隨著數字化的環境愈趨勢複雜化，任何處於其中的企業都面臨著網絡安全的挑戰。錯誤或無效的安全解決方案的投資決策，不僅會耗盡企業有限的資源，還會影響到企業的品牌、聲譽和未來的發展。
艾森哲近期發佈的《第三年度網絡韌性狀態》報告，披露了組織的主流網絡安全需求和使用的安全技術。不同的組織機構在網絡安全方面的差距是巨大的，企業安全領導者機構充分的利用了他們的網絡安全投入，但水平較低的機構非領導者則有著非常低的威脅檢出率，，受到攻擊之後，帶來的影響和惡果也非常大。報告顯示，這些網絡安全水平較低的機構，每年平均發生22起網絡安全事件，並造成600萬美元的損失。如何避免網絡攻擊帶來的巨大損失，可借鑑以下四種網絡安全的基準理念：
一、正確的韌性理念
企業可投入的資源是有限的，但威脅和風險永遠是無限的，因此如何選擇正確和有效的安全投入是做好網絡安全工作的關鍵。安全專家建議，好的網絡安全基準強調響應速度，而不是測量指標本身。
在網絡安全事件發生後，能夠做到快速檢測、靈活響應並儘快將業務恢復到正常，是企業安全領導者所具備的能力。非領導者則更加關心網絡運營韌性、重複入侵比例和IT韌性。建議非領導者重新思考並借鑑領導者的思路，把關注點轉到檢測、響應和恢復的快速處理能力上。
二、速度最有價值
快速從網絡安全事件後恢復到正常狀態，是最小化損失、降低攻擊影響的關鍵。報告顯示，企業安全領導者表示，在他們的組織中，83%的網絡安全事件對企業運營不產生影響或只有很小的影響。
充分的利用新興技術是這些領導者的方法之一。其中，人工智能或機器學習技術排到了第一位，對網絡安全事件的檢測和響應時間是沒有采用這些技術的企業的三倍。但現在機器學習的提供商非常之多，很難判斷哪家或哪種產品更加有效。針對已知的攻擊模式還好，新興威脅或未知威脅就難說了。因此，企業必須仔細審查安全提供商的技術有效性和服務能力、服務級別，確保匹配企業本身的需求。
三、降低影響
那些未能充分利用新興安全技術的組織，安全事件意味著攻擊更長、破壞更大、損失最高。把安全事件帶來的影響控制在一天之內是非常困難的，報告顯示，安全工作做的好的機構之中，安全事件帶來的影響超過一天的佔55%。而那些做的不好的企業，這一比例是93%。
一個很大的失敗原因，是這些企業的安全自動化能力很低，完全依賴人的力量來抵禦攻擊。報告顯示，安全領導機構的人員有13%的比例違規，非領導者機構為19%。但後者被罰款的比例也佔到19%，前者只有9%。
四、合作伙伴
79%的受訪者表示，與執法機構、政府和廣大的安全社區一起對抗網絡犯罪是不可或缺的。聯合內部資源、合作伙伴和安全社區提高網絡安全意識，加深對網絡安全問題的理解 ，才能夠達到更好的防護效果。
在彙報層級方面，直接向CEO彙報的機構增長了8%，但向董事會彙報的機構則下降了12%，而直接向CIO彙報的機構下降了5%。
員工培訓是一個有著較大改善空間的工作，30%的安全領導機構表示，在新興安全工具方面有超過四分之三的人員進行了培訓，相比於安全水平較低的機構則只有9%進行了同等比例的人員培訓。
結論
不管是安全工作做的好的領導者企業還是其他機構或企業，組織都應該補足安全能力的短板，努力提高自身的安全能力。一旦確定了使用哪種安全解決方案，就要快速的實施開來。實際上，把年度預算的五分之一投入到新興高端技術上的企業，在過去三年來已經增長了兩倍。使得這些機構在業務價值的創造能力上更加具有信心，相對於那些在安全上懈怠的企業更加具有競爭力。
關鍵詞：網絡韌性；艾森哲；網絡安全預算
閱讀更多 數世諮詢 的文章
