安全是每个人的责任。虽然在组织中培养安全文化并非易事，但却是必不可少的。为了培养安全文化并获得员工的认可，重点关注提高安全意识和评估现有安全措施的有效性非常重要。首席信息安全官 (CISO) 或其他安全职能岗位必须领导、提供资源并提供支持，以在组织中建立安全文化。

通过对员工进行网络安全最佳实践教育并让员工参与其中，组织可以培养安全作为共同责任的文化。CISO对组织目标的理解程度以及相应的安全举措的调整程度可以帮助他们识别普遍存在的无效安全措施和浪费的资源。

然而，仅仅关注安全而不考虑其对运营效率或客户体验的影响可能会导致潜在的缺点和限制，例如阻碍安全团队与其他部门之间的增长和协作。此外，高层管理人员的支持不足给有效分配资源和实施必要的变革带来了挑战。这些变量意味着每个组织都有独特的安全环境，CISO必须不断评估组织的具体挑战。他们应该相应地调整策略，以保护宝贵的资产并维持稳健的安全态势。CISO必须运用从网络事件、勒索软件攻击和威胁中汲取的经验教训来增强组织的网络安全防御能力。

安全意识和培训

忽视考虑员工的安全意识和培训的优先级是一个常见的错误。意识培训向员工传授安全最佳实践，最大限度地减少人为错误，并在组织中创建安全意识文化。如果没有适当的培训和意识，员工可能会在不知不觉中做出危险行为，例如点击可疑链接、不当共享敏感数据、使用弱密码、离开工作站时不注意安全以及忽视软件更新，所有这些都可能危及安全。

CISO应确保员工充分了解安全最佳实践、潜在威胁以及他们在维护安全环境中的角色和责任。这可以通过与人力资源团队合作进行培训集成、推广用户友好的安全策略以及根据特定角色、措施和文化定制培训来实现。培训计划的持续进行也至关重要。

主动安全措施

CISO必须了解采取主动安全措施的价值而不是依赖被动方法。埃森哲报告称，“虽然35%的受访者表示，他们从一开始就将安全控制措施嵌入到所有转型计划中，但仍有18%的受访者在事后才部署安全措施。”

创建安全文化需要组织中每个人的集体努力。每个员工都应该积极主动地遵守安全策略和最佳实践。此外，投资支持收集威胁情报等策略的技术有助于检测安全事件。入侵检测和预防系统也是缓解事件的宝贵投资，因为它们可以防止严重损害。

供应商和第三方风险管理

组织通常依赖外部供应商和第三方来提供各种服务和解决方案。Ponemon Institute2022年的一份报告显示，所有行业中55%的组织表示，管理第三方是一项艰巨的任务，而且会消耗资源。此后，更多的第三方数据泄露事件曝光，危及数百万人的个人信息。2023年8月，英国大都会警察局宣布涉及其供应商之一的IT系统的安全漏洞。6月2023年，据证实，许多组织以及多个美国政府机构都经历了与利用 MOVEit Transfer（Progress Software 开发的企业文件传输工具）中的漏洞相关的入侵。

因此，必须实施强大的供应商风险管理流程来评估和监控这些第三方的安全状况。这些流程包括加强合同安全协议、持续监控供应商安全实践、优先考虑持续风险管理以及从过去的错误中吸取教训。组织应该让第三方对安全负责，明确保护数据是共同的责任。忽视这些策略可能会使组织面临外部合作伙伴潜在的违规行为。

在2013年Target数据泄露事件中，网络犯罪分子通过第三方供暖、通风和空调供应商获得了对塔吉特网络的访问权限。该供应商的凭据遭到泄露，这使得攻击者能够渗透Target的系统并窃取4100万客户的个人信息。为了防止这种情况发生，Target可以实施更强大的供应商安全实践，例如多因素身份验证 (MFA) 和限制对关键系统的访问，这将使攻击者更难破坏其网络。

在ISACA的“2023年网络安全状况”网络研讨会上，Parkerson指出：“当您将其他供应商添加到您的组织中时，您会增加风险并降低韧性。安全和信任是任何组织的基本能力。” Brandt补充道，“组织内部必须有基线能力，而不是被外部服务提供商和顾问淹没。”

定期风险评估

CISO应该明白，完全消除风险是不切实际且成本高昂的。相反，他们必须专注于实施风险缓解策略，并将资源分配到能够对组织的安全态势产生最重大影响的任何地方。

持续监控和威胁情报

组织必须实施持续监控和威胁情报计划，以有效检测和响应不断变化的威胁。仅仅依靠防火墙和防病毒软件等静态安全措施是不够的。实时监控至关重要。如果没有它，组织很容易受到绕过传统防御的新威胁的影响。例如，领先的IT管理软件提供商 SolarWinds在2020年成为高度复杂的供应链攻击的受害者。该攻击在几个月内未被发现，从而使攻击者能够渗透到众多组织中。

对网络流量的持续监控和分析在识别和减轻网络威胁（例如网络钓鱼活动）方面发挥着至关重要的作用。通过检测与活动相关的可疑电子邮件地址、恶意URL和恶意软件签名等入侵指标 (IOC)，安全团队可以及时响应威胁。与其他组织或安全供应商共享这些IOC有助于防止网络钓鱼活动的蔓延，并能够实施有针对性的防御来应对类似的攻击。

另一种主动方法是利用威胁情报源，提供有关已知恶意IP地址、域或文件哈希的实时信息。通过将这些源集成到监控系统中，组织可以主动识别并阻止与恶意活动相关的来源的连接或通信。这使组织能够利用最新的威胁情报来加强防御，从而显着降低网络攻击成功的可能性。

密切关注新出现的威胁和漏洞是每个人都关心的任务。应鼓励员工报告可疑活动并分享威胁情报。通过持续监控网络流量并利用威胁情报，组织可以主动识别IOC 并领先于不断变化的威胁。将这些实践整合到他们的安全策略中可以增强他们检测和响应新兴威胁的能力，降低网络攻击成功的风险并保护关键资产。

遵守法规和标准

组织必须了解并遵守相关的安全法规和标准。遵守合规性法规有多种目的。首先，它可以帮助组织避免因违规而受到处罚、罚款或法律诉讼，从而降低法律和财务风险。其次，合规性通过展示对维护敏感数据安全和隐私的承诺，向客户、合作伙伴和投资者等利益相关者展示信任和信心。

2023年，Meta因违反欧盟通用数据保护条例 (GDPR) 被处以开创性的12亿欧元罚款，亚马逊、TikTok、谷歌和英国航空公司紧随其后。一家美国企业因未能遵守美国健康保险流通与责任法案 (HIPAA) 法规而被罚款 150 万美元。

为了避免类似性质的罚款，CISO必须随时了解不断变化的合规性要求，并确保其组织维持必要的控制和文档来履行义务。

治理、风险和合规 (GRC) 实践（例如建立GRC框架和进行合规审计）使CISO及其团队能够建立强大的控制机制并监控法规的遵守情况。此外，他们还强制维护适当的审计和评估文件。CISO应与法律和合规团队合作，并优先考虑利益相关者的信任。

事件响应和业务连续性

为了避免出现此类情况，CISO必须培训其团队并使其做好准备，以进行有效的事件响应。程序不完善可能会导致延误、响应不足，并在安全事件期间加剧损害。埃森哲和波耐蒙研究所 2020年网络犯罪成本研究报告称，制定快速有效的事件响应计划的组织可以将网络攻击的平均成本降低 200万美元。有效的事件响应计划取决于明确定义的角色和定期培训、高效的沟通、监控机制以及通过事后审查持续改进。与业务连续性和合规性要求的集成也很重要。为了增强网络安全事件的准备和响应能力，组织应进行事件响应桌面演习，其中涉及模拟攻击场景。

持续学习和适应

最后，CISO们必须认识到网络安全格局不断变化的性质以及持续学习和适应的必要性。通过订阅信誉良好的网络安全出版物、参加行业会议以及参与有关新兴威胁、行业趋势和最佳实践的信息共享网络来了解最新信息，对于维持有效的安全策略至关重要。与 ISACA、ISC2和信息系统安全协会 (ISSA) 等专业组织合作也可以提供宝贵的见解和交流机会。

结论