網(wǎng)絡(luò)攻擊者發(fā)現(xiàn)自己始終處于優(yōu)勢地位。他們可以決定何時、何地以及如何攻擊一家企業(yè)，用時間和耐心來選擇他們想要攻擊的時刻。

作為網(wǎng)絡(luò)安全專業(yè)人士，經(jīng)常發(fā)現(xiàn)自己在打一場艱苦的戰(zhàn)斗。云計算、遠程員工和軟件即服務(wù)應(yīng)用程序的增長繼續(xù)擴大攻擊面，為不良行為者提供了越來越多的機會。惡意黑客具有出其不意的優(yōu)勢，這種優(yōu)勢只會隨著網(wǎng)絡(luò)變得更加復雜而增長。

威脅范圍不斷擴大，安全團隊必須將他們的方法從基于威脅的思維方式轉(zhuǎn)變?yōu)榛陲L險的思維方式。這是如何處理安全問題的重大變化，從基于合規(guī)性和法規(guī)的結(jié)構(gòu)轉(zhuǎn)變?yōu)橹荚诮档驼w風險的結(jié)構(gòu)。

當技術(shù)領(lǐng)導者開始自問“可能發(fā)生的最糟糕的事情是什么”時，該問題的答案可以幫助指導基于風險的方法，因為它突出了最壞的情況以及恢復所需的條件。

改變正在發(fā)生

許多大型組織已經(jīng)開始轉(zhuǎn)向基于風險的方法?；谕{的方法通常側(cè)重于滿足獨特行業(yè)要求的任務(wù)清單，但忽視了安全的關(guān)鍵組成部分：降低風險。

正如任何安全專家所說，合規(guī)本身并不等同于安全。它為組織提供了基準和目標，并減少了違規(guī)期間的罪責，但往往將安全作為事后的想法。

基于風險的安全方法采用公司的整體視圖來評估其關(guān)鍵資產(chǎn)的位置，并系統(tǒng)地識別和優(yōu)先考慮組織面臨的威脅。基于風險的思維方式不是孤立地查看單個安全控制，而是讓您更清楚地了解您在哪里以及有多大可能會被破壞。

基于威脅的方法旨在減輕主動和潛在威脅。這可能是黑客或已進入您系統(tǒng)的惡意軟件。一旦進入內(nèi)部，這些不良行為者可能會造成損害，威脅緩解策略旨在快速識別它們并采取果斷行動。

在當前基于威脅的系統(tǒng)中，業(yè)務(wù)流程和安全需求通常在孤立的環(huán)境中工作?；陲L險的方法允許技術(shù)領(lǐng)導者確定資產(chǎn)的優(yōu)先級、分配資源并創(chuàng)建系統(tǒng)的方法來緩解高風險領(lǐng)域。技術(shù)和業(yè)務(wù)領(lǐng)導者應(yīng)共同確定安全性如何與所需的業(yè)務(wù)目標保持一致。

基于風險的方法的最佳實踐

希望轉(zhuǎn)向更基于風險的結(jié)構(gòu)的組織必須考慮許多因素?；陲L險的方法包括執(zhí)行組織風險評估、識別和實施所需的控制等。

讓我們來看看技術(shù)領(lǐng)導者的一些關(guān)鍵最佳實踐：

• 定義對業(yè)務(wù)至關(guān)重要的所有資產(chǎn)并確定其優(yōu)先級。技術(shù)領(lǐng)導者必須評估他們所有的技術(shù)資產(chǎn)，包括互聯(lián)網(wǎng)上的技術(shù)資產(chǎn)。創(chuàng)建資產(chǎn)清單并確定每項資產(chǎn)的價值以及相關(guān)的固有風險是至關(guān)重要的第一步。
• 實施穩(wěn)健的策略來定義哪些用戶和系統(tǒng)需要訪問關(guān)鍵資產(chǎn)。組織將通過基于風險的方法更加關(guān)注用戶身份和訪問。利用可創(chuàng)建限制用戶移動的強大身份驗證配置文件的技術(shù)和工具。
• 實施零例外執(zhí)行政策。制定訪問控制并堅持執(zhí)行，即使這可能證明很困難。這很關(guān)鍵，并且與當前流行的安全方法（如零信任）保持一致。
• 確保記錄未經(jīng)授權(quán)的訪問嘗試。保留和分析此信息可以幫助您了解攻擊企圖的來源。這也有助于您的組織潛在地加強圍繞流行目標的安全協(xié)議。
• 進行定期攻擊和用戶錯誤模擬。緊急情況不是學習的最佳時機。進行模擬可為習慣壓力情況的團隊成員提供寶貴的經(jīng)驗，并讓他們?yōu)槿绾卧诰o急情況下迅速采取行動做好準備。

保持開放的心態(tài)

這種向基于風險的方法的轉(zhuǎn)變在許多方面并不出人意料。技術(shù)企業(yè)繼續(xù)基于云和遠程工作人員的涌入而快速轉(zhuǎn)變，以新的方式擴展網(wǎng)絡(luò)。通過改變思維方式，您可以從長遠角度看待威脅形勢，并調(diào)整您的方法以遵循更大的模式。

作為安全領(lǐng)導者，我們永遠不能安心地履行我們的保護職責。壞演員在不斷變化，我們也必須如此。技術(shù)領(lǐng)導者不能害怕放棄舊的想法，轉(zhuǎn)而采用新的方法和思維方式。

當今的組織擁有越來越多的需要保護的技術(shù)資產(chǎn)。利用基于風險的方法并專注于提供可見性、自動化和對企業(yè)運營的真正洞察力的工具。尋找可以提高身份并通過定期培訓和模擬讓您的團隊保持強大的身份驗證工具。

技術(shù)世界不斷變化，我們也需要與時俱進。