyber Trendscape 2020》报告表明,大多数组织(51%)并不认为自己已经做好准备抵御网络攻击和数据泄露。

    随着威胁形势日益严峻,已经可以预见旧的安全范例将迫使许多受害公司破产。你会成为其中一员吗?

    01、认为公司业务规模太小,不会成为目标

    Verizon的《 2019年数据泄露调查报告》显示,所有网络攻击中有43%针对小型企业。根据保险公司Hiscox的数据,在过去一年中,超过一半的小企业遭受了不同程度的违规情况,这其中四成的企业经历了多次事件。此外,美国国家网络安全联盟报告称,估计有60%的小公司在网络攻击后仅六个月内就倒闭了,这说明了网络安全措施不足的现实后果。

    作为2020年的重中之重,各种规模的企业都需要将高科技安全。往往许多小企业主认为他们负担不起安全的费用,但违规行为的代价却是巨大的。IBM报告称,员工人数少于500人的公司平均遭受的损失超过250万美元。

    因此,开始投入一部分资金用于主动安全措施是必要的。请记住,将安全预算提高一倍并不能使安全性提高一倍。在网络安全投资方面,这不是一比一的权衡。

    无论是保护客户端数据,保护知识产权还是避免网络中断,通过专注于最终目标,来明智地分配安全预算,将帮助您确定投资的优先顺序,并在安全性,可用性和成本之间做出合理的业务折衷。

    02、无法防御零时差、多向量或多态攻击

    自20世纪80年代以来,我们见证了网络攻击的发展,不断迫使我们更新保护数字资产的方式。第一代攻击:病毒,主要抵御手段:使用防病毒软件。

    到了90年代,随着黑客将网络作为攻击目标,威胁变得更加复杂,应运而生的防火墙成为了必不可少的安全防御措施。跨入2000年,应用程序广泛利用以及其漏洞的利用,使得入侵防御系统(IPS)广受欢迎。从2010年开始,我们开始看到零日威胁,该威胁使用高度逃避的多态内容绕过传统防御,行为分析工具帮助我们应对了这些威胁。

    目前,我们正在目睹WannaCry和NotPetya等大规模和多媒介攻击的泛滥。在这些攻击中,黑客试图同时利用多个领域,包括网络,云和移动设备。这使网络安全变得更加复杂。如今,全世界只有3%的人为抵御零日攻击,多媒介攻击或多态攻击做好了准备。

    但是,网络安全不是可以忽略的事情。网络犯罪分子规模不断壮大,因为他们在经济上受到激励并乐于创新。随着我们马上进入2020年,未来我们会看到更复杂的攻击,造成更多的破坏,同时更加难以防御。

    因此,你需要通过多层现代网络安全方案来增强防御能力。随着攻击媒介的发展演变,一批新技术开始证明它们已经为企业做好了准备,例如正在开发中的潜在改变游戏规则的产品,例如自主安全服务方案和基于区块链的数据泄露保护,都值得考虑。

    03、沉溺于数据中

    在网络上寻找攻击者的迹象就像在大海捞针一样。在许多情况下,公司平均需要6个月才能检测到数据泄露。众所周知,你需要数据才能找到攻击者。但是,许多公司付出了巨大的努力,试图以巨大的基础架构和劳动力成本来捕获所有内容。然而最终却发现他们无法在紧要关头有效地分析或操作该数据。

    您的安全团队比以往任何时候都需要正确的工具来检测和调查关键的安全威胁。这包括安全软件,这些软件提供用于寻找和执行诊断的工具以及提供研究模式的启发式方法。使用机器学习和AI的新型自适应安全工具可以帮助您更有效地找到攻击者,在几毫秒内阻止攻击者入侵或泄露数据,并防止下次攻击。

    04、事件响应计划缺失

    事件响应计划提供了一组说明,可帮助IT人员检测,响应网络安全事件并从中恢复。IBM发现,拥有事件响应团队并且还对其事件响应计划进行了广泛测试的公司,与未采取措施的公司相比,平均而言,其数据泄露成本减少了123万美元。

    您的事件响应计划应针对性解决网络犯罪,数据丢失和服务中断之类的问题,这些问题可能会破坏日常业务运营,给企业带来高昂的成本。如果您没有事件响应计划,那么,It's time。

    SANS研究所的《事件处理程序手册》是一个很好的起点。它概述了事件响应团队为有效处理安全事件应采取的六个步骤。

    05、忽略第三方风险

    企业安全中的薄弱环节实际上可能是您的合作伙伴和供应商。当某人通过有权访问您的系统和数据的外部实体渗透到您的系统时,就会发生供应链攻击,也称为价值链或第三方攻击。

    来自第三方的违规行为给公司带来的损失平均高于37万美元。Ponemon的报告表明,有56%的组织由于其供应商的原因造成违规。于此同时,能够访问敏感信息的第三方的平均数量还在增加。

    由此,监管机构越来越多地关注第三方风险。去年,纽约州金融监管机构开始要求在纽约设有办事处的金融公司确保其供应商的网络安全保护达到标准。明年,欧洲也将采取同样的做法,他们推行的GDPR(The EU General Data Protection Regulation 欧盟通用数据保护条例)适用于任何从欧洲人那里收集个人信息并因违规而处以高额罚款的公司。

    为了保护您的公司并避免受到任何处罚,您将需要仔细审查与您有业务往来的公司在2020年的安全性,调整安全标准并积极监控第三方访问。

    06、安全不是企业的当务之急

    根据2019年因数据泄露而进行处罚的罚款金额表明,监管机构正在更加严厉地惩罚那些未能适当保护消费者数据的组织。在英国,英国航空公司(British Airways)被处以创纪录的2.3亿美元罚款,而Equifax同意为其2017年在美国的违约行为支付至少5.75亿美元。

    技术发展带来行业规范要求不断提高,未来各国可能都需要一份适合自己的数据保护条例,企业应该为在2020年罚款增加的趋势和进程做好准备。随着罚款成本的上升,安全性将从企业的事后考虑变成主流问题。

    如果您的董事会或管理层尚未注意到不断发展的网络安全和法规环境,那么就应该尽快把安全问题提上日程。根据Infosys知识研究院(IKI)的研究,将近一半(48%)的公司董事会和63%的商业领袖正在积极参与网络安全策略的讨论。

    综上所述,CISO的角色必须从勇于创新的角色转变为战略顾问。安全领导者必须准备好,愿意并且能够组建并执行合理的安全策略,其中包括合适的人才,服务和技术,以抵御当今复杂的威胁环境。

    07、员工无需承担网络安全责任

    人为错误仍然是组织自身安全的最大威胁之一。目前,每10名员工中只有3名接受过年度网络安全培训,这个情况对于上进的骗子或电子邮件诈骗者来说,规避哪怕最前沿的数字安全防护措施都是易如反掌。

    公司内部所有违规行为中有91%来自网络钓鱼。虽然电子邮件安全工具可以提供针对网络钓鱼的第一道防线,但防止网络钓鱼破坏的最佳方法,是要将网络安全视为工作场所文化问题,而不仅仅是IT问题。

    为了使这种类型的网络安全计划取得成功,您不仅必须在组织结构中培养良好的安全习惯,而且还必须让员工对公司的安全性负责并承担责任。正式的安全培训计划可以帮助教会员工如何保护自己和公司免受网络攻击,但是改变员工的态度和习惯可能更具挑战性。为此,您将需要适当地利用变更管理模型来构建全面的安全文化。

    总结

    攻击者变得越来越聪明,攻击发生得越来越快,事件变得越来越复杂。现在可以预见,几乎每个现代组织的高科技领域都将受到攻击。如果您仍然使用断开连接点工具、手动流程、并且人员不足,随意或被动地寻求安全保护,那就请做好准备,在2020年的大部分时间里应对网络安全的大火。

    随着我们进入连通性不断提高的时代,网络安全已成为一项业务攸关、极其动态、可大规模扩展和高度专业化的学科。在2020年,您必须准备好接受AI和自治服务,采用实时网络安全工具,并鼓励每个员工在打击在线威胁中发挥作用。

    随着网络犯罪分子的创新能力不断增强,请确保您的执行团队了解数据泄露可能造成的全部财务和运营影响,并准备就如何使用多方面的网络安全管理方法提出明确的战略,选择并利用强大的自适应安全措施,保证业务正常运行。

    企业的策略应包括一系列措施,其中安全软件、漏洞管理和员工培训是企业的组织在未来一年和几年中提高抵御网络攻击能力的方法之首。(玄门盾)