<style type="text/css"> .wpb_animate_when_almost_visible { opacity: 1; }</style>

风险数据发现及管理

风险数据发现及管理

       在当前的世界中,数据和数据保护是企业至关重要的考虑因素。客户希望您确保其信息的安全性,如果您不能保证信息安全,就会失去业务。许多拥有敏感信息的客户在与您开展业务之前,会要求您部署坚固的数据安全基础架构。基于这种考虑,您是否相信自己企业内的IT安全性?
IT行业通过发布安全补丁和更新勉强跟上对手的步伐,但由于物联网等新技术的应用,IT行业不得不应对层出不穷的新漏洞。
为了能够强有力地处理可能影响业务的数据安全问题,您必须了解三个核心要素的关系和区别——威胁、漏洞和风险。
威胁
所谓“威胁”是指特定类型攻击的来源和手段,通常是指新型或新发现的事故,这类事故有可能危害系统或您的整个组织。
威胁主要有三类:
  • 自然威胁(例如洪水或龙卷风);
  • 无意威胁(例如员工错误地访问了错误的信息);
  • 有意威胁。有意威胁的例子最多,最为常见的形式包括间谍软件、恶意软件、广告软件公司或者心存不满的员工的行为。此外,蠕虫和病毒也归类为威胁,因为这些可能通过自动攻击(不是人为)而危害您的组织。
面对上述威胁,您和您的团队应该:
1、确保您的团队成员了解网络安全的最新趋势,这样,他们就能够快速识别新的威胁。应订阅涉及这些问题的博客(例如Wired)和播客(例如Techgenix Extreme IT),并且加入专业协会,从而获取突发新闻推送、会议和网络研讨会信息。
2、您还应该定期进行威胁评估,同时评估不同的威胁类型。
威胁评估是为了确定最佳的办法,确保系统对某一特定威胁,或各类威胁的安全。渗透测试演习基本上是侧重于评估威胁概要,以帮助制定有效的对策来对付特定威胁所代表的各类攻击。
分析威胁有助于制定具体的安全策略,根据策略优先级进行实施,并了解要确保安全的资源的具体实施需求。
3、渗透测试还涉及现实世界威胁的建模,用于发现漏洞。
漏洞
所谓“漏洞”指的是可以攻击成功的系统安全缺陷,通常指一个或多个黑客可以利用的已知资产(资源)弱点。换句话说,它是一种使攻击能够成功实现的已知问题。
例如,在团队成员辞职而您忘记取消其对外部账户的接入权限、更改登录名或者将其姓名从公司信用卡系统中移除时,这会使您的业务暴露在有意和无意的威胁中。然而,大多数漏洞由自动攻击者利用,而不是由人员在网络另一端键入。
所以,在该种情况下,漏洞测试对于保证持续的系统安全就显得尤为重要。
所谓漏洞测试,就是识别漏洞,并在现有基础上由各方负责解决这种漏洞,并有助于提供数据以识别需要解决的安全隐患。
漏洞测试可识别弱点,并快速制定应对战略,这种漏洞不是特别的技术——它们也可以适用于社会因素,如个人身份验证和授权的政策。
漏洞测试有助于保