2019年06月21日
2019年你最擔(dān)心的網(wǎng)絡(luò)安全問題是什么?根據(jù)安全研究中心Ponemon機構(gòu)對來自美國、英國、德國、澳大利亞、墨西哥和日本6個國家的2,410位IT及網(wǎng)絡(luò)安全界專家進(jìn)行調(diào)查來確定他們在新的一年里網(wǎng)絡(luò)安全和治理的首要任務(wù)。筆者對調(diào)查結(jié)果進(jìn)行了整理，希望能幫助企業(yè)安全從業(yè)人員在2019年的網(wǎng)絡(luò)安全工作中有所側(cè)重。
大多受訪者表示，2019年最擔(dān)心的網(wǎng)絡(luò)安全威脅是第三方風(fēng)險，數(shù)據(jù)泄露以及對物聯(lián)網(wǎng)(IoT)或運營技術(shù)(OT)資產(chǎn)的攻擊。
威脅
受訪者百分比：
· 第三方濫用或分享機密數(shù)據(jù)64%
· 涉及物聯(lián)網(wǎng)或OT資產(chǎn)的攻擊56%
· 惡意軟件對業(yè)務(wù)流程造成重大干擾54%
· 涉及10,000條或更多客戶或員工記錄的數(shù)據(jù)泄露52%
· 對公司OT基礎(chǔ)設(shè)施的攻擊導(dǎo)致工廠/運營設(shè)備停機48%
過去24個月中經(jīng)歷的攻擊TOP 5：
調(diào)查結(jié)果顯示，過去的攻擊經(jīng)歷似乎并沒有主導(dǎo)對未來安全的擔(dān)憂。例如，盡管56%的受訪者表示他們擔(dān)心2019年涉及物聯(lián)網(wǎng)或OT資產(chǎn)的攻擊前景，但只有不到四分之一的受訪者(23%)表示他們在過去24個月中遭遇過此類攻擊。
攻擊
受訪者百分比：
· 一名不小心的員工落入網(wǎng)絡(luò)釣魚陷阱，導(dǎo)致證書被盜67%
· 惡意軟件對業(yè)務(wù)流程造成重大干擾48%
· 第三方濫用或與其他第三方共享機密信息41%
· 網(wǎng)絡(luò)攻擊導(dǎo)致嚴(yán)重的停機故障35%
· 涉及10,000條或更多客戶或員工記錄的數(shù)據(jù)泄露41%
盡管過去承受的網(wǎng)絡(luò)攻擊曾給企業(yè)帶來了困擾，但大多數(shù)受訪者(59%)表示他們的企業(yè)并不試圖量化這些事件可能對他們的業(yè)務(wù)造成的損害。
2019年網(wǎng)絡(luò)安全和治理重點事項：
保持企業(yè)數(shù)據(jù)安全的可靠性需要企業(yè)內(nèi)多部門的合作。不僅包括IT和信息安全團隊，還需治理、風(fēng)險與合規(guī)團隊的通力協(xié)作。
2019年網(wǎng)絡(luò)安全重點事項TOP 5：
在網(wǎng)絡(luò)安全方面，保持領(lǐng)先于攻擊者和降低IT安全基礎(chǔ)設(shè)施的復(fù)雜性是2019年的兩大重點。61%的受訪者認(rèn)為魔高一尺道高一丈，提高跟蹤那些復(fù)雜、隱身攻擊者的能力是當(dāng)務(wù)之急。同時，60%的受訪者認(rèn)為降低IT安全基礎(chǔ)架構(gòu)的復(fù)雜度對于企業(yè)而言至關(guān)重要。
網(wǎng)絡(luò)安全優(yōu)先事項
受訪者百分比：
· 提高我們的能力，以跟上先進(jìn)和隱形的攻擊者61%
· 降低IT安全基礎(chǔ)架構(gòu)的復(fù)雜性60%
· 加強對敏感和機密數(shù)據(jù)的保護(hù)，杜絕未經(jīng)授權(quán)的訪問46%
· 加強對第三方訪問企業(yè)敏感和機密數(shù)據(jù)的控制42%
· 降低攻擊OT基礎(chǔ)架構(gòu)的風(fēng)險40%
2019年治理優(yōu)先事項TOP 5：
治理方面，降低第三方風(fēng)險是2019年的首要任務(wù)。約三分之二的受訪者(67%)表示，他們將集中精力確保第三方擁有適當(dāng)?shù)陌踩胧﹣肀Ｗo(hù)敏感和機密數(shù)據(jù)。
治理優(yōu)先事項
受訪者百分比：
· 確保第三方擁有適當(dāng)?shù)陌踩胧﹣肀Ｗo(hù)敏感和機密數(shù)據(jù)67%
· 加強與C-level高管以及董事會之間關(guān)于企業(yè)面臨的網(wǎng)絡(luò)威脅的溝通64%
· 增加員工培訓(xùn)，防止疏忽行為，如網(wǎng)絡(luò)釣魚詐騙或共享密碼53%
· 增加IT安全部門中的全職員工數(shù)量48%
· 為漏洞管理分配更多資源47%
我們發(fā)現(xiàn)，大多數(shù)組織沒有準(zhǔn)確地衡量網(wǎng)絡(luò)風(fēng)險的業(yè)務(wù)成本，也無法量化網(wǎng)絡(luò)攻擊對其業(yè)務(wù)可能造成的損害。因此，有關(guān)資源分配、技術(shù)投資和威脅優(yōu)先次序的決定是在沒有關(guān)鍵情報的情況下作出的。此外，組織無法將其使用的網(wǎng)絡(luò)風(fēng)險kpi與減輕數(shù)據(jù)泄漏或安全漏洞關(guān)聯(lián)起來。
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運維平臺建設(shè)、動漫設(shè)計、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務(wù)商。