在网络安全领域，这归结为以下问题：“我是否知道我的内部控制是否正常工作？我们的网络状况是否安全？”
着名的军事家和哲学家孙子恺：“了解自己，了解自己，没有战争。”两千年前的这句名言在当前的网络安全形势下更为合适。私营和公共部门的安全领导者倾向于忽视他们已经拥有的一些基本的网络防御能力问题。在网络安全领域，这归结为以下问题：“我是否知道我的内部控制是否正常工作？我们的网络状况是否安全？”
从“由内而外”看网络安全：四个原因
了解内部弱点和漏洞在今天尤为重要。当公司处于非活动期（例如美国政府最近关闭时），一些组织特别容易受到数据泄露的影响。安全证书可能在不活动期间到期，并且代理在此期间较弱，并且更容易受到各种威胁。由于需要处理大量的积压工作，安全团队没有时间处理基本的安全任务。
要真正为网络威胁做好准备，组织必须从内到外开始实施安全视图，同时注意网络的净化。
网络核心净化
传统上，行业中的公司倾向于基于供应商的产品已启动并运行以及产品已正确部署和配置的假设来管理网络安全性。
但是，缺乏对组织的网络防御信息的验证以及对差距或错误消息的验证。代理不需要将安全性测量视为单个快照，而是需要以连续的方式验证控件。
美国国土安全部（DHS）最近通过推广持续诊断和缓解（CDMhttps://www.dhs.gov/cdm）计划强调了这项工作。清洁发展机制敦促政府机构通过持续监测实现对其安全系统的实时可见性。放弃静态渗透测试或审计到连续监控，因为连续监控可以在更长的时间内更全面地了解系统。通过这种方式，代理可以量化并验证控件是否可以保护关键资产。与此同时，安全领导者和团队可以使用更有意义的指标来管理他们的网络安全计划，推动决策制定，优化运营，并最终改善其网络状态。
从内到外查看网络安全
尽管在CDM等计划方面取得了一些进展，但持续监测仍需要验证解决方案和相关数据的实施情况。因此，私营公司和政府机构迫切需要采用以下“由内而外”的网络安全方法：1.确定攻击生命周期中漏洞的确切点
第一个漏洞是组织自己的人。安全领导者应该专注于帮助他们的团队了解团队需要保护的网络特定部分中的攻击者的行为。然后是测试事件响应过程以达到测试防御的目的。测试成员是否知道应该打电话给谁以及如何量化他们看到的内容？他们是否将网络钓鱼邮件转发给了正确的收件人？安全领导者了解团队如何响应实践场景中的威胁。您可以确定加强防御的位置。
2.权衡网络安全投资的投资回报
在支付纳税人的钱时，政府必须小心谨慎，公司必须确保与合作伙伴和客户建立信任。在考虑网络安全投资时，组织必须验证预期的投资回报，而不是假设预期的投资回报是可行的，这一点尤为重要。安全领导者需要数据来准确显示安全漏洞的位置和投资位置。
3.采取基于风险的决策而不是基于合规的决策
在衡量网络安全有效性时，传统模型倾向于采用孤立且基于合规的方法，因此网络安全措施在不同的企业渠道中进行管理，重要数据未得到充分利用。这也往往导致一种“列表”心态，可能使公司容易受到攻击。因此，相反，网络安全必须与组织的最大风险和关键任务业务需求保持一致，确保在关键任务业务中使用的产品提供全面且可操作的洞察力。
4.需要确定哪些技术可以改进，哪些技术可以从堆栈中删除。
网络安全人员需要管理许多产品。重要的是验证环境中的哪些产品是可操作的以及哪些产品不起作用。适合公司的解决方案可能不适合其他公司。要确定哪些技术产品能够提供最大价值，哪些产品适合当前架构，您将不会购买额外产品。自动映射安全控件还可以更轻松地标记和列出可识别的威胁。
了解自己，了解自己
在以外部和内部方式处理安全问题时所做的是试图拒绝入侵外部世界。由内而外的方法使用基于风险的策略来确定最重要的应用程序来保护关键任务数据，而基于风险的策略则侧重于最有价值和最脆弱的资产。从内到外处理网络安全并不容易。但预算正在飙升——尽管存在持续的数据泄露，但安全领导者必须将安全性与问责制联系起来。无论是政府部门还是私营部门，它最终都是一项业务，内部和外部方法是最具商业意义的方法。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 最初进入甲方的企业安全建设计划

• 分享到：