網路資安威脅
您的網路資安成熟度如何？
本文介紹網路資安成熟過程的四個主要里程碑，並提出一些您可以自行判斷的問題來知道您企業正走到哪個階段。
Save to Folio
資安長 (CISO) 或任何網路資安人員的學習之旅，從沒有結束的一天。每當您提升了自己的技能之後，您就會看到新的可能性：更快、更聰明、更有效率的做事方法。此外，威脅情勢也永遠在不斷變化，只有風險可視性是唯一不變的需求。當您可以看到的攻擊面越多，您發現的漏洞也就越多。當您的解決方案和功能越強，您就越有機會保護您的企業，同時超越威脅。
換句話說，網路資安成熟度是一條永無止境的道路。但儘管如此，它還是一直朝著一個明確的方向前進：從被動的「救火」，逐漸邁向主動的「策略性風險管理」。本文提出一些問題來協助您了解您目前正處於網路資安成熟度的哪一個階段，以及下一步該怎麼做。
網路資安成熟度的三大支柱
整體而言，網路資安成熟度的每一階段都取決於三大支柱：
隨著企業的網路資安逐漸成熟，企業在這些支柱上的能力也會更深厚、更強大。
第一階段：被動模式
幾乎每家企業一開始都是處於「打地鼠」的狀態，總是等到威脅進入到企業環境之後才來被動回應。處於被動模式的企業能掌握的可視性很少，既無法掌握所有需要保護的資產和資料，也無法看到完整攻擊面的詳細資訊，同時也無法徹底了解自己所面臨的威脅。基於這些因素，企業判斷威脅優先次序並加以防範的能力，通常相當有限。
以下是判斷您是否處於被動模式的一些主要指標：
- 您的資安團隊經常因為資安事件和警報而焦頭爛額。
- 您有太多的工具，各自形成資料的孤島。
- 您使用試算表來管理 IT 資產，而且您的資產盤點不完整、過時，或兩者皆是。
- 您完全仰賴 Common Vulnerabilities and Exposures (CVE) 的評分來決定哪些漏洞需要修補。
第二階段：戰術模式
脫離被動模式的第一步，就是開始整合資安與 IT 工作流程，藉由消除孤島來提升可視性與回應能力，並且導入一些方法來判斷漏洞與威脅的優先次序。換句話說，就是要更妥善掌握您的攻擊面。
雖然這樣的網路資安成熟度已經有所改善，但戰術模式在很大程度上仍顯得被動而緩慢。
以下是判斷您是否正處於戰術模式的一些指標：
- 資安與 IT 部門之間的孤島已經減少，但依然存在。
- 網路資安流程依然大多採用手動作業。
- 資安修補更新還是經常逾期，無法跟上真實世界的威脅情勢。
- 優先次序判斷缺乏一致性，也並非根據任何實際的風險評估，而是依據外部的評量，例如 CVE 漏洞評分。
第三階段：風險導向
正如字面上的意義，網路資安成熟度的下一個重要里程碑，就是要讓您的整體作法更傾向於發掘與解決風險。再加上，由於風險評估是一項密集而持續不斷的活動，因此您必須提升資安營運的自動化。尤其，您需要能即時掌握攻擊面狀況的解決方案和功能。
如果您具備了以下幾點，那麼您已經邁入風險導向階段：
- 風險導向的資安框架與優先次序判斷方法。
- 自動化資安風險評分與資安風險量化，提供客觀的相對風險評估，以及每項風險可能造成的潛在損害。
- 自動化矯正。
- 自動化合規管理。
第四階段：主動模式
網路資安成熟度的前兩個階段，主要跟提升可視性有關，風險導向方法須建立在可視性的基礎上來大幅提升您對威脅與網路資安措施的優先次序判斷。
而主動式模式則不僅集合了前面的所有階段，更強調持續性的防範。這意味著持續發掘及評估風險，並採取一些策略性步驟來降低風險，不僅要處理威脅和漏洞，還要改善您攻擊面的態勢來降低曝險。如此一來，您就能事先預測及解決風險，不讓風險有機會造成危害。
以下是判斷您是否處於主動模式的幾項指標：
- 您的防護措施已高度自動化，並採用了機器學習和 AI 技術。
- 您的網路資安措施在策略上與您的業務目標一致。
- 網路資安已成為企業董事會風險管理的一環。
網路資安成熟度是一個持續的進程
由於網路資安成熟度是一個不斷持續的進程，因此將網路資安成熟度明確切割成四個階段，其實有點刻意。隨著企業在這條道路上不斷前進，您很可能會同時經歷不同階段的某些面向。但儘管如此，將這些階段當成一種標記或里程碑，可幫助您取得進展，達成更多您期望的目標。
還有一點很重要的是，您的網路資安方法越成熟，您的風險管理措施就越能持續。這一點顯而易見，同時也反映在業界領先的框架當中，例如 Gartner 的持續性威脅暴露管理 (CTEM) 方案當中。
另外一個重點是，您邁向網路資安成熟度的起點並不重要，重要的是要藉由一條能讓您擺脫被動模式的途徑，採取更主動、更策略性的方法來管理網路資安風險。
下一步
為了持續推進您的網路資安成熟度學習之旅，歡迎查閱以下資源：