4000-110-253
痛點與要點：中國企業網絡安全現狀及需求分析. 2020-09-01
企業網絡安全三分靠技(jì)術(shù)，七分靠管理(lǐ)。隻有(yǒu)認清現狀，利用有(yǒu)限的資源，圍繞數(shù)據安全的核心任務，從需求出發，面向安全威脅，以安全建設和(hé)安全運營為(wèi)根本手段，才能最終提高(gāo)網絡安全相關風險管理(lǐ)水(shuǐ)平。繼上(shàng)一篇《大(dà)數(shù)據解讀中國網絡安全人(rén)才市場(chǎng)現狀》之後，我們再次邀請(qǐng)到智聯招聘安全總監張坤，從安全威脅、安全管理(lǐ)和(hé)安全需求的角度，為(wèi)我們刨析中國企業網絡安全現狀。在《人(rén)才篇》和(hé)《需求篇》之後，我們還(hái)将發布《建設篇》，重點討(tǎo)論企業網絡安全團隊建設，作(zuò)為(wèi)本系列中國網絡安全市場(chǎng)分析的終章。
中國企業網絡安全現狀的四個(gè)重點問題
1. 數(shù)據洩漏仍然是企業安全風險最大(dà)的來(lái)源。對企業而言，數(shù)據安全日漸成為(wèi)核心業務系統體(tǐ)系運轉的基石，數(shù)據已經成為(wèi)網絡安全行(xíng)業聚焦點最高(gāo)的一個(gè)細分領域。而對企業而言數(shù)據一直以來(lái)是重要生(shēng)産資料，數(shù)據驅動業務決策也成為(wèi)實踐業務創新的核心手段。随着數(shù)據交易的常态化，勒索軟件開(kāi)發市場(chǎng)的規模化，數(shù)據衍生(shēng)服務的體(tǐ)系化，在低(dī)成本高(gāo)收益的誘惑下，企業的核心數(shù)據保護均面臨着來(lái)自內(nèi)外部的巨大(dà)風險。
2. 數(shù)據洩露途徑、動機、涉案角色均呈現出多(duō)元化和(hé)隐蔽化的特點，從洩露數(shù)據類型、洩露人(rén)身份、洩露動機和(hé)洩露渠道(dào)等更精準的制(zhì)定數(shù)據監控策略，更有(yǒu)效地落實數(shù)據安全防控一體(tǐ)化機制(zhì)成為(wèi)企業在數(shù)據洩露對抗中的當務之急。
3. 經過我國等保标準強制(zhì)要求以及企業自身沉澱積累，大(dà)部分企業具有(yǒu)或部分具有(yǒu)安全技(jì)術(shù)能力，整體(tǐ)資源投入不足，相比防護手段而言，缺少(shǎo)能力運營和(hé)外部情報獲取分析能力。
4. 企業安全的工作(zuò)的重點和(hé)思路：從馬斯洛需求模型上(shàng)來(lái)講，企業安全建設的當務之急是排查自身需求層級，從需求建設能力，能力還(hái)是那(nà)個(gè)追逐熱點、人(rén)員上(shàng)追求“吉祥物”都不會(huì)讓企業水(shuǐ)位線顯著提高(gāo)，方法和(hé)需求結合才能構建符合企業現狀的能力。
企業數(shù)據風險管理(lǐ)的痛點和(hé)重點
如何确定數(shù)據的權屬，如何合理(lǐ)的跨境流動，又如何在保護個(gè)人(rén)隐私的前提下，充分發揮數(shù)據的價值，成為(wèi)當下企業最應重視(shì)的問題和(hé)風險。
數(shù)據時(shí)代與數(shù)字世界的來(lái)臨，信息數(shù)據已從資産保護對象成為(wèi)重要的經濟生(shēng)産工具。數(shù)據安全面臨的威脅前所未有(yǒu)，數(shù)據安全與身份安全保護的難度也将面臨巨大(dà)挑戰。而數(shù)據洩漏洩露事件除直接損失外，對企業的聲譽、客戶滿意度、市場(chǎng)占有(yǒu)量、股價以及企業合規都會(huì)産生(shēng)極其負面的影(yǐng)響。
1. 任何一個(gè)在企業內(nèi)部工作(zuò)的員工，或多(duō)或少(shǎo)都能夠接觸到企業內(nèi)部各種類型的數(shù)據。如何有(yǒu)效甄别數(shù)據敏感度，如何對不同敏感度數(shù)據實施差分保護，如何在不降低(dī)工作(zuò)效率的前提下控制(zhì)訪問權限，如何保證數(shù)據訪問和(hé)操作(zuò)均具備可(kě)審計(jì)性，這是數(shù)據安全防護建設需要重點考慮的內(nèi)容。
2. 數(shù)據風險來(lái)源80%來(lái)自內(nèi)部人(rén)員，外部人(rén)員中90%的攻擊來(lái)源是黑(hēi)客，外部人(rén)員中第三方合作(zuò)夥伴也是最常見數(shù)據洩露角色，由于業務合作(zuò)需要共享數(shù)據，而下遊合作(zuò)廠商的數(shù)據保護意識或數(shù)據保護能力存在偏差從而導緻數(shù)據洩露，這也是近年來(lái)攻擊者更願意從數(shù)據産業鏈的下遊發起攻擊，從而竊取數(shù)據的原因。
內(nèi)部在職人(rén)員造成的數(shù)據洩露呈現高(gāo)速增長趨勢，待離職員工和(hé)已離職員工造成的數(shù)據洩露大(dà)多(duō)都發生(shēng)在求職階段。無論是新東家(jiā)要求夾帶機密數(shù)據離職，還(hái)是員工自己主動留存竊取資料給自己增加談判籌碼，都會(huì)對原所在企業造成損失。另外近一兩年随着互聯網信息互通(tōng)共享，合作(zuò)者或者競争廠商未經允許私自利用共享信息牟利的案例也呈增長趨勢。
企業應在趨于完善的安全防護體(tǐ)系之上(shàng)，強化內(nèi)部數(shù)據保護宣導，加強特權賬号管理(lǐ)、核心操作(zuò)審計(jì)，提升內(nèi)部用戶行(xíng)為(wèi)分析、回溯能力。從流量、終端、應用各個(gè)方面建立預防為(wèi)主，監控為(wèi)輔的數(shù)據安全能力機制(zhì)。
3. 牟利永遠是數(shù)據竊取的最強原動力，針對動機的發現和(hé)提前預判，可(kě)以通(tōng)過員工網絡流量，上(shàng)網行(xíng)為(wèi)、數(shù)據操作(zuò)行(xíng)為(wèi)偏差值綜合判定，如員工近期大(dà)量浏覽求職網站(zhàn)，可(kě)判斷其有(yǒu)離職傾向，從而就可(kě)以調整安全策略，對該員工的某些(xiē)數(shù)據訪問操作(zuò)采取以阻斷防護、監控審計(jì)為(wèi)主的數(shù)據防護策略。剩餘兩成數(shù)據洩露案件大(dà)多(duō)是由員工誤操作(zuò)引起的，且越是技(jì)術(shù)人(rén)員的誤操作(zuò)所造成的影(yǐng)響和(hé)破壞越是嚴重。針對誤操作(zuò)，應盡可(kě)能在高(gāo)權限用戶的關鍵操作(zuò)環節，增加複核審批手段。
4. 洩露渠道(dào)是數(shù)據監控的重點環節，移動存儲介質(U盤/移動硬盤/存儲卡)占據近半壁江山(shān)，也符合其拷貝量大(dà)、傳輸速度快的特點。其次即時(shí)通(tōng)訊、網盤類工具、郵件也常用于數(shù)據外發或數(shù)據備份，拍照常見于不能直接獲取到此類數(shù)據，隻具備查看權限的案例，例如拍取屏幕顯示高(gāo)敏感信息等。數(shù)據安全不應脫離于具體(tǐ)業務，需要與業務場(chǎng)景高(gāo)度耦合。這些(xiē)除了數(shù)據安全的基礎能力建設之外，有(yǒu)一批懂運營會(huì)分析，服務意識強的安全人(rén)員，積極在企業內(nèi)部推動數(shù)據安全的各項舉措，從而構建有(yǒu)效(真正産生(shēng)價值)的數(shù)據安全體(tǐ)系。
企業安全建設現狀與需求分析
在當下的共享經濟，對信息數(shù)據也提出了共享的概念，保障數(shù)據安全當成為(wèi)技(jì)術(shù)發展的前提。除了要保證數(shù)據不外洩，更要保證信息不被入侵者篡改，不論哪一種風險都可(kě)能給用戶帶來(lái)風險和(hé)損失。數(shù)據安全是這一切的基礎。在數(shù)據的應用過程中更要嚴格遵守數(shù)據物理(lǐ)隔絕、訪問權限控制(zhì)、應用數(shù)據分層管理(lǐ)、知情授權等規範化路徑。
在當下，企業網絡安全建設主要面臨如下八大(dà)問題：
企業信息系統互聯互通(tōng)，面臨來(lái)自外部的威脅;
各企業具有(yǒu)大(dà)量客戶各類型信息漸漸得(de)到灰色産業鏈的觊觎;
安全事件造成的損失以及信息系統恢複的成本激增;
缺乏安全技(jì)術(shù)人(rén)員以及安全管理(lǐ)制(zhì)度;
面對外部網絡威脅的恐慌，導緻了某些(xiē)企業信息化發展的裹足不前;
企業對信息共享、互聯網化、雲服務、AI等高(gāo)新技(jì)術(shù)的追求延伸出新的信息安全風險點;
安全意識的淡薄以及管理(lǐ)制(zhì)度的不完善，面臨着來(lái)自內(nèi)部的人(rén)為(wèi)失誤或蓄意破壞、信息竊取;
僵木蠕等問題嚴峻,勒索病毒威脅嚴重。
對傳統企業和(hé)傳統型互聯網企業來(lái)說機構安全建設存在一定的複雜性，信息系統的封閉性、應用間(jiān)交互性、數(shù)據的多(duō)樣性、導緻IT資産混亂;其次，應用架構龐大(dà)、數(shù)據龐雜，相關人(rén)員無法系統的了解應用的架構、數(shù)據的類型、數(shù)據的級别和(hé)相對應的策略，系統間(jiān)交互沒有(yǒu)較好的權限控制(zhì)和(hé)管理(lǐ)。
另一方面，人(rén)員安全意識較低(dī)、缺少(shǎo)安全隊伍，缺少(shǎo)行(xíng)業規範，國家(jiā)法律法規也相對薄弱，導緻安全能力和(hé)系統應用的能力不匹配。
另外企業安全建設較多(duō)偏離業務和(hé)實際場(chǎng)景，安全不應脫離于具體(tǐ)業務，需要與業務場(chǎng)景高(gāo)度耦合。這些(xiē)除了安全的基礎能力建設之外，和(hé)業務強綁定，為(wèi)業務提供數(shù)據輸入、功能處理(lǐ)才能實現更高(gāo)的價值，有(yǒu)一批懂運營會(huì)分析，服務意識強的安全人(rén)員，積極在企業內(nèi)部推動數(shù)據安全的各項舉措，從而構建有(yǒu)效(真正産生(shēng)價值)的安全體(tǐ)系。
轉自安全牛
