聊聊合规性和网络安全之持续关注网络风险

如果了解黑客和网络威胁的世界，您很快就会对可能威胁您的组织的创造力和各种技术变得麻木。然而，与所有风险一样，关键是要实际考虑对您的组织的真正且重大的威胁。如果你试图解决每一个可能的威胁，你就会让自己发疯。保持头脑冷静很重要。

发展最快的趋势之一是将处理和数据存储转移到云端。随着公司更多地迁移到云端，本地数据处理和存储功能的过时风险变得不那么重要。这种趋势将会持续下去。公司必须确保制定正确的策略，最大限度地降低云提供商（例如 AWS、Azure）的风险。

根据公司的精确信息和数据足迹，网络风险的排名可能会发生变化。组织必须使用先进的安全技术，不断测试和更新其控制措施，并对员工进行网络风险教育。网络安全是一项必须集成到软件和所有系统中的功能。与任何风险缓解策略一样，主动网络安全监控可以降低网络攻击的风险和影响，并增强组织的声誉和市场信任。 

首先，为了建立有效的网络安全合规计划，需要评估以下一些最重要的风险：

1. 勒索软件： 勒索软件仍然位居风险榜首。黑客试图注入恶意软件来加密文件，然后索要赎金来解密文件。每个企业都需要有一个灾难恢复解决方案，其中包含作为事件响应计划一部分的文件备份。

2. 云安全： 随着越来越多的公司迁移到云来实现处理和存储功能，组织必须确保提供商维护适当的卫生和控制。同时，组织的员工必须管理用户、访问权限、帐户保护和数据加密。云提供商应负责保护其基础设施、访问和网络配置的安全。对于公司来说，界定提供商和公司各自的职能和责任至关重要。 

由于云和 SaaS 环境中的错误配置，云应用程序会带来重大风险。此类错误配置可能会导致未经授权的访问。组织必须实施强大的安全实践，定期评估访问控制、监控和审核配置，并使用自动化安全工具来识别和修复错误配置。

3. 在家工作安全：随着越来越多的公司允许在家工作，公司必须采用强大的安全协议，包括使用 科学、多因素身份验证和移动设备安全解决方案。员工必须确保强大的密码保护并定期参加培训课程，以减轻具有在家工作能力的员工面临的日益增长的风险。 

4. 网络钓鱼： 员工非常清楚网络钓鱼计划，但仍然可能因为疏忽或急于完成特定任务而成为受害者。公司制定了培训和测试计划，为员工提供实时测试，以确保对网络钓鱼计划的认识。 

5.供应链安全： 第三方网络风险很大。供应链已接受网络风险、网络防御和最佳实践遵守情况的审查。网络黑客可以通过第三方关系寻求未经授权的系统和数据访问。在这方面，网络犯罪分子可以将自己伪装成合法用户或通过可信应用程序部署恶意软件。为了减轻供应链攻击，组织在选择合作伙伴或提供商时应进行彻底的尽职调查，实施强有力的供应商管理实践，定期评估第三方的安全实践，并监控任何可疑活动。

6.身份和访问管理（IAM）：IAM安全管理数字身份并控制对数据、系统和资源的访问以确保安全。为了防止未经授权的访问，公司需要强有力的政策、技术和计划来减少与身份相关的风险。

7. 内部参与者威胁：员工对组织构成重大风险。拥有访问权限的个人可能会有意或无意地损害系统、窃取数据或参与企业间谍活动。因此，公司必须实施强大的访问控制，对用户活动进行持续监控和审核，并定期对员工进行安全意识培训。

8. DoS 和 DDoS 攻击：拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 攻击仍然是潜在威胁，它们以 Web 服务器为目标，使合法用户无法访问它们。组织应投资可用的 DDoS 缓解解决方案，并实施流量监控和异常检测机制。

9.人工智能（AI）和机器学习（ML）： 随着人工智能和机器学习的兴起，网络犯罪分子可能会采用自动化和规模化的攻击方式。另一方面，人工智能和机器学习可用于增强网络防御。人工智能聊天机器人的可用性不断增加，增加了员工无意中使用这些工具共享机密信息的风险。 

10. 网络间谍活动： 网络间谍攻击仍将是一个真正的威胁。去年，针对 Google Gmail 的极光行动攻击凸显了组织实施网络分段和入侵检测协议的必要性。作为回应，公司可能会寻求执法部门的协助，以协助减轻网络间谍活动的风险。