建站
咨詢
售后
建站咨詢
新聞中心
世界各地的企業(yè)都在擔(dān)憂網(wǎng)絡(luò)安全威脅問(wèn)題，特別是每天看到大量竊取信息和知識(shí)產(chǎn)權(quán)的網(wǎng)絡(luò)入侵報(bào)告，以及新型漏洞利用方法的興起，包括勒索軟件、高級(jí)持續(xù)性威脅和內(nèi)部威脅等。
創(chuàng)新互聯(lián)主要為客戶提供服務(wù)項(xiàng)目涵蓋了網(wǎng)頁(yè)視覺(jué)設(shè)計(jì)、VI標(biāo)志設(shè)計(jì)、成都全網(wǎng)營(yíng)銷推廣、網(wǎng)站程序開(kāi)發(fā)、HTML5響應(yīng)式網(wǎng)站建設(shè)公司、成都手機(jī)網(wǎng)站制作、微商城、網(wǎng)站托管及成都網(wǎng)站改版、WEB系統(tǒng)開(kāi)發(fā)、域名注冊(cè)、國(guó)內(nèi)外服務(wù)器租用、視頻、平面設(shè)計(jì)、SEO優(yōu)化排名。設(shè)計(jì)、前端、后端三個(gè)建站步驟的完善服務(wù)體系。一人跟蹤測(cè)試的建站服務(wù)標(biāo)準(zhǔn)。已經(jīng)為成都鑿毛機(jī)行業(yè)客戶提供了網(wǎng)站營(yíng)銷推廣服務(wù)。
讓問(wèn)題更嚴(yán)重的是當(dāng)前快速變化的運(yùn)營(yíng)環(huán)境，包括云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)和遠(yuǎn)程用戶，以及需要為用戶攜帶的任何網(wǎng)絡(luò)設(shè)備提供支持，在這種情況下，如何、在哪里部署何種安全措施的問(wèn)題變得難以回答。
在2014年的采訪中，前FBI局長(zhǎng)James Comey稱，“在美國(guó)主要有兩種公司，即那些被中國(guó)攻擊的公司，以及不知道他們已經(jīng)被中國(guó)攻擊的公司?！?/p>
一年多后，在2015年1月的世界經(jīng)濟(jì)論壇中，思科前首席執(zhí)行官John Chambers稱：“主要有兩種類型的公司：已經(jīng)被攻擊的公司以及還不知道已經(jīng)被攻擊的公司?！?/p>
這些言論是表明網(wǎng)絡(luò)安全泄露事故不可避免?如果遭遇網(wǎng)絡(luò)安全泄露事故不可避免，如果真的不可能阻止泄露事故，那么，試圖保護(hù)信息和信息系統(tǒng)是不是浪費(fèi)時(shí)間和金錢?
如果網(wǎng)絡(luò)安全泄露事故真的不可避免，企業(yè)就不會(huì)將重要知識(shí)產(chǎn)權(quán)和個(gè)人及財(cái)務(wù)信息存儲(chǔ)在聯(lián)網(wǎng)系統(tǒng)。但企業(yè)沒(méi)有那樣做，這說(shuō)明使用聯(lián)網(wǎng)系統(tǒng)肯定具有超越這種風(fēng)險(xiǎn)的優(yōu)勢(shì)。
網(wǎng)絡(luò)安全是管理風(fēng)險(xiǎn)的過(guò)程
盡管網(wǎng)絡(luò)安全泄露事故不可避免，我們?nèi)匀豢梢远覒?yīng)該保護(hù)信息。在任何風(fēng)險(xiǎn)受管理的環(huán)境中，如果風(fēng)險(xiǎn)不可阻止或避免，總是有可部署的戰(zhàn)略。事實(shí)上，風(fēng)險(xiǎn)管理的前提是，任何風(fēng)險(xiǎn)情況的不確定性都不能完全消除。
如果不確定性可以消除，則風(fēng)險(xiǎn)也可消除。 如果網(wǎng)絡(luò)安全泄露事故不可避免，或者網(wǎng)絡(luò)安全泄露事故的風(fēng)險(xiǎn)不是零，則可使用兩種基本保護(hù)策略。第一個(gè)是降低網(wǎng)絡(luò)安全泄露事故發(fā)生的可能性，第二是當(dāng)網(wǎng)絡(luò)安全泄露事故發(fā)生時(shí)降低影響或損害。
這些基本保護(hù)策略適用于管理任何類型的風(fēng)險(xiǎn)，包括網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的一般方法非常簡(jiǎn)單。
首先，確定對(duì)業(yè)務(wù)運(yùn)營(yíng)至關(guān)重要的資產(chǎn)。在這種情況下，應(yīng)確定必須受保護(hù)的信息資產(chǎn)。除原始數(shù)據(jù)之外，信息資產(chǎn)可能包括人員、流程和技術(shù)。
其次，風(fēng)險(xiǎn)評(píng)估過(guò)程需確定可能通過(guò)不必要披露、未經(jīng)授權(quán)修改或失去信息資產(chǎn)訪問(wèn)權(quán)限而損害信息安全的風(fēng)險(xiǎn)情況。這里的風(fēng)險(xiǎn)組件很少。
網(wǎng)絡(luò)安全入侵的一般情況如下所述：攻擊者利用漏洞并破壞信息資產(chǎn)的安全性。在這種情況下，風(fēng)險(xiǎn)的組件是漏洞，而漏洞利用可利用這個(gè)漏洞，并且，攻擊者愿意利用這個(gè)漏洞利用來(lái)破壞資產(chǎn)安全性。
在這種一般網(wǎng)絡(luò)安全泄露情況中，網(wǎng)絡(luò)安全管理員唯一可控制的是網(wǎng)絡(luò)中存在的漏洞。因此，管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的最后一步是發(fā)現(xiàn)和消除或修復(fù)漏洞。
理想情況下，在發(fā)現(xiàn)漏洞后，應(yīng)立即消除漏洞。消除漏洞也可消除漏洞被利用的所有威脅情況，從而降低漏洞利用的可能性。
優(yōu)先排序網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
在其核心，風(fēng)險(xiǎn)管理是決策支持工具。當(dāng)確定所有相關(guān)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)情景后，這里的決策支持任務(wù)是對(duì)已確定風(fēng)險(xiǎn)情景進(jìn)行優(yōu)先排序。
如果沒(méi)有足夠資源來(lái)處理所有已確定的漏洞，則對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)緩解活動(dòng)的優(yōu)先排序很重要;即使有足夠資源來(lái)緩解漏洞，優(yōu)先排序也很有價(jià)值，因?yàn)榱私鉂撛谟绊懼陵P(guān)重要。
結(jié)果與影響
漏洞的優(yōu)先級(jí)排序通常是根據(jù)其對(duì)企業(yè)的潛在影響，如果潛在影響是有限考慮因素，那么了解這種影響非常重要。
當(dāng)漏洞被利用時(shí)，會(huì)出現(xiàn)一些不必要的結(jié)果，例如不必要的披露、未經(jīng)授權(quán)修改或失去對(duì)信息資產(chǎn)的訪問(wèn)。影響是指這些不想要的結(jié)果帶來(lái)的后果。
例如，如果HIPAA隱私或安全法規(guī)涵蓋的健康記錄被盜，結(jié)果是信息泄露，而對(duì)企業(yè)的影響可能包括強(qiáng)制性違規(guī)通知的成本以及潛在罰款和民事處罰--可能高達(dá)數(shù)百萬(wàn)美元。
我們可根據(jù)多種方式根據(jù)潛在影響對(duì)漏洞緩解工作進(jìn)行優(yōu)先排序。常用優(yōu)先級(jí)排序工具是通用漏洞評(píng)估系統(tǒng)(CVSS)，這為理解信息技術(shù)漏洞的特征和影響提供了一個(gè)標(biāo)準(zhǔn)。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所維護(hù)的National Vulnerability Database為幾乎所有已知漏洞提供CVSS評(píng)分。
即使使用CVSS評(píng)分作為優(yōu)先排序網(wǎng)絡(luò)安全風(fēng)險(xiǎn)緩解活動(dòng)的基礎(chǔ)，企業(yè)也必須確定這種方法是否對(duì)其有效。例如，如果某個(gè)特定漏洞的CVSS評(píng)級(jí)為低或中等，很多企業(yè)會(huì)選擇不修復(fù)該漏洞。
但對(duì)于擁有很多系統(tǒng)(包括關(guān)鍵任務(wù)系統(tǒng))的企業(yè)呢?這些企業(yè)需要了解的是，該漏洞對(duì)他們的潛在影響并沒(méi)有很好地通過(guò)CVSS展現(xiàn)，實(shí)際影響可能比CVSS評(píng)級(jí)高得多，而且企業(yè)應(yīng)該修復(fù)該漏洞。
結(jié)論
即使網(wǎng)絡(luò)安全泄露事故確實(shí)不可避免，但并非一切都會(huì)丟失，事實(shí)是，不可能完全消除網(wǎng)絡(luò)安全泄露相關(guān)的不確定性。
管理不確定性的傳統(tǒng)方法是通過(guò)風(fēng)險(xiǎn)管理。在了解管理網(wǎng)絡(luò)安全就是管理風(fēng)險(xiǎn)后，那么，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理為什么不能通過(guò)風(fēng)險(xiǎn)管理方法來(lái)管理?
新聞標(biāo)題：難以避免的泄漏事故：怎么解？
網(wǎng)站鏈接：http://m.fisionsoft.com.cn/article/dhgsohd.html
