建站
咨詢
售后
建站咨詢
新聞中心
距離4月19日在美國舉辦的RSA大會，時間過去了一個多月，大會的盛況已經(jīng)逐漸淡出人們的視線，但是大會上發(fā)布的新的理念和產(chǎn)品卻在安全圈逐步發(fā)酵，相信未來會對安全市場產(chǎn)生深遠的影響。例如CISO元素周期表，里面提到了諸多CISO需要關(guān)注的重點。
在國外，企業(yè)安全負責人的職位通常是CISO，即首席信息安全官，主要負責對機構(gòu)內(nèi)的信息安全進行評估、管理和實現(xiàn)，這個角色通常會被設(shè)置為與CIO首席信息官平級，或者由CIO直屬，向CIO匯報，但無論如何設(shè)置，CISO的重要性都是毋庸置疑的。
在國內(nèi)，安全的負責人通常還未被提到CISO這個高度，但是隨著網(wǎng)絡(luò)安全法的頒布以及國家對網(wǎng)絡(luò)安全的高度重視程度，安全負責人的重要性勢必會越來越高，一定會向CISO的方向去發(fā)展。
大會廠商將CISO需要考慮的安全要素匯總提煉，總結(jié)成為下面的CISO元素周期表。下面我們對逐個要素做以解釋。
一、業(yè)務(wù)基礎(chǔ)
1. Dx (Digital Transformation) 數(shù)字化轉(zhuǎn)型
在任何企業(yè)環(huán)境中，安全與IT都是服務(wù)于企業(yè)業(yè)務(wù)的。數(shù)字化時代，數(shù)字化轉(zhuǎn)型可能是CEO/CIO最重要的優(yōu)先級。安全即使不直接與Dx相關(guān)，但至少不能與其相悖。優(yōu)秀的安全總監(jiān)要思考的是安全如何能夠幫助企業(yè)實現(xiàn)安全、高效的數(shù)字化轉(zhuǎn)型。很多安全的熱點領(lǐng)域，如數(shù)據(jù)安全、業(yè)務(wù)安全都是與Dx直接相關(guān)的。
2. Go (Governance) 治理
治理是個非常大的課題。百度的定義中，治理的關(guān)鍵是規(guī)范行為方式和建立合理的機制。大到企業(yè)治理，小到IT治理，或是安全治理，重點都在如何確定關(guān)鍵人在關(guān)鍵事上的責權(quán)利設(shè)置。所以，在安全領(lǐng)域，治理無疑也是非常重要的。
3. Rm (Risk Management) 風險管理
在Gartner的定義中，Security(安全)和Risk(風險)是兩個不同的維度，“安全”更偏向技術(shù)維度，“風險”則更偏向業(yè)務(wù)維度。在國內(nèi)，可以看到的趨勢是優(yōu)秀的安全總監(jiān)逐漸也在涉及風險領(lǐng)域，因為在數(shù)字化的時代，業(yè)務(wù)和IT本來就越來越緊密，越來越密不可分。如反欺詐這件事情，可以說是個業(yè)務(wù)問題，也可以說是個風險問題，但還可以說是個安全問題。
4. Co (Compliance) 合規(guī)
合法合規(guī)合理。在一些特定的行業(yè)，尤其在強監(jiān)管的行業(yè)，合規(guī)性是業(yè)務(wù)必須確保的事務(wù)之一。
5. GDPR (General Data Protection Regulation) 通用數(shù)據(jù)保護條例
歐盟的通用數(shù)據(jù)保護條例將數(shù)字化時代的數(shù)據(jù)安全和合規(guī)要求提升到了一個新的高度。RSA大會上大部分公司都在強調(diào)產(chǎn)品或者解決方案如何匹配GDPR，甚至很多創(chuàng)業(yè)或者創(chuàng)新型安全公司主打的就是GDPR。如今年創(chuàng)新沙盒的冠軍BigID。
6. Ba (Business Alignment) 與業(yè)務(wù)的協(xié)作
安全不是為了純粹的安全，安全是為了保障業(yè)務(wù)的正常運行。所以安全必須保證業(yè)務(wù)的連續(xù)性，尤其在關(guān)鍵部門或者關(guān)鍵基礎(chǔ)設(shè)施方面。這是一個基礎(chǔ)性的共識。
二、IT基礎(chǔ)
1. Am (Asset Management) 資產(chǎn)管理
安全是重要的IT資產(chǎn)，也是重要的企業(yè)資產(chǎn)。在這點上，國外企業(yè)的意識非常領(lǐng)先，國內(nèi)企業(yè)也在迎頭趕上。在這里小小的硬廣一下，青藤的產(chǎn)品特點之一就是安全資產(chǎn)的細顆粒度梳理、可視化和量化。這在中大型企業(yè)或者高度依賴IT的企業(yè)中，無論對CISO，還是CIO甚至CEO都是很有意義的。
2. Cm (Change Management) 變更管理
組織、業(yè)務(wù)過程、信息基礎(chǔ)設(shè)施和系統(tǒng)等的變更極有可能會影響組織的信息安全，需加以控制。這個對變更活動進行控制的過程與內(nèi)容就是變更管理。
3. Pm (Patch Management) 補丁管理
無論在國內(nèi)國外，不同的企業(yè)間IT環(huán)境差別相當大，甚至同一企業(yè)中開發(fā)和生產(chǎn)環(huán)境也不盡相同，所以補丁管理是不容忽視的重要任務(wù)。如果不實施全面的補丁策略，后果可能會很嚴重，如生產(chǎn)系統(tǒng)關(guān)鍵任務(wù)會執(zhí)行失敗，安全性敏感系統(tǒng)會受到惡意利用，從而導(dǎo)致時間和業(yè)務(wù)收入的雙重損失。
4. Cm (Configuration Management) 配置管理
隨著軟件系統(tǒng)的日益復(fù)雜化和用戶需求、軟件更新的頻繁化，配置管理逐漸成為軟件生命周期中的重要控制過程，在軟件開發(fā)過程中扮演著越來越來重要的角色。一個好的配置管理過程能覆蓋軟件開發(fā)和維護的各個方面，同時對軟件開發(fā)過程的宏觀管理，即項目管理，也有重要的支持作用。良好的配置管理能使軟件開發(fā)過程有更好的可預(yù)測性，使軟件系統(tǒng)具有可重復(fù)性，使用戶和主管部門對軟件質(zhì)量和開發(fā)小組更有信心。
5. Iam (Identity and Access Management) 身份識別與訪問管理
IAM是讓合適的人員在恰當?shù)臅r間通過統(tǒng)一的方式訪問被授權(quán)的信息資產(chǎn)，是提供集中式的數(shù)字身份管理、認證、授權(quán)、審計的模式和平臺。
三、安全項目基礎(chǔ)
1. Ns (Network Security) 網(wǎng)絡(luò)安全
傳統(tǒng)的安全多是在網(wǎng)絡(luò)和流量方面搭建安全防御體系，但是在面對越來越復(fù)雜的網(wǎng)絡(luò)環(huán)境和越來越高級的APT攻擊時，傳統(tǒng)防御明顯已經(jīng)不足應(yīng)付。所以防御縱深化和檢測端上化，即在服務(wù)器端和桌面端上面深耕安全是個必行趨勢。
2. Es (Endpoint Security) 終端安全
端可以說是安全的最后一公里，無論網(wǎng)絡(luò)如何建設(shè)，企業(yè)的數(shù)字資產(chǎn)最終都是存儲在端上。端通常分為桌面端和服務(wù)器端。通常說的Endpoint指的桌面端多一些。Gartner針對云時代的服務(wù)器端安全服務(wù)專門定義了一個命名：CWPP，即Cloud Workload Protection Platform。
3. Vm (Vulnerability Management) 漏洞管理
漏洞管理就是領(lǐng)先漏洞一步，讓修復(fù)動作變得更頻繁更有效的一個過程。待修復(fù)漏洞應(yīng)該按照對網(wǎng)絡(luò)的威脅級別進行優(yōu)先排序。各類安全公司的漏洞管理方法不一而足，從培訓(xùn)和實現(xiàn)最佳實踐，到過濾所有漏洞噪音只關(guān)注最危險的威脅。
網(wǎng)絡(luò)安全領(lǐng)域，漏洞是重點，理論上若是消滅了所有漏洞，企業(yè)也就幾乎沒有數(shù)據(jù)泄露的顧慮了。但是，漏洞本身并非活躍的威脅，但是企業(yè)難以分辨哪些是急需填補的漏洞，而這些漏洞又該以何種順序處理。然而當漏洞數(shù)量攀升至驚人水平時，該問題就更加突出了?，F(xiàn)實環(huán)境中，大型網(wǎng)絡(luò)中的服務(wù)器集群甚至會被掃描出百萬個漏洞的極端情況。
4. Em(Email Security) 郵件安全
郵件作為企業(yè)(特別是傳統(tǒng)和大型企業(yè))的主要溝通工具關(guān)鍵程度日益提升，同時安全問題也日益突出。郵件協(xié)議缺乏認證和安全鑒別機制，天然具備防追蹤和高性價比的特性，因此郵件已經(jīng)成為電信詐騙、勒索軟件攻擊的主要途徑。目前大眾普遍認為郵件安全就是釣魚攻擊(phishing)，其實郵件安全的領(lǐng)域很廣。
5. Ws (Web Security) Web安全
隨著Web2.0、社交網(wǎng)絡(luò)、微博等一系列新型的互聯(lián)網(wǎng)產(chǎn)品的誕生，基于Web環(huán)境的互聯(lián)網(wǎng)應(yīng)用越來越廣泛，企業(yè)信息化的過程中各種應(yīng)用都架設(shè)在Web平臺上，Web業(yè)務(wù)的迅速發(fā)展也引起黑客們的強烈關(guān)注，接踵而至的就是Web安全威脅的凸顯，黑客利用網(wǎng)站操作系統(tǒng)的漏洞和Web服務(wù)程序的SQL注入漏洞等得到Web服務(wù)器的控制權(quán)限，輕則篡改網(wǎng)頁內(nèi)容，重則竊取重要內(nèi)部數(shù)據(jù)，更為嚴重的則是在網(wǎng)頁中植入惡意代碼，使得網(wǎng)站訪問者受到侵害。
6. AS (Application Security) 應(yīng)用安全
應(yīng)用安全，顧名思義就是保障應(yīng)用程序使用過程和結(jié)果的安全。簡言之，就是針對應(yīng)用程序或工具在使用過程中可能出現(xiàn)的計算、傳輸數(shù)據(jù)的泄露和失竊，通過其他安全工具或策略來消除隱患。
7. DP(Data Protection) 數(shù)據(jù)保護
數(shù)據(jù)保護/數(shù)據(jù)安全是今年RSA會議上第一位的熱點。近期關(guān)注數(shù)據(jù)安全的事件很多，GDPR也與數(shù)據(jù)保護頗有關(guān)系。
8. SOC (Security Operation Center) 安全運營中心
安全運營中心，或者安全管理平臺，屬于信息安全領(lǐng)域的詞匯。一般指以資產(chǎn)為核心，以安全事件管理為關(guān)鍵流程，采用安全域劃分的思想，建立一套實時的資產(chǎn)風險模型，協(xié)助管理員進行事件分析、風險分析、預(yù)警管理和應(yīng)急響應(yīng)處理的集中安全管理系統(tǒng)。
9. SM (Security Info & Event Management) 安全信息與事件管理
即SIEM。收集、監(jiān)測和分析電腦記錄中與安全有關(guān)的數(shù)據(jù)的方法。安全信息包括由許多源產(chǎn)生的日志數(shù)據(jù)，包括防病毒軟件、入侵檢測系統(tǒng)(IDS)、入侵防御系統(tǒng)(IPS)、文件系統(tǒng)、防火墻、路由器、服務(wù)器和交換機。
安全信息管理系統(tǒng)可以：
- 實時監(jiān)控事件;
- 顯示活動的實時查看;
- 將來自各種源的事件數(shù)據(jù)轉(zhuǎn)成一個共同格式，通常是可擴展標記語言(XML);
- 匯總數(shù)據(jù);
- 使來自多個源的數(shù)據(jù)相關(guān)聯(lián);
- 交叉相關(guān)性，以幫助管理員辨別真正威脅與誤報;
- 提供自動的發(fā)生反應(yīng);
- 發(fā)送警報和生成報告。
10. Ir (Incident Response) 事件響應(yīng)
如果系統(tǒng)安全被攻破了，就有必要進行事件響應(yīng)?？焖儆行У貙栴}采取相應(yīng)的行動是安全組的職責。
事件響應(yīng)是對問題和事件有計劃的反應(yīng)。從信息安全的角度講，它是指安全小組在某個黑客已經(jīng)攻破了防火墻，當前正在嗅探內(nèi)部網(wǎng)絡(luò)時所采取的行動。安全破壞事件是黑客行為對系統(tǒng)安全性的一種破壞。對這類事件的響應(yīng)應(yīng)該包括：
- 安全小組在試圖保證數(shù)據(jù)完好性的同時如何反應(yīng);
- 他們采取哪些行動來減少損失;
- 以及他們何時能夠恢復(fù)資源。
想一想你自己所在的機構(gòu)，想一想它在各方各面上有多大程度要依賴于科技和計算機系統(tǒng)。如果其中出現(xiàn)了漏洞或弱點，想像一下潛在的災(zāi)難性結(jié)果。除了最明顯的系統(tǒng)停用和數(shù)據(jù)失竊以外，還可能會出現(xiàn)數(shù)據(jù)損害、身份失竊(從在線人事記錄中)、消極媒介宣傳、甚至由于顧客和商業(yè)伙伴在獲悉攻擊真相后采取消極態(tài)度所導(dǎo)致的災(zāi)難性財務(wù)后果。
對已往安全破壞事件(內(nèi)部和外部)的研究表明，安全破壞事件會使企業(yè)資源不可用，還會導(dǎo)致數(shù)據(jù)被損或被竊，甚至有時會導(dǎo)致企業(yè)破產(chǎn)。同時，我們也不能忽略那些很難用金錢來衡量的問題，如負面宣傳。要真正了解有效的事件響應(yīng)的重要性，組織機構(gòu)必須要計算安全破壞事件會給它帶來的損失，以及組織會如何短期和長期地受其影響。
四、高級安全項目
1. CTI (Cyber Threat Intelligence) 網(wǎng)絡(luò)威脅情報
威脅情報就是能幫助企業(yè)識別安全威脅并做出明智決定的知識庫。
威脅同時來自內(nèi)部和外部，同時管理威脅的組織都承受著巨大的壓力。盡管信息的原始數(shù)據(jù)是可用的，但獲取有意義的信息是非常困難且費時的，但是可以通過前期工作來做到這一點。這自然地就把越來越多的用戶吸引到威脅情報這一概念，威脅情報有助于他們在海量數(shù)據(jù)、警報和攻擊中對它們進行主次排序，并且為他們在可實施性方面提供建議。
2. Ics (Identity Centric Security) 以身份為中心的安全
身份安全要做的事情是什么?Gartner報告指出，身份安全要確保正確的人在正確的時間，因為正確的原因訪問了正確的資源。身份安全是信息安全的基石，它的重要性愈加突顯。就以谷歌公司為例，其實施的BeyondCorp計劃就打破了內(nèi)外網(wǎng)的區(qū)隔，這時摒棄了防火墻防護的企業(yè)網(wǎng)絡(luò)靠什么保障安全?無疑，身份安全與訪問控制是重中之重。從大的環(huán)境來說，隨著云化、移動化的進程加快，網(wǎng)絡(luò)邊界變得越來越模糊，所以身份安全成為關(guān)鍵。
3. Dso (DevSecOps)
“DevSecOps”，一種全新的安全理念與模式，從DecOps的概念延伸和演變而來，其核心理念為安全是整個IT團隊(包括開發(fā)、運維及安全團隊)每個人的責任，需要貫穿從開發(fā)到運營整個業(yè)務(wù)生命周期的每一個環(huán)節(jié)。過去安全開發(fā)跟安全運營總是割裂開，回顧企業(yè)和組織機構(gòu)以往對應(yīng)用及IT基礎(chǔ)設(shè)施安全管理的態(tài)度和內(nèi)容，我們可以將其簡單地劃分為兩個階段——“安全事故管理階段”和“安全風險與合規(guī)管理階段”。 如今DevSecOps有希望讓二者展開協(xié)作。
4. Trm (3rd Party Risk Management) 第三方風險管理
云的時代，是各種連接和協(xié)作的時代。外包運營、建立新合作伙伴關(guān)系、轉(zhuǎn)移業(yè)務(wù)到海外、實現(xiàn)云計算服務(wù)，都是達成業(yè)務(wù)目標的一部分。與此同時，安全越來越復(fù)雜，網(wǎng)絡(luò)越來越糾纏，第三方風險管理已成為公司戰(zhàn)略的一個重要部分。第三方風險管理包含多種維度，從合同到供應(yīng)鏈到數(shù)據(jù)保護。
5. Ca (Cloud Access Security Broker) 云訪問安全代理
Gartner對CASB定義：作為部署在云服務(wù)使用者和提供商之間的“經(jīng)紀人”， CASB(云安全接入代理，cloud access security broker)能夠嵌入企業(yè)安全策略，通過整合云服務(wù)發(fā)現(xiàn)&評級，單點登錄，設(shè)備&行為識別，加密，憑證化等多種安全技術(shù)，在云上資源被連接訪問的過程中并加以監(jiān)控和防護。
6. Cs (Cloud Security) 云安全
云安全是個大課題。這里暫時不展開討論。
7. Dr (Detection and Response) 檢測與響應(yīng)
Gartner的自適應(yīng)安全理論指出，安全方案應(yīng)該從防御轉(zhuǎn)向更為有效的檢測與響應(yīng)，以及相關(guān)的聯(lián)動機制。到2020年，用于增強檢測和響應(yīng)能力的支出預(yù)計將成為安全采購者的關(guān)鍵優(yōu)先事項。對于更好的檢測和對安全事件響應(yīng)的需求，也催生了新的安全產(chǎn)品細分領(lǐng)域，例如欺騙、端點檢測和響應(yīng)(EDR)、軟件定義細分、云方案安全代理(CASB)、用戶和實體行為分析(UEBA)。這些新的細分領(lǐng)域引來了新的開支，但也在消耗現(xiàn)有的細分領(lǐng)域例如數(shù)據(jù)安全、企業(yè)保護平臺(EPP)網(wǎng)絡(luò)安全、安全信息和事件管理(SIEM)。
8. Sr (Security Orch and Automation) 安全編排與自動化
這個用一個具體事件舉例。2018年2月28日——機器數(shù)據(jù)引擎Splunk公司(NASDAQ: SPLK)宣布收購 Phantom Cyber 公司。Phantom Cyber 是安全編排、自動化和響應(yīng)(Security Orchestration, Automation and Response, SOAR)領(lǐng)域的領(lǐng)導(dǎo)者。
SOAR平臺通過自動執(zhí)行任務(wù)、編排工作流程、改進協(xié)作以及使機構(gòu)以機器速度響應(yīng)事件來提高安全操作的效率。 根據(jù)Gartner的數(shù)據(jù)，“到2020年年底，擁有5人以上安全團隊的機構(gòu)中將有15%利用SOAR工具進行編排和自動化操作，今天這一比例不到1%?！笨蛻魧⒛軌蚴褂肧plunk技術(shù)進行編排和自動化，作為其安全運營中心(SOC)平臺的組成部分，以加速事件響應(yīng)，同時解決技能短缺問題。
這樣的組合將幫助SecOps團隊：
- 利用分析驅(qū)動的安全性提高網(wǎng)絡(luò)防御能力并降低機構(gòu)面臨的風險;
- 加速事件響應(yīng)，加快響應(yīng)速度;
- 更聰明地工作，緩解人員配備和技能短缺壓力。
以下概念相對來說，理解起來比較容易，這里就簡單列舉一下，以供閱讀。
9. Th (Threat Hunting) 威脅追蹤
對于威脅，要積極主動，要主動出擊，主動查詢和追蹤威脅，而不是被動等待和響應(yīng)。
10. Ng (Next Gen SOC) 下一代安全運營中心
個人認為核心是數(shù)據(jù)、聯(lián)動和可視化。
五、前瞻技術(shù)
- Bd (Big Data) 大數(shù)據(jù)
- MI (Machine Learning) 機器學(xué)習
- IoT (Internet of Things) 物聯(lián)網(wǎng)
- Bc (Blockchain) 區(qū)塊鏈
- Ai (Artificial Intelligence) 人工智能
六、威脅因素
- Mi (Malicious Insiders) 惡意的內(nèi)部人員威脅
- Ni (Negligent Insiders) 玩忽職守的內(nèi)部人員威脅
- Ha (Hacktivist) 黑客行動
- Nt (Nation State) 國家之間
- Oc (Organized Crime) 有組織的犯罪
七、CISO約束
- Ra (Role and Accountability) 角色和責任：CISO的角色和責任
- Bu (Budget) 預(yù)算：沒錢啥事都干不了
- St (Stuffing) 員工：沒人啥事都落不了地
- Te (Technology) 技術(shù)：技術(shù)是工具
- Oz (Optimization) 優(yōu)化：好好優(yōu)化，天天向上
網(wǎng)站標題：CISO元素周期表的關(guān)注重點
本文鏈接：http://www.dlmjj.cn/article/dpecegd.html
