面对紧张的预算和资源，企业组织可用的安全措施有限。因此，组织需要根据战略目标确定安全措施的优先级。但在现实中，由于多种原因，企业组织的整体安全目标并不明确。在这种情况下，企业组织可以尝试“天天放弃”，制定阶段性的局部目标。2021年CISO（首席信息安全官）应关注的五个工作目标：制定网络钓鱼预防计划无线通信公司Verizon在其DBIR2021数据泄露报告中指出，网络钓鱼仍然是最常见的网络攻击方法，并将在2020年继续增长。2019年更为普遍，占攻击的36%。与一年前的25%相比有所上升，这一增长反映了2020年上半年与COVID-19大流行相关的网络钓鱼诱饵大量涌入。面对日益增多的网络钓鱼攻击，CISO和其他安全专业人员需要优先考虑创建反网络钓鱼程序。网络钓鱼攻击以虚假消息为目标，并使用心理策略来营造紧迫感并促使收件人点击。因此，组织需要对员工进行网络钓鱼教育，并确保组织中的每个人，从人力资源到法律再到研发，都了解要查找的危险信号、如何报告可疑消息，并避免点击链接或打开包含在其中的网络钓鱼文件。电子邮件。重新审视漏洞管理Verizon在其DBIR2021中发现，涉及旧漏洞的攻击比利用新漏洞更常见。造成这种趋势的部分原因是组织并不总是将修补作为优先事项，如果漏洞没有及时修补，攻击者可以在未来几年利用相同的漏洞并造成破坏。组织可以通过漏洞管理(VM)、漏洞扫描（通常称为CVE漏洞列表或“常见漏洞和暴露”扫描）来解决这一趋势，然后根据风险对这些漏洞的严重性和修复进行优先排序。实施VM程序的组织的困难之一是知道首先要缓解哪些漏洞。当漏洞堆积时，组织可能很难确定哪些漏洞最严重且可能具有破坏性。组织可以选择使用高级VM解决方案，该解决方案提供灵活、精细的评分系统来确定已知缺陷的优先??级。加强云上资产保护2021年，外部云资产安全事件比内部资产更频繁。这意味着组织需要了解他们的云安全责任。虽然云安全提供商将保护组织正在使用的云基础设施，但保护添加到云中的所有数据和流程的安全仍然是组织的责任。高级云帐户监控Web安全工具扫描组织的云帐户中的错误配置，这些错误配置可能会成为攻击者的窗口。云监控工具可以按风险级别对云帐户配置错误进行优先级排序，以便安全团队可以解决最关键的问题。优先考虑工业网络安全根据Verizon的年度安全报告，工业环境，尤其是制造环境，已成为攻击者的热门目标。事实上，研究人员发现，与往年相比，恶意利用制造企业漏洞的勒索软件增加了61.2%。该报告还发现，个人数据是这些攻击中受损最严重的数据类型。组织可以通过优先考虑工业网络安全来应对。例如，安全团队可以专注于实施工业可见性解决方案以保护运营(OT)环境。可见性始于整体资产清单，安全团队拥有一个工具，可以通过完整的硬件和软件资产清单准确显示网络上的内容。组织需要知道这些设备与谁通信，设备配置是否发生变化，存在哪些漏洞，并了解隐藏在日志中的问题。一旦组织实现了对工业网络安全的实时可见性，它就可以实施保护性安全控制并持续监控组织的网络环境。使用CIS控件Verizon在其报告中指出，“'坚实的基础'将有助于解决最有可能影响组织的绝大多数安全问题。”这个“基础”的重要组成部分之一就是CIS（全称CleverInternetSuite）控件，CIS控件是提供给软件开发商进行Internet网络开发的一组控件。由互联网安全中心维护的CIS最佳实践优先列表是一个免费的、备受推崇的框架，组织可以使用它来确保他们拥有最重要的安全控制措施。CIS安全控制将组织的数字环境视为任何人都可以在没有适当的基本安全措施的情况下进入的房子。遵守基本安全控制的组织，特别是CIS控制v8实施组1中列出的组织，可以帮助关闭窗户、锁门和安装标准安全系统。虽然无法完全消除攻击者闯入的可能性，但实施CIS控制有助于降低攻击的可能性和影响。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
