网络攻击者发现自己总是处于优势地位。他们可以决定何时、何地以及如何攻击一家企业，用时间和耐心来选择他们想要攻击的时间。作为一名网络安全专业人士，我们经常发现自己在打一场艰苦的战斗。云计算、远程工作者和软件即服务应用程序的增长继续扩大攻击面，为不良行为者提供了越来越多的机会。恶意黑客具有出其不意的优势，这种优势只会随着网络变得更加复杂而增长。威胁范围不断扩大，安全团队必须将他们的方法从基于威胁的思维方式转变为基于风险的思维方式。这是安全处理方式的重大变化，从基于合规性和法规的结构转变为旨在降低整体风险的结构。当技术领导者开始问自己“可能发生的最糟糕的事情是什么”时，该问题的答案可以帮助指导基于风险的方法，因为它突出了最坏的情况以及恢复所需的内容。变革正在发生许多大型组织已经开始转向基于风险的方法。基于威胁的方法通常侧重于满足独特行业要求的待办事项列表，但忽略了安全的关键组成部分：风险缓解。正如任何安全专家所说，合规性本身并不等同于安全性。它为组织提供了基线和目标，并减少了违规期间的罪恶感，但通常将安全性作为事后的想法。基于风险的安全方法采用公司的整体视图来评估其关键资产的位置，并系统地识别和优先考虑对组织的威胁。基于风险的思维方式不是孤立地查看单个安全控制，而是让您更清楚地了解您在哪里以及有多大可能受到损害。基于威胁的方法旨在减轻主动和潜在威胁。这可能是黑客或恶意软件进入了您的系统。一旦进入内部，这些不良行为者可能会造成损害，而威胁缓解策略旨在快速识别它们并采取果断行动。在当前基于威胁的系统中，业务流程和安全要求通常相互独立。基于风险的方法允许技术领导者确定资产的优先级、分配资源并创建系统的方法来缓解高风险领域。技术和业务领导者应共同确定安全性如何与预期的业务目标保持一致。基于风险的方法的最佳实践希望转向更加基于风险的结构的组织必须考虑许多因素。基于风险的方法包括执行组织风险评估、识别和实施所需的控制等。让我们来看看技术领导者的一些关键最佳实践：定义对业务至关重要的所有资产并确定其优先级。技术领导者必须评估他们所有的技术资产，包括互联网上的技术资产。创建资产清单并确定每项资产的价值以及相关的固有风险是关键的第一步。实施稳健的策略来定义哪些用户和系统需要访问关键资产。组织将通过基于风险的方法更加关注用户身份和访问。利用可创建限制用户移动的强大身份验证配置文件的技术和工具。实施零例外执行政策。制定适当的访问控制并坚持执行，即使这可能证明很困难。这很关键，并且与当前流行的安全方法（例如零信任）保持一致。确保记录未经授权的访问尝试。保留和分析此信息可以帮助您了解攻击企图的来源。这也有助于您的组织潜在地加强围绕流行目标的安全协议。进行定期攻击和用户错误模拟。紧急情况不是学习的最佳时间。运行模拟可以为习惯于压力情况的团队成员提供宝贵的经验，并让他们为如何在紧急情况下迅速采取行动做好准备。保持开放的心态这种向基于风险的方法的转变在很多方面都不足为奇。技术企业继续基于云计算和远程工作者的涌入而快速转变，以新的方式扩展他们的网络。通过改变您的思维方式，您可以从长远角度看待威胁形势，并调整您的方法以遵循更大的模式。作为安全领导者，我们永远无法安心地履行我们的保护职责。坏演员在不断变化，我们也必须如此。技术领导者不能害怕放弃旧的想法，转而采用新的方法和思维方式。当今的组织有越来越多的技术资产需要保护。利用基于风险的方法并专注于提供可见性、自动化和对企业运营的真正洞察力的工具。寻找可以提高身份并通过定期培训和模拟让您的团队保持强大的身份验证工具。技术世界在不断变化，我们需要跟上它的步伐。
