新型冠状病毒给网络安全专业人员带来了巨大的压力。随着网络安全预算的紧张和远程办公的常态化，日益复杂的威胁形势对漏洞管理提出了更加严峻的挑战。许多组织对漏洞管理的定义从一开始就过时了。漏洞管理绝不是扫描企业网络中的威胁那么简单。漏洞管理的整体方法包括识别、报告、评估和确定风险暴露的优先级。至关重要的是，它还涉及风险管理的背景。全面的漏洞管理方法不仅仅是扫描安全漏洞，还包括展示攻击者如何利用这些漏洞以及可能造成的后果。相反，漏洞管理应该采取一种整体方法，需要协调一致的努力来降低业务关键资产的风险，而这正是安全运营团队应该努力实现的目标。研究发现，导致企业安全漏洞管理失败的主要原因有以下三个：1.管理无序，未能对威胁进行优先排序无法正确确定威胁的优先级是企业当前在漏洞管理环境中面临的最严重的问题之一。太多的组织通过扫描来识别安全漏洞，然后直接进行补救。在某种程度上，紧迫性是可以理解的。但是，未能有效地确定优先级可能会导致时间和资源的浪费，因为团队竞相解决可能不会对关键业务资产构成真正风险的漏洞。更糟糕的是，漏洞管理不善会使组织更容易受到攻击。更好的方法是确定可被利用的已识别漏洞的优先级。如果处理得当，这种优先级排序可以消除业务敏感系统中99%的风险。使用高级攻击补丁管理解决方案对漏洞进行优先排序，该解决方案采用以攻击为中心的关键风险上下文方法，可全面了解漏洞对企业构成的真正威胁：每个漏洞被利用的可能性以及每个漏洞对企业的影响组织。企业关键资产带来的风险。2.不能坚持，缺乏连续性管理计划有效的漏洞管理计划应该是连续的，而不是零星的。如果企业不采取持续的方法，他们将难以控制漏洞的流动并积累大量的“漏洞债务”。跟踪新出现的漏洞通常可以让安全团队保持警惕，而处理不断增长的安全问题积压可能会使安全运营不堪重负。因此，漏洞管理应该使用以连续和自动漏洞识别为中心的持续方法，而不是零星的扫描和修复。这是企业持续提升安全态势的关键举措之一。3.沟通不畅，管理团队结构不清晰当安全团队没有清晰的沟通渠道和正确的组织结构时，通常会出现问题。团队成员通常没有明确的角色，也不了解他们在整个漏洞管理框架内的职责。当团队成员具有明确定义的角色和明确的职责和目标时，他们可以有效地工作和协作，了解如何将他们的工作与其他人的角色和职责联系起来，而不会错过安全的大局。这种沟通需求也扩展到高层管理人员。鉴于强大的网络安全能力已成为重要的企业战略目标，企业领导层应该了解安全计划的重要性。数据泄露的数量逐年增加，一次数据泄露可能导致严重的声誉和财务损失，甚至企业倒闭。漏洞管理不再只是IT支出的一个分支，它应该是一个关键的业务目标。为了实现有效的漏洞管理，组织必须意识到漏洞管理应该是一个持续的、多阶段的过程。当然，在IT部门内部，也需要刮骨疗毒，彻底解决困扰漏洞治理效率的三大痼疾。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
