在進行一些調(diào)查之后，調(diào)研機構(gòu)發(fā)現(xiàn)2021年上半年約有3.047億次勒索軟件攻擊，下半年的情況更加糟糕，達到3.186億次，超過了2020年的2.819億次勒索軟件攻擊。因此，網(wǎng)絡(luò)安全風(fēng)險管理越來越復(fù)雜，需要IT安全專業(yè)人員了解網(wǎng)絡(luò)犯罪分子構(gòu)成的威脅。

在此之前，企業(yè)還應(yīng)了解網(wǎng)絡(luò)安全風(fēng)險管理的概念、評估流程、常見威脅，以及保護其數(shù)據(jù)和資源免受潛在網(wǎng)絡(luò)攻擊的最佳實踐。

什么是網(wǎng)絡(luò)安全風(fēng)險管理?

網(wǎng)絡(luò)安全風(fēng)險管理識別、評估和減輕企業(yè)電子信息和系統(tǒng)的風(fēng)險，包括實施安全控制以防止網(wǎng)絡(luò)威脅。網(wǎng)絡(luò)風(fēng)險管理旨在降低網(wǎng)絡(luò)攻擊的可能性和影響。這是一個持續(xù)的過程，應(yīng)該隨著威脅的發(fā)展而調(diào)整。

什么是網(wǎng)絡(luò)安全風(fēng)險評估?

網(wǎng)絡(luò)安全風(fēng)險評估全面評估企業(yè)的網(wǎng)絡(luò)安全風(fēng)險。它識別和評估電子信息和系統(tǒng)的機密性、完整性和可用性的風(fēng)險。

網(wǎng)絡(luò)安全風(fēng)險評估過程包括：

• 識別有風(fēng)險的資產(chǎn)。
• 評估漏洞。
• 確定潛在違規(guī)的影響。

需要注意的是，風(fēng)險評估并不是一次性事件。因此，應(yīng)該定期執(zhí)行以確保安全控制是充分的和最新的。

什么是網(wǎng)絡(luò)威脅?

網(wǎng)絡(luò)威脅是利用電子信息和系統(tǒng)中的漏洞的惡意攻擊。因此，網(wǎng)絡(luò)攻擊者可以訪問敏感數(shù)據(jù)、破壞業(yè)務(wù)運營或?qū)ο到y(tǒng)造成損害——許多不同的網(wǎng)絡(luò)威脅，如對抗性威脅、技術(shù)漏洞和內(nèi)部威脅。

以下詳細了解常見的網(wǎng)絡(luò)威脅：

• 對抗性威脅：對抗性威脅是最常見的網(wǎng)絡(luò)威脅類型。想要獲取敏感數(shù)據(jù)或破壞業(yè)務(wù)運營的網(wǎng)絡(luò)犯罪分子會實施對抗性威脅。
• 技術(shù)漏洞：技術(shù)漏洞是設(shè)計或?qū)嵤╇娮有畔⒑拖到y(tǒng)的弱點。網(wǎng)絡(luò)攻擊者可以利用它們來訪問敏感數(shù)據(jù)或破壞業(yè)務(wù)運營。
• 內(nèi)部威脅：內(nèi)部威脅是由可以合法訪問企業(yè)電子信息和系統(tǒng)的員工、承包商或其他內(nèi)部人員發(fā)起的。他們可以利用自己的訪問權(quán)限來獲得對敏感數(shù)據(jù)的未經(jīng)授權(quán)的訪問權(quán)限或破壞業(yè)務(wù)運營。

此外，還需要了解影響大多數(shù)企業(yè)的關(guān)鍵威脅因素：

• 網(wǎng)絡(luò)釣魚：網(wǎng)絡(luò)釣魚是一種網(wǎng)絡(luò)攻擊，它使用電子郵件或其他形式的通信來誘騙用戶泄露敏感信息或下載惡意軟件。
• 勒索軟件：加密受害者文件并要求支付贖金來解密的惡意軟件。
• 惡意軟件：旨在損壞或禁用計算機和計算機系統(tǒng)的軟件。
• 僵尸網(wǎng)絡(luò)：由網(wǎng)絡(luò)犯罪分子控制的受感染計算機網(wǎng)絡(luò)。
• SQL注入：將惡意代碼插入數(shù)據(jù)庫的攻擊。
• 拒絕服務(wù)(DoS)攻擊：通過請求使系統(tǒng)過載，使其對合法用戶不可用的攻擊。

網(wǎng)絡(luò)安全風(fēng)險評估的最佳實踐

以下是進行網(wǎng)絡(luò)安全風(fēng)險評估的一些最佳實踐：

(1)識別處于風(fēng)險中的資產(chǎn)：第一步是識別需要保護的電子信息和系統(tǒng)。它包括對業(yè)務(wù)運營至關(guān)重要的所有設(shè)備、數(shù)據(jù)和應(yīng)用程序。

(2)評估漏洞：下一步是評估企業(yè)資產(chǎn)的風(fēng)險漏洞。它包括識別網(wǎng)絡(luò)攻擊者可以利用的安全控制中的弱點。

(3)確定潛在違規(guī)的影響：在進行風(fēng)險評估時始終考慮潛在影響。它包括網(wǎng)絡(luò)攻擊可能造成的財務(wù)、聲譽和運營損失。

(4)定期進行評估：應(yīng)定期進行風(fēng)險評估，以確保安全控制是充分的和最新的。

(5)使用工具自動化評估：許多工具可以將風(fēng)險評估過程實現(xiàn)自動化，可以幫助節(jié)省時間和資源。

(6)記錄調(diào)查結(jié)果：始終記錄風(fēng)險評估結(jié)果。它將有助于識別風(fēng)險并實施適當?shù)目刂啤?/p>

(7)傳達結(jié)果：風(fēng)險評估結(jié)果應(yīng)傳達給所有利益相關(guān)者。這將有助于就企業(yè)的網(wǎng)絡(luò)安全狀況做出明智的決定。

(8)審查和更新安全控制：應(yīng)定期審查和更新安全控制以確保有效性。測試控制以確保它們按預(yù)期工作也很重要。

(9)培訓(xùn)員工：員工也是安全控制的重要組成部分。他們應(yīng)該接受如何識別和報告潛在威脅的培訓(xùn)。

網(wǎng)絡(luò)風(fēng)險管理框架

許多不同的框架可用于管理網(wǎng)絡(luò)風(fēng)險。以下是一些最常見的框架：

NIST網(wǎng)絡(luò)安全框架：美國國家標準與技術(shù)研究院(NIST)網(wǎng)絡(luò)安全框架是一套用于保護電子信息和系統(tǒng)的指南。它為討論網(wǎng)絡(luò)安全風(fēng)險提供了一種通用語言。

• ISO27001：國際標準化企業(yè)(ISO)27001是信息安全管理標準。它提供了一套經(jīng)過認證的標準，可用于管理網(wǎng)絡(luò)風(fēng)險。
• DoD RMF：美國國防部(DoD)風(fēng)險管理框架(RMF)是一套用于評估和管理信息系統(tǒng)風(fēng)險的指南。它由處理敏感數(shù)據(jù)的軍隊和其他企業(yè)使用。
• CSF：網(wǎng)絡(luò)安全框架(CSF)是一組管理網(wǎng)絡(luò)安全風(fēng)險的最佳實踐。該框架由美國國家標準與技術(shù)研究院(NIST)開發(fā)。
• FAIR框架：信息風(fēng)險因素分析(FAIR)框架是一套評估風(fēng)險的指南。它可以幫助企業(yè)了解、量化和管理網(wǎng)絡(luò)威脅。

使用Strobes VM365進行網(wǎng)絡(luò)安全風(fēng)險管理

Strobes VM365是一個以風(fēng)險為中心的漏洞管理平臺，旨在使漏洞管理更易于訪問和更高效。Strobes VM365是一個前沿技術(shù)，可為用戶提供來自各種安全來源的所有發(fā)現(xiàn)的綜合視圖，使企業(yè)的團隊能夠?qū)Ｗ⒂诮鉀Q正確的發(fā)現(xiàn)集。此外，該平臺還提供了許多具有價值的功能。

該平臺允許用戶：

• 匯總來自各種安全掃描器、補償工具、內(nèi)部安全團隊、網(wǎng)絡(luò)安全供應(yīng)商和漏洞賞金平臺的所有漏洞。
• 自動消除類似性質(zhì)的重復(fù)漏洞，以減輕IT、開發(fā)和安全團隊采用虛擬機的負擔(dān)。
• 根據(jù)各種業(yè)務(wù)指標和威脅情報對漏洞進行優(yōu)先級排序，將關(guān)注范圍縮小到最危險漏洞的前3%。
• 使用無代碼工作流自動化應(yīng)用程序、網(wǎng)絡(luò)、云平臺和容器安全。
• 量化和可視化企業(yè)的風(fēng)險或建立自己的關(guān)鍵風(fēng)險指標(KRI)和關(guān)鍵績效指標(KPI)，以提高管理可見性。

結(jié)論

希望人們可以理解進行網(wǎng)絡(luò)安全風(fēng)險評估的重要性。需要記住的是，管理網(wǎng)絡(luò)安全風(fēng)險并不容易，而是一個需要定期執(zhí)行的連續(xù)和全面的過程。

企業(yè)可以使用各種框架和工具來幫助管理風(fēng)險。因此需要選擇最適合自己需求的架構(gòu)和工具。此外不要忘記對員工進行安全培訓(xùn)，因為他們也是安全控制的關(guān)鍵部分。