2018年08月30日
基于多年來積累的洞察力豐富經(jīng)驗，Global Knowledge推出了一個卓越的網(wǎng)絡(luò)安全組織的優(yōu)秀實踐模型，使其研究知識和經(jīng)驗?zāi)軌驊?yīng)對并驗證數(shù)百個各種規(guī)模的組織。在研究世界級網(wǎng)絡(luò)安全組織時，發(fā)現(xiàn)了成功的網(wǎng)絡(luò)安全組織似乎有著幾個共同的關(guān)鍵特征。那么組織如何建立一個成功的網(wǎng)絡(luò)安全團隊呢?
步驟1：承認(rèn)網(wǎng)絡(luò)安全是人員問題而不是技術(shù)問題，因此需要優(yōu)先考慮
許多人表示，在計算機和網(wǎng)絡(luò)出現(xiàn)之前，網(wǎng)絡(luò)安全不是問題。就目前而言，這是事實。然而，每一次網(wǎng)絡(luò)安全攻擊都是由人類發(fā)起的，每一次緩解和響應(yīng)都是由人類實施的。除非配置防御者配置，否則系統(tǒng)不會自動采用防御措施。
這并不是貶低當(dāng)今在網(wǎng)絡(luò)安全產(chǎn)品中出現(xiàn)的重大突破。如今，很多組織采用生物識別掃描儀、行為分析和基于機器學(xué)習(xí)的系統(tǒng)檢測零日攻擊。這些確實提高了安全性。然而，人們相信，盡管采用所有這些先進的系統(tǒng)，仍然需要人工參與做出購買決策，部署并將它們集成到解決方案中。這一關(guān)鍵部分中，人類對網(wǎng)絡(luò)安全成功的投資回報率(ROI)影響大。沒有豐富經(jīng)驗和知識淵博的技術(shù)人員正確實施配置的防火墻或入侵防御系統(tǒng)將永遠(yuǎn)不會按預(yù)期工作。
網(wǎng)絡(luò)安全團隊所能做出的好的投資就是他們自己。在知識、技能和能力方面的投資將會提升他們部署的任何技術(shù)解決方案的價值。根據(jù)全球IT技能和薪資報告，人們看到全球IT技能差距的上升趨勢，特別是在網(wǎng)絡(luò)安全方面。與任何其他職能領(lǐng)域相比，決策者正在努力聘請優(yōu)秀的網(wǎng)絡(luò)安全人才。而近年來，網(wǎng)絡(luò)安全專業(yè)人員的短缺趨勢越來越嚴(yán)重。
隨著招聘和外包成為企業(yè)面臨的一項重大挑戰(zhàn)，對人員的培訓(xùn)和投資比以往任何時候都更加重要。正如Steven Covey在其“高效人士的7個習(xí)慣”文章中所說，企業(yè)必須“工欲善其事，必先利其器?！边@意味著企業(yè)可以保留并加強擁有的大資產(chǎn)，那就是人才。因此，建立一個成功團隊的第一個步驟就是優(yōu)先考慮培養(yǎng)和保留人才。
步驟2：解決人為因素，以便企業(yè)的網(wǎng)絡(luò)安全思維可以在遭遇攻擊之前發(fā)展
正如人們所觀察到的，技術(shù)的生命周期隨著時間的推移而變化，網(wǎng)絡(luò)安全也不例外。隨著時間的推移，網(wǎng)絡(luò)安全思維的演變與軍事思維相似，這可能并非巧合。起初，網(wǎng)絡(luò)安全專注于強大的“外圍防御”，就像現(xiàn)實世界的堡壘一樣。但實際上，人們無法控制門外發(fā)生的事情，只能建造堅固的墻(抵抗直接攻擊)。并密切檢查通過大門的任何東西。這種思維方式導(dǎo)致了防火墻(網(wǎng)絡(luò))和病毒檢查程序(計算機)的成功崛起。
后來，隨著攻擊者越來越隱秘地掩蓋他們的入侵方法和目的，網(wǎng)絡(luò)安全形勢再次演變。在這種情況下，雖然對外圍攻擊和入侵的檢查仍然存在，但安全維護者承認(rèn)，如果入侵者確實設(shè)法進入安全陣地，他們就可以不受限制自由地進入。而對策是采用“縱深防御”的理念。這種模式相當(dāng)于讓守衛(wèi)者在城堡內(nèi)的內(nèi)部各處漫游，查找任何人的異常行為。在網(wǎng)絡(luò)安全的情況下，這意味著需要在網(wǎng)絡(luò)上安裝網(wǎng)絡(luò)入侵檢測系統(tǒng)(NIDS)，在服務(wù)器上安裝主機入侵檢測系統(tǒng)(HIDS)。這是一個深刻的轉(zhuǎn)變，從一維思維到二維思維，并且在捕捉更多入侵方面非常成功?，F(xiàn)在，這些系統(tǒng)不僅可以檢測，還可以阻止入侵，使其成為一個強大入侵防御系統(tǒng)(IPS)。
最新思想涉及“零信任”網(wǎng)絡(luò)安全的理念。這個模型相當(dāng)于鎖上城堡中的所有房間，只為每個人需要的房間提供鑰匙。這種鎖定模型運行良好，因為即使憑據(jù)受到損害，它也會限制暴露于最小數(shù)據(jù)和系統(tǒng)的風(fēng)險。
這些都是相互依賴的強有力的方法。但是，它們?nèi)匀恢辉趦蓚€方面運作(主要是技術(shù)，還有一些政策)。為此建議采用更通用的方法解決問題。而成功的網(wǎng)絡(luò)安全是一個涉及人員、流程和技術(shù)的三維解決方案。成功的網(wǎng)絡(luò)安全組織會考慮這三方面因素并使其正確部署。
如上所述，其中的一個維度是技術(shù)。組織使用可用的技術(shù)來解決安全問題至關(guān)重要。組織需要購買并整合各種技術(shù)中的好的解決方案，以獲得優(yōu)秀的防御措施。
但是流程這個第二個維度更為重要。如果沒有正確配置和維護，那么擁有前沿入侵防御系統(tǒng)(IPS)是沒有用處的。它不能保護沒有修補和更新的系統(tǒng)。它當(dāng)然不能防止濫用用戶密碼和憑據(jù)。簡而言之，在技術(shù)解決方案開始發(fā)揮作用之前，必須建立流程。
最后，重要的維度是人員。正如技術(shù)在沒有過程的情況下毫無用處一樣，如果沒有人，流程就毫無用處。人們需要適當(dāng)?shù)闹R、技能和能力才能實施和遵循流程并部署技術(shù)。因此，網(wǎng)絡(luò)安全有三個方面：人員、流程和技術(shù)。
重要的是人。
步驟3：網(wǎng)絡(luò)安全正在逐漸成為成熟的子專業(yè)，專業(yè)人士應(yīng)該獲得所需的技能
例如，汽車修理行業(yè)多年來致力于實現(xiàn)專業(yè)化。現(xiàn)在有油漆車間、變速箱車間、剎車片車間、輪胎車間等。即使客戶將汽車開到全方位服務(wù)設(shè)施或經(jīng)銷商那里，仍然有專家在那里工作。
同樣，網(wǎng)絡(luò)安全也變得越來越復(fù)雜，以至于已經(jīng)出現(xiàn)了一些子專業(yè)。在對成功實施網(wǎng)絡(luò)安全組織的分析中，在過去幾年出現(xiàn)了8個特定的專業(yè)。規(guī)模非常大的組織在這8個專業(yè)中都設(shè)置團隊。而只有少數(shù)網(wǎng)絡(luò)安全人員的小型組織的員工只能身兼多職，或一些專業(yè)進行外包，或者這兩方面兼而有之。
這8個專業(yè)分別是：
架構(gòu)和政策
數(shù)據(jù)丟失預(yù)防
治理、風(fēng)險和合規(guī)性
身份和訪問管理
事件響應(yīng)和法醫(yī)分析
滲透測試
安全DevOps
安全的軟件開發(fā)
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運維平臺建設(shè)、動漫設(shè)計、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務(wù)商。