一些企業(yè)還添加了新的辦公工具，例如監(jiān)控軟件病毒的物聯(lián)網(wǎng)設備和跟蹤疫苗狀態(tài)的報告工具。使用傳統(tǒng)生產(chǎn)力應用程序的企業(yè)已轉(zhuǎn)向基于云的工具。雖然業(yè)務工具也變得更加靈活，但企業(yè)的知識產(chǎn)權和客戶數(shù)據(jù)仍保留在云端。企業(yè)沒有將所有網(wǎng)絡安全風險轉(zhuǎn)移給SaaS供應商;與其相反，這些供應商卻為企業(yè)帶來了內(nèi)部威脅和漏洞。
隨著商務旅行的恢復，許多人正在重新學習在機場和咖啡館保護設備安全的技能，他們必須克服在家遠程工作時不安全地使用個人和公司設備的習慣。
零信任
企業(yè)如何保留和增強客戶和員工體驗，并管理新的網(wǎng)絡安全風險?簡而言之，零信任、威脅情報和攻擊面管理是實現(xiàn)這些目標的關鍵。
零信任不僅僅是一個流行術語，這也是美國聯(lián)邦政府的一項政策。當供應商開始談論零信任時，企業(yè)的安全和IT領導者能夠以相對較少的投資開始零信任之旅——但這只是一個開始，而不是最終狀態(tài)。
•隔離特權帳戶。在之前的關鍵基礎設施工作中，企業(yè)擁有用于管理服務器的單獨憑據(jù)。如果不想為特權訪問管理工具支付費用，需要使用商業(yè)密碼管理器。
•以低成本使用現(xiàn)代密碼標準。用戶需要放棄采用所有字符類型的舊密碼標準，禁止字典中的任何單詞并強制定期更改。事實證明，很多人在密碼安全方面犯錯。美國國家標準與技術研究所(NIST)更新了其數(shù)字身份指南，并承認了這些事實。
•終止VPN。與其要求員工設備通過企業(yè)VPN連接，不如要求對所有應用程序進行身份驗證，最好通過SSO和多因素身份驗證(MFA)。但要注意的是——威脅參與者經(jīng)常利用VPN網(wǎng)關中的漏洞，并使用在暗網(wǎng)中出售的受損憑據(jù)進行遠程登錄。
•從服務器和網(wǎng)絡設備的“全部禁止”策略開始。在零信任的世界中，所有網(wǎng)絡都是不受信任的。僅允許與服務器或工具滿足其業(yè)務功能所需的基礎設施進行通信。使用這種策略，企業(yè)可以避免成為供應鏈妥協(xié)的受害者，因為與競爭對手基礎設施的連接不在允許列表中。
威脅情報
威脅情報是關于支持安全和風險領導者的戰(zhàn)術和運營決策，以評估物理世界和網(wǎng)絡空間中威脅參與者的意圖。
•虛心傾聽利益相關者的意見，以確定哪些業(yè)務流程和技術對企業(yè)更有價值。
•支持漏洞管理團隊。使用來自外部攻擊面管理的可見性來確定漏洞利用風險評估的優(yōu)先級。
•支持品牌和高管保護。并非所有對企業(yè)的品牌和VIP的模仿或提及都很重要。使用威脅情報來評估威脅的嚴重性，并提供建議以降低影響品牌聲譽以及人員和財產(chǎn)安全的風險。
攻擊面管理是持續(xù)發(fā)現(xiàn)、識別、清點和評估實體IT資產(chǎn)暴露的過程。該攻擊面包括企業(yè)與客戶、合作伙伴和員工合作的所有媒介，例如社交媒體、職業(yè)網(wǎng)站和云計算提供商。
•重新確定外部和內(nèi)部攻擊面。2020年1月的安全形勢與現(xiàn)在完全不同。外部攻擊面管理供應商報告說，潛在客戶在云中擁有的資產(chǎn)比他們意識到的多30%。
•持續(xù)監(jiān)控攻擊面。要像威脅者一樣思考并主動發(fā)現(xiàn)風險敞口。準確的硬件和軟件庫存對于包括零信任在內(nèi)的每項策略的成功都至關重要。
·使用外部攻擊面管理工具確定威脅情報收集和分析的優(yōu)先級。需要關注任何關于利用這些技術的信息。
•在所有員工設備上安裝和調(diào)整安全控制。業(yè)務的流動性給IT團隊帶來了額外的壓力，需要為遠程員工提供工作設備和軟件。在用戶電腦上使用生物特征認證，以減輕登錄負擔。
創(chuàng)新并非沒有網(wǎng)絡安全風險
正在發(fā)生的所有創(chuàng)新和數(shù)字化轉(zhuǎn)型令人興奮，但采用這些新技術并非沒有網(wǎng)絡安全風險。安全專家可以增強員工和客戶體驗、維護信任和聲譽、減少違規(guī)行為，并保持對基于零信任、威脅情報和攻擊面管理的智能策略的合規(guī)性。
關于企業(yè)網(wǎng)D1net(r5u5c.cn)：
國內(nèi)主流的to B IT門戶，同時在運營國內(nèi)最大的甲方CIO專家?guī)旌椭橇敵黾吧缃黄脚_-信眾智（www.cioall.com）。同時運營18個IT行業(yè)公眾號（微信搜索D1net即可關注）。
版權聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責任的權利。
京公網(wǎng)安備 11010502049343號