未能有效管理网络漏洞的后果从未如此严重。一次数据泄露可能会导致严重的声誉和财务损失，并且泄露的数量每年都在不断增加。事实上，漏洞管理不再只是另一项IT开支——它应该是一个关键的业务目标。大流行给信息安全专业人员带来了巨大压力。随着网络安全预算捉襟见肘，数百万员工已经转为全职或兼职远程工作，日益复杂的威胁形势现在对未来提出了更加严峻的挑战。具有漏洞管理的组织出了什么问题？太多的组织首先对漏洞管理的含义有一个过时的想法。超越扫描您的网络以查找威胁。漏洞管理的整体方法包括识别、报告、评估和确定风险暴露的优先级。至关重要的是，它还涉及风险背景。全面的漏洞管理方法不仅仅是扫描安全漏洞，还向您展示如何利用它们以及可能的后果。准确地说，漏洞管理——如果执行得当——采用一种整体方法，所有方面都可以协调工作，以降低关键业务资产的风险。这是我们所有人都应该努力的。但即使你从正确的首要原则开始，在实施时你仍然可能会失败。考虑到这一点，下面我们重点介绍组织在管理漏洞时面临的三个最重要的问题。1.未能正确确定威胁的优先级未能正确确定暴露的优先级是当今组织在漏洞管理环境中面临的最具破坏性的问题之一。太多的组织通过扫描来识别安全漏洞，然后直接进行补救。在某种程度上，紧迫性是可以理解的。然而，归根结底，它是短视的，并且会带来更大的风险。聪明的组织非常关注漏洞管理的优先级排序和报告阶段。未能有效地确定优先级可能会导致时间和资源的浪费，因为团队竞相解决对业务关键资产没有真正风险的问题。更糟糕的是，它使组织以最糟糕的方式变得脆弱。更好的方法是专注于您可以利用的百分之一的风险敞口。如果处理得当，这种优先级排序可以消除业务敏感系统中99%的风险。从这种优先排序方法中获益的最佳方式是什么？使用尖端的攻击补丁管理解决方案，使用以攻击为中心的关键风险来确定风险暴露的优先级。该工具超越了有限的CVSS分数并显示了全貌：每个漏洞被利用的可能性以及每个漏洞对您的“皇冠上的明珠”资产构成的风险。2.不使用连续的方法有效的漏洞管理程序是连续的，而不是偶发的。如果企业不采取持续的方法，他们将难以控制漏洞的流动并积累“漏洞债务”。这是一个严重的问题。鉴于控制新出现的漏洞已经很困难，处理不断积压的安全问题可能会使整个情况变得难以为继。使用以连续和自动漏洞识别为中心的持续方法，而不是零星的扫描和修复。这是开发由持续改进定义的安全态势的关键之一。3.沟通不畅，组织结构不清晰当安全团队没有清晰的沟通渠道和正确的组织结构时，问题几乎是肯定会出现的。团队成员通常没有明确的角色，他们不了解自己在整个漏洞管理框架中的位置，尤其是在职责方面。当团队成员拥有明确的角色和明确的职责时，他们可以有效地工作和协作。每个人都可以努力履行自己的职责并实现他们的特定目标，而不是孤立地工作而错过大局，同时了解他们的工作如何与他人的角色和责任相关联。这种沟通需求也扩展到高层管理人员。鉴于强大的网络安全已成为一个重要的战略目标，公司领导层了解该计划并对其进行投资非常重要。主要漏洞管理问题未能有效管理网络漏洞的后果从未如此严重。一次数据泄露可能会导致严重的声誉和财务损失，并且泄露的数量每年都在不断增加。事实上，漏洞管理不再只是另一项IT支出——它应该是一个关键的业务目标。为了实现这一目标，必须了解漏洞管理应该是一个持续的、多阶段的过程。解决困扰许多聪明的IT部门的问题也很重要：优先级排序不佳、管理漏洞的方法不规范，以及团队和领导者之间缺乏组织和沟通。正确的方法可以在避免这些陷阱方面带来巨大的好处。如上所述，您能做的最好的事情就是将强大的漏洞管理工具与适当的优先级指导和关键风险背景相结合。一旦您的基本策略合理并且配备了正确的工具，您的企业将在保护您最宝贵的资产方面远远领先于大多数竞争对手。
