根據(jù)普華永道最新的年度全球 CEO 調(diào)查，網(wǎng)絡(luò)安全現(xiàn)在被列為全球首要任務(wù)之一，就擔憂程度而言，它僅次于疫情。因此，網(wǎng)絡(luò)安全風險管理策略不應(yīng)再被視為 CTO 和 IT 總監(jiān)的關(guān)注點，而每個供應(yīng)鏈和技術(shù)總監(jiān)都需要將其列入議程。 

數(shù)據(jù)有可能改變風險管理和彈性。正確的數(shù)據(jù)、分析和報告工具可以幫助確定未來風險更有可能發(fā)生和不發(fā)生的地方，從而使資源能夠集中在極具價值并容易受到威脅的領(lǐng)域。使用這些指標還可以幫助避免決策中的情緒偏見：我們認為更大的風險并非總是那些需要密切監(jiān)控的風險。

如果可以證明某個組件或技術(shù)更容易出現(xiàn)故障，那么以同樣的由進度驅(qū)動的方式進行檢查或?qū)徲嬁赡軟]有意義。同樣，可以為低風險領(lǐng)域設(shè)計更有效的方法，從而騰出資源來關(guān)注和確保高風險活動。經(jīng)驗豐富的數(shù)字保障合作伙伴將能夠就要監(jiān)控的數(shù)據(jù)以及如何分析和采取行動提供咨詢。 

數(shù)字化轉(zhuǎn)型帶來了巨大的機遇，但經(jīng)驗告訴我們，實施起來可能非常具有挑戰(zhàn)性，如果以零敲碎打的方式進行，不太可能產(chǎn)生正確的影響。2020 年的一項研究顯示，在疫情開始時實施的數(shù)字化轉(zhuǎn)型升級中，59% 的企業(yè)需要短期修復(fù)來解決因倉促部署而產(chǎn)生的問題。如果將保證和風險緩解更好地集成到變更管理流程中，則可能會避免這種情況。 

一個常見的錯誤是采取技術(shù)驅(qū)動的方法，為技術(shù)而部署技術(shù)。至關(guān)重要的是，尋求將其運營和風險保障計劃數(shù)字化的企業(yè)必須從他們想要解決的問題出發(fā)，而不是他們認為缺少的技術(shù)或數(shù)據(jù)源。這需要一個有凝聚力的數(shù)字保障戰(zhàn)略，其中包括人員、流程和技術(shù)的正確融合。 

日益增長的數(shù)字化和數(shù)據(jù)流增加了攻擊者可能利用的潛在漏洞。供應(yīng)商是任何希望全面了解其運營和質(zhì)量保證的公司的重要數(shù)據(jù)來源，但這個數(shù)字供應(yīng)鏈也需要網(wǎng)絡(luò)安全保障。企業(yè)不僅需要了解自己的網(wǎng)絡(luò)安全風險管理策略，還需要了解在評估供應(yīng)鏈時可能出現(xiàn)的網(wǎng)絡(luò)威脅。 

在過去幾年中，我們看到勒索軟件的網(wǎng)絡(luò)威脅格局發(fā)生了轉(zhuǎn)變，頻率翻了一番，占所有違規(guī)行為的 10%，并且越來越多地通過潛伏勒索軟件攻擊供應(yīng)鏈。這些攻擊不僅獲得了主機網(wǎng)絡(luò)的特權(quán)，而且還看到了整個生態(tài)系統(tǒng)如何受到影響。供應(yīng)鏈的全球性增加了這些攻擊的潛在影響，增加了風險評估在網(wǎng)絡(luò)安全中的重要性。 

在這種環(huán)境下，傳統(tǒng)的審計和年度網(wǎng)絡(luò)安全風險評估已不再適用。它們僅在某一時刻提供系統(tǒng)快照，不考慮臨時所需的系統(tǒng)新漏洞或更改。 

這兩個問題的一種解決方案是持續(xù)控制監(jiān)控。這使企業(yè)能夠?qū)崟r跟蹤網(wǎng)絡(luò)安全風險評估所需的數(shù)據(jù)，包括從供應(yīng)商處獲得的數(shù)據(jù)。威脅情報平臺和監(jiān)控可以促進持續(xù)和主動的監(jiān)控方法。 

與供應(yīng)商和專家的協(xié)作方法可以幫助企業(yè)在開發(fā)更智能的風險保障方法和在網(wǎng)絡(luò)安全中建立適當?shù)男畔⒈Ｕ戏矫嫒〉瞄L足的進步。 

對全球管理體系標準（如 ISO 27001）的認證要求以及審計和評估 IT 安全性的權(quán)利是許多合同協(xié)議的一部分。美國國家標準與技術(shù)研究院 (NIST) 網(wǎng)絡(luò)安全框架也正在逐漸成為一項全球標準，該標準考慮了對供應(yīng)商控制的需求。這為雙方提供了互惠優(yōu)勢，采購商幫助培訓(xùn)和提升供應(yīng)商的技能，提高整個供應(yīng)鏈的能力和彈性。 

所有這些都表明需要以一種適合企業(yè)的方式將網(wǎng)絡(luò)彈性整合到數(shù)字風險保障計劃中，解決你意識到的威脅并考慮你忽視的威脅。對運營數(shù)據(jù)和信息安全、漏洞及威脅進行持續(xù)協(xié)作監(jiān)控，可以更好地降低風險、提高效率并促進更明智的決策。  

原文標題：A Smarter Cyber-Risk Management Strategy

作者：Rob Acker 

鏈接：https://www.infosecurity-magazine.com/blogs/smarter-cyberrisk-management/