本文來(lái)自微信公眾號(hào)“數(shù)世咨詢(xún)”，作者/nana。
從90年代初到現(xiàn)在，我們見(jiàn)證了互聯(lián)網(wǎng)從撥號(hào)連接到高速云計(jì)算的長(zhǎng)足進(jìn)步。企業(yè)在不斷變換的技術(shù)迷宮中游走的同時(shí)還需抵御四面八方涌來(lái)的網(wǎng)絡(luò)攻擊。然而，網(wǎng)絡(luò)安全領(lǐng)域發(fā)展了30年，企業(yè)如今仍受困于1995年剛接入互聯(lián)網(wǎng)時(shí)遇到的那些問(wèn)題。
通過(guò)電子郵件攻擊用戶(hù)、經(jīng)由拒絕服務(wù)攻擊活動(dòng)破壞可用性，以及利用應(yīng)用程序漏洞入侵系統(tǒng)，仍舊是攻擊者無(wú)往而不利的慣用策略。
甚至直到今天，即便安全意識(shí)提升，即使數(shù)據(jù)泄露事件頻頻見(jiàn)諸報(bào)端，企業(yè)領(lǐng)導(dǎo)和開(kāi)發(fā)人員仍沒(méi)學(xué)會(huì)在新技術(shù)和必要的安全之間取得平衡。企業(yè)仍舊著重功能和產(chǎn)品上市時(shí)間，而不是確保安全和產(chǎn)品行為可預(yù)測(cè)。這就造成基礎(chǔ)設(shè)施薄弱，攻擊者能夠持續(xù)成功利用，日常取得豐碩“戰(zhàn)果”。
于是問(wèn)題來(lái)了：全球每年花在信息安全和風(fēng)險(xiǎn)管理產(chǎn)品與服務(wù)上的支出預(yù)計(jì)高達(dá)1883億美元，為什么網(wǎng)絡(luò)安全損失還在逐年增加？
01
治標(biāo)不治本
幾十年來(lái)，供應(yīng)商一直在向市場(chǎng)灌輸網(wǎng)絡(luò)安全問(wèn)題的解決方案在于技術(shù)的理念。于是，一個(gè)又一個(gè)技術(shù)解決方案陸續(xù)面世。同樣的觀點(diǎn)也讓人們覺(jué)得吃片藥就能減肥——不是健康飲食或者加強(qiáng)鍛煉，而是花錢(qián)就能讓問(wèn)題消失的輕松速效解決方案。
安全預(yù)算方面的增長(zhǎng)表明這種思路非常普遍，可導(dǎo)致不斷超支的惡性循環(huán)。事實(shí)上，雖然很多技術(shù)有其價(jià)值，但網(wǎng)絡(luò)安全問(wèn)題源于漏洞。
就跟中途停藥和用繃帶包扎骨折一樣，毫無(wú)計(jì)劃地采用技術(shù)會(huì)引發(fā)對(duì)不完善系統(tǒng)的迷之自信。很多企業(yè)枉顧夯實(shí)基礎(chǔ)防護(hù)而聚焦閃亮新鮮攻擊，這種重點(diǎn)錯(cuò)置造成受害文化持續(xù)，漏洞更是永無(wú)止境。
安全成本高企和網(wǎng)絡(luò)攻擊破壞力巨大不是什么新鮮事，這都是多年來(lái)忽視基本安全策略和最佳實(shí)踐的連帶傷害。越來(lái)越多的安全投資花在了分析師、供應(yīng)商、媒體報(bào)道和從業(yè)者好奇心所推動(dòng)的時(shí)尚防護(hù)技術(shù)上。
不斷變換的工具和重點(diǎn)還導(dǎo)致資深安全主管身心俱疲，產(chǎn)生職業(yè)倦怠，進(jìn)一步加劇了網(wǎng)絡(luò)安全人才短缺的情況。為應(yīng)對(duì)一直延續(xù)的漏洞問(wèn)題和與日俱增的安全壓力，我們需要換個(gè)角度看待網(wǎng)絡(luò)安全問(wèn)題，認(rèn)識(shí)到企業(yè)的成功仰賴(lài)健康的安全態(tài)勢(shì)。
02
網(wǎng)絡(luò)安全治未病
企業(yè)應(yīng)像普通人對(duì)待自身健康一樣考慮自己的安全實(shí)踐，專(zhuān)注保持健康而非每看到一個(gè)安全癥狀都找片新藥吃下去。醫(yī)生告誡的類(lèi)似原則同樣適用于網(wǎng)絡(luò)安全韌性：管住嘴、邁開(kāi)腿、定期體檢。
安全方面的基本食物類(lèi)別是預(yù)防、檢測(cè)、響應(yīng)和修復(fù)。應(yīng)根據(jù)企業(yè)的具體需求恰當(dāng)平衡好每個(gè)方面。預(yù)防措施不足，檢測(cè)、響應(yīng)和修復(fù)就會(huì)應(yīng)接不暇。響應(yīng)不力，安全事件就會(huì)一直拖延。企業(yè)安全計(jì)劃應(yīng)只攝入自己所需且自家團(tuán)隊(duì)能夠消化利用的。超量攝入，你的預(yù)算將不堪重負(fù)。
網(wǎng)絡(luò)安全訓(xùn)練意味著定期進(jìn)行意識(shí)培訓(xùn)、桌面推演、執(zhí)業(yè)認(rèn)證、資產(chǎn)清單核查和滲透測(cè)試。團(tuán)隊(duì)需了解各自最新的角色和職責(zé)。只要肯花時(shí)間經(jīng)常鍛煉安全力量，你的響應(yīng)就會(huì)更快、更有針對(duì)性，企業(yè)也能少受安全事件干擾。
一年一度的體檢大家都煩，但這確實(shí)是了解身體是否如自己所想那么健康的好方法。最好找時(shí)間過(guò)一遍你的安全計(jì)劃，確保計(jì)劃仍舊是平衡的。還要讓團(tuán)隊(duì)仔細(xì)檢查關(guān)鍵控制措施和相關(guān)標(biāo)準(zhǔn)及最佳實(shí)踐的合規(guī)情況。時(shí)不時(shí)地聽(tīng)聽(tīng)他人的意見(jiàn)，找跟自己業(yè)務(wù)不搭界的第三方來(lái)審視一下自己的安全狀況。網(wǎng)絡(luò)安全健康狀況良好意味著要查找哪怕最微小的指征，這些指征表明可能遺漏了什么東西。用不了多久，被遺漏的盲點(diǎn)就會(huì)讓你陷入全部努力付諸東流的風(fēng)險(xiǎn)之中。
03
如果確實(shí)病了……
攻擊能力層出不窮，威脅形勢(shì)豐富多樣的當(dāng)下，維持有韌性的可信安全系統(tǒng)很是復(fù)雜。據(jù)估計(jì)，每天檢測(cè)出的新惡意軟件超過(guò)25萬(wàn)個(gè)。我們需要像醫(yī)療保健行業(yè)應(yīng)對(duì)不斷變化的流行病挑戰(zhàn)一樣診斷和處理新問(wèn)題。
醫(yī)療系統(tǒng)能夠緊跟新出現(xiàn)的疾病和變異疾病，因?yàn)橛袑?zhuān)家專(zhuān)注單一病癥，確定識(shí)別和診斷的最佳方法。還有另一組專(zhuān)家專(zhuān)注于盡早解決問(wèn)題的治療方法。其他人則開(kāi)發(fā)支持診斷和治療的專(zhuān)業(yè)設(shè)備，同時(shí)，醫(yī)院和整個(gè)醫(yī)療保健生態(tài)為患者提供支持。
只要我們了解自己的公司，清楚自己可能面臨的威脅，我們就可以開(kāi)始過(guò)上幾十年來(lái)一直追求的可預(yù)算、可預(yù)測(cè)的健康企業(yè)網(wǎng)絡(luò)安全生活。重視網(wǎng)絡(luò)健康，我們就可以治愈過(guò)去30年來(lái)困擾行業(yè)的根本問(wèn)題，而不再僅僅處理一個(gè)個(gè)癥狀和攻擊。
