所有聯(lián)網(wǎng)的企業(yè)是很容易受到網(wǎng)絡(luò)攻擊的，并且潛在的損失是巨大的。例如，零售巨頭 Target，在2013年，遭遇了數(shù)據(jù)破壞，預(yù)計(jì)損失超過2.5億美元。而且，最近英國宇航公司調(diào)查了美國金融行業(yè)，保險(xiǎn)行業(yè)，和IT行業(yè)300個(gè)管理者，85%的受訪者表示聲譽(yù)損失是受到網(wǎng)絡(luò)攻擊后最顯著的后果，74%的受訪者表示法律上的麻煩是第二大危害。
這種對(duì)消費(fèi)者產(chǎn)生影響的網(wǎng)絡(luò)攻擊直接導(dǎo)致企業(yè)高層擔(dān)負(fù)起網(wǎng)絡(luò)攻擊的責(zé)任。高層人員需要親自了解他們公司的網(wǎng)絡(luò)抗攻擊能力有多強(qiáng)，還有受到攻擊或破壞時(shí)能有多大的作用。但是根據(jù)調(diào)查，40%的受訪者承認(rèn)他們對(duì)他們企業(yè)的網(wǎng)絡(luò)安全協(xié)議缺少一個(gè)清晰的了解。對(duì)管理人員應(yīng)該有一個(gè)提醒，告訴他們公司的網(wǎng)絡(luò)安全需要重視起來。
高級(jí)主管應(yīng)該從理解他們當(dāng)前在適當(dāng)?shù)奈恢梅胖昧耸裁磪f(xié)議開始，以及從他們不足的地方開始。每年一次的安全評(píng)估被認(rèn)為是預(yù)防網(wǎng)絡(luò)攻擊最好的方法。如果實(shí)行的正確的話，這種安全評(píng)估會(huì)揭示殘余風(fēng)險(xiǎn)，即企業(yè)渡過難關(guān)之后的剩余攻擊風(fēng)險(xiǎn)的范圍和數(shù)量。如果剩余風(fēng)險(xiǎn)是在接受范圍內(nèi)，那么每年的審核是足夠的。但是，如果剩余風(fēng)險(xiǎn)不太讓人放心的，那么每半年才檢查一次或者每一季度檢查一次可能都是不夠的。當(dāng)然，這將討論轉(zhuǎn)變到剩余風(fēng)險(xiǎn)可接受的等級(jí)上去了，這個(gè)要取決于公司本身。
在許多方式上，這種風(fēng)險(xiǎn)評(píng)估反應(yīng)了網(wǎng)絡(luò)安全新的實(shí)際情況。在這個(gè)快速發(fā)展的，高度連接的世界，風(fēng)險(xiǎn)評(píng)估方法需要是動(dòng)態(tài)的，不斷變化的，而不是靜止不變的。舉個(gè)例子，一個(gè)動(dòng)態(tài)的方法可以在六個(gè)月內(nèi)對(duì)兩個(gè)供應(yīng)商交錯(cuò)安排，進(jìn)行兩次年度審查。這么做的話，企業(yè)可以減短企業(yè)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊平均時(shí)間的一半，而不是依賴每年的審查。擴(kuò)充這個(gè)模型以便于評(píng)估可以每個(gè)季度進(jìn)行一次或者在有需要的時(shí)候可以應(yīng)對(duì)將要發(fā)生的事件，甚至可以對(duì)已經(jīng)存在的威脅進(jìn)行隨機(jī)檢查，所以擴(kuò)充模型可以更多的選擇。
但是審核和評(píng)估是不夠的。對(duì)于高級(jí)主管來說，確保變化的最好的和最有效的方式是與首席信息安全官創(chuàng)建一個(gè)堅(jiān)固的工作關(guān)系。今天，首席信息安全官是用來幫助企業(yè)主管了解網(wǎng)絡(luò)風(fēng)險(xiǎn)，和實(shí)施正確的安全控制，同時(shí)提高文化防御的。我們的調(diào)查發(fā)現(xiàn)現(xiàn)在10個(gè)安全官中有9個(gè)是直接與他們企業(yè)的頂級(jí)領(lǐng)導(dǎo)團(tuán)隊(duì)聯(lián)系的，他們中有一半是直接在頂級(jí)團(tuán)隊(duì)中。為了推動(dòng)安全協(xié)議，強(qiáng)化首席信息安全官的角色是受企業(yè)推崇的行為，但是主管需要主動(dòng)參與這些安全官的工作來見證貫穿整個(gè)企業(yè)的真實(shí)成果。
雖然CISO會(huì)定義風(fēng)險(xiǎn)并優(yōu)化安全工具，但是理解并在企業(yè)實(shí)施這些程序是高級(jí)主管的職責(zé)，企業(yè)網(wǎng)絡(luò)是網(wǎng)絡(luò)罪犯最容易攻擊的地方。主管必須同時(shí)保證首席信息安全官的威脅評(píng)估和審核的結(jié)果。新的企業(yè)倡議中應(yīng)該早點(diǎn)包含CISO，以便于網(wǎng)絡(luò)安全協(xié)議在企業(yè)中可以早點(diǎn)成熟，而不是后期發(fā)生事故而被淘汰。實(shí)際上，最好的做法是讓CISO與團(tuán)隊(duì)一起工作，來決定達(dá)到目標(biāo)最安全的方式，然后主管必須讓CISO對(duì)員工說明這種方式的風(fēng)險(xiǎn)和缺點(diǎn)。
而且，主管應(yīng)該強(qiáng)調(diào)企業(yè)網(wǎng)絡(luò)安全的重要性，從更好的教育和培訓(xùn)開始。企業(yè)應(yīng)該更加頻繁的培訓(xùn)中層管理者和初級(jí)員工的網(wǎng)絡(luò)安全知識(shí)，加強(qiáng)防御措施。我們的調(diào)查發(fā)現(xiàn)只有38%的企業(yè)實(shí)行每季度一次或者一年兩次的這種培訓(xùn)；其余的企業(yè)每年培訓(xùn)一次甚至更少。另外，在遇到網(wǎng)絡(luò)攻擊時(shí)，員工利用培訓(xùn)知識(shí)成功識(shí)別網(wǎng)絡(luò)攻擊的幾率只有25%。主管應(yīng)該優(yōu)先增加這些培訓(xùn)項(xiàng)目，提高員工成功識(shí)別網(wǎng)絡(luò)攻擊的幾率來減少網(wǎng)絡(luò)攻擊成功滲入的可能性。培訓(xùn)應(yīng)該包括角色扮演，模擬真實(shí)攻擊的劇本以及對(duì)有效性評(píng)估的檢測(cè)。
防御網(wǎng)絡(luò)攻擊目前是高級(jí)主管工作描述的一個(gè)固定部分。每年一次的網(wǎng)絡(luò)安全審核或者單獨(dú)只有一個(gè)CISO已不再足夠。高級(jí)主管必須理解什么樣的程序適合放在什么位置，并要確保企業(yè)的每一個(gè)人都理解協(xié)議并承擔(dān)起責(zé)任。但是最重要的是，他們需要與CISO創(chuàng)建一個(gè)合適的合作關(guān)系以便于網(wǎng)絡(luò)安全成為每一個(gè)企業(yè)主動(dòng)行為的一部分，而不是事故發(fā)生以后的在進(jìn)行彌補(bǔ)。
Bill Sweeney是英國宇航系統(tǒng)公司美洲地區(qū)的技術(shù)主任，也是一名經(jīng)驗(yàn)豐富的金融服務(wù)CIO。他曾在匯豐投資銀行擔(dān)任了7年的技術(shù)主任，在花旗銀行的投資銀行擔(dān)任了7年的風(fēng)險(xiǎn)，順從型和法律CIO，和在布里奇沃特投資公司工作四年。
聯(lián)系客服
