疫情将网络安全带到了一个关键的转折点。根据一项针对全球14个不同行业和16个国家/地区的1000多家大型企业的最新调查，2020年到2021年，受访企业遭受的重大网络安全事故数量增加了21%，网络安全预算增长了51%，从占公司总收入的比例从0.53%上升到0.80%。

此外，首席信息安全官(CISO)的角色也有所扩大，许多人负责数据安全(49%)、客户和内部欺诈(44%)、供应链管理(34%)、企业和地缘政治风险管理(30%)以及数字转型和业务战略(29%)。

然而，29%的CEO和CISO以及40%的首席安全官承认，他们的组织没有为快速变化的威胁形势做好准备。原因包括：

供应链的复杂性 (44%)

数字创新的快节奏 (41%)

网络安全预算不足和缺乏行政支持 (均为 28%)

数字资产和实物资产的融合 (25%)

人才短缺(24%)。

未做好准备的组织比例最高的是关键基础设施行业：

医疗保健(35%)

公共部门(34%)

电信(31%)

航空和国防(31%)。

分析揭示了行业指标和有效的网络安全策略

经济学家根据26个指标评估了企业和政府组织的网络安全性能，包括检测、响应和减轻网络安全漏洞的时间，以及遭受重大入侵的数量。这项基准研究揭示了10种有效做法，可以降低发生重大违约的可能性，以及减少发现和响应所需的时间:

1. 将网络安全成熟度提升到高水平

应用NIST网络安全框架最先进的组织在关键指标上优于其他组织，例如检测入侵的时间(先进组织为119天，其他组织为132天)。它们每年的重大违规事件也更少(高级版本为0.76次，其他版本为0.81次)。

2. 确保网络安全预算充足

分析发现，投资与业绩之间存在明显的相关性。报告称2021年发生过多次重大入侵的受访者在网络安全方面的支出占其IT支出总额的12.3%，而那些报告称2021年没有发生重大入侵的受访者的平均支出为12.8%，即470万美元。

3. 建立严格的基于风险的方法

平均而言，基于风险的领导者——在风险概率和影响的定量分析方面，那些最先进的公司在2021年发现了22.5起事件和0.75起重大破坏，而基于风险的初学者则发现了27.1起事件和0.88起重大破坏。

4. 让网络安全以人为本

网络安全不仅与技术有关，也与人类有关。当企业建立“人的层面”的安全体系，建立对网络安全风险敏感的文化，建立更有效的培训计划，可以看到更少的入侵和更快的响应时间。

5. 确保供应链安全

对于44%的受访者来说，越来越多地与供应商合作使他们面临重大的网络安全风险。在及时检测、响应和缓解方面表现最好的企业在供应链安全方面处于领先地位。例如，超过一半的组织有安排谨慎的检测，而只有25%的组织没有很好地落实。

6. 利用最新技术但避免产品扩散

采访中，没有漏洞的组织投资于混合解决方案，从基本的电子邮件安全和身份管理，到更专业的工具，如安全信息和事件管理系统(SIEMs)。这些组织也更可能采取多层、多供应商的安全方法，通过强大的基础设施更好地监控和管理风险。

7. 优先保护信息与运营技术之间的联系

随着数字世界和现实世界的融合，受访者面临的攻击面正在扩大。优先保护相互连接的IT和OT资产的组织遭到重大破坏的概率更小，并且可以更快的检测和响应。

8. 利用自动化工具

自动化与人工智能相结合，有助于CISO交付成果，同时将员工从繁琐的任务中解放出来。

9. 改进针对扩展攻击面的安全控制

在疫情期间，由于数字转型、云迁移、远程工作和供应链的复杂性，攻击面不断扩大。研究表明，越来越多的公司需要实施安全控制以覆盖其不断扩大的技术环境。

10. 做更多的事情来衡量绩效

目前，组织平均只跟踪4.2个网络安全指标。但监控6个或更多指标的组织经历的安全事件和重大违规更少，同时对攻击的反应也更快。

以证据为基础的研究表明，企业需要将其网络安全项目提升到更高的水平，确保它们是主动的、基于风险的、以人为中心的、数字化先进的，并拥有适当的资源。

文章来源：

https://www.helpnetsecurity.com/2022/05/12/2022-cybersecurity-strategies/

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)