網絡攻擊越來越復雜，而且難以察覺。企業是不是就任由攻擊者入侵，束手無策了呢？
互聯網時代，如果企業不能從根本——內部管理上重視信息安全，那么隨互聯網裹挾而來的開放與無邊界將不僅僅是風險，還可能是災難！
即使在保密工作做得相當完備的蘋果公司，也難逃被黑客攻擊的噩運，而且時有發生。
早在此前，經常有黑客或者不明身份的人接近蘋果員工，用高達上萬美元的報酬或者其他引誘方式讓后者提供關于蘋果內部的數據信息，比如在iPhone 6發布之前，就有黑客想竊取到相關產品原型的信息甚至蘋果未來的產品計劃。顯然，如果企業內部網絡遭到攻擊，那么損失的不僅僅是自身的寶貴資源，同時還會讓用戶的隱私處于巨大危險境地。
不只蘋果公司，這已經成為如今數字化的世界中，所有企業都會遇到的信息安全挑戰。然而，這種情形之所以發生頻密，是因為攻擊無處不在，而企業的安全防御能力又極為欠缺或者信息安全意識不足。
安永2016年發布的“締造可信的數字世界——安永第18屆全球信息安全調查報告”顯示：超三成的全球受訪企業依然無法識別出復雜的網絡攻擊，從而導致企業的網絡脆弱性加劇。
該調查報告建議，企業若想建立更加安全和可持續的網絡，就需要戴上網絡風險“透視鏡”，對所做的一切活動進行審視，識別它們的風險和漏洞，設定風險偏好，作好應對各類事件、及時采取果斷行動的準備。
或許10年前，商業行為的信息化、數字化還沒有像今天這樣深入，因而，企業對信息安全更多的措施是“守”，但往往守不住。今天，隨著互聯網和大數據的普及與快速滲透，“防”更應成為企業管理的一道“安全閥門”。
安全，是數字世界的最大挑戰
數字世界充滿了無窮的創新機遇。無論何種行業，企業均可通過開發新市場、新產品，更好地對接用戶的消費需求，找到與他們溝通的便捷方式。
然而這一過程中，許多不易察覺的危險常常被忽視，風險被低估。機遇與風險并存，數字世界為網絡犯罪分子和有意制造麻煩的人提供了巨大的操作空間，但當企業的信息安全遭到威脅，已經為時太晚。
安永大中華區信息安全咨詢服務合伙人阮祺康，對《中外管理》這樣描述：在網絡領域，有一些專業黑客每天盯著漏洞“做文章”，他們找到某家企業的信息漏洞之后，以要挾或者勒索的方式，讓這些漏洞變成交易的籌碼從而獲利。
此外，還有不少黑客或是犯罪集團會運用勒索軟件給企業的文件或者信息加密，影響企業的正常使用，而若要解密，必須向他們支付一筆巨額費用來換取企業的寶貴信息。這些“生意”同幾年前相比越來越多，并且形成了黑色產業鏈，讓很多企業吃到了苦頭，卻又無力屏蔽。
是不是這些企業的信息價值不菲呢？也不一定。正如安永華北區信息安全服務合伙人李睿對《中外管理》所說：“這些黑色產業鏈往往以經濟價值為導向，攻破之后可以更快地拿到黑市上變現。更有甚者，一些更大的威脅也可能是來自于競爭對手所雇傭的黑客，針對同行企業的薄弱環節開展針對性的惡意攻擊，以打擊對手。”比如手機芯片，半年或者三個月就需迭代一次，假如企業正在研發高價值的芯片產品，那么一旦被攻破，手機上市之前就已經泄露了。
我們能夠想象，智能設備與服務給商業世界帶來層出不窮的功能與體驗，同時生成大量的數據，而隨著互聯網的開放與協同，企業需要利用互聯網將自己的技術接入到各個層面，甚至是客戶、供應鏈體系當中，一旦企業高度依賴互聯網的時候，網絡攻擊的脆弱性加劇，安全堡壘被無聲無息地攻破。
安永對千余家企業調研的結果顯示，88%的認為企業內部的安全工作不能滿足企業的需求。這意味著什么呢？企業的信息安全能力跟不上互聯網的快速發展。
如何識別不易察覺的攻擊跡象？
較之幾年前，網絡攻擊越來越復雜，而且難以察覺。企業是不是就任由攻擊者入侵，束手無策了呢？
“由于網絡攻擊者技術不停改變、持續性加劇、能力增強，網絡威脅性質也發生了變化。”阮祺康說，隨著數字化的快速發展，企業之間的互聯互通日益加強，我們個人的生活也和移動技術、互聯網越來越多地交織在一起。網絡攻擊者在不斷尋找更新更好的攻擊方式，如果企業也在尋找解決辦法應對目前這個形勢的話，并非不可以保衛自己的安全。
盡管一家企業很難去識別一些復雜的網絡攻擊，但安永方面認為，其實99%的攻擊行為是有方法避免的，或者將這個風險降低至最小化。
針對這一點，李睿的觀點是：“企業有意識地建立端到端的安全體系和管理機制，加強安全能力和流程建設，并結合信息安全平臺和工具，多數的安全風險是可以防御的。”而對于難以預見的風險，最好的解決辦法是建立有效的應急機制和應急預案，當發生事件時能夠及時有效地處理和解決。
要將被攻擊的危害降至最低，關鍵在于企業對最有價值且風險最高的領域給予高度重視，并采取最強的防范和應對措施。同時建立全方位的“雷達圖”——超過臨界值時會發出警報，確定臨界值要考慮風險偏好以及可能給企業造成最大危害的事件類型。
安永的調研還表明，一些攻擊行為是突發且顯而易見的，這種情況下，所有的注意力都會集中于采取有效的應對措施。但是，請注意：這些明顯的攻擊很有可能是“調虎離山計”。此時，具備分析事件的能力，獲取充足的數據，進而判定攻擊的模式，才是企業真正需要攻克的難題。
值得關注的是，攻擊者往往會從企業內部的薄弱點入手。蘋果公司在這方面就曾吃過虧。據了解，黑客會聰明地挑選那些在蘋果內部發展不得志或者不能長期做事的人，作為切入蘋果內部系統的橋梁，“獲得密碼即登入”后，來套取重要信息與數據。
所以，對“薄弱點”進行監測及保護，并就攻擊者如何操作的情境展開創新性思考，在相對隱秘處添加額外的防范和監測工具成為一個重要防線。
像“全民防恐”一樣主動防御
但有時候，攻擊者會想方設法入侵企業內部最有價值的領域。
再以推出新產品為例。若競爭對手與你司研發的、擁有知識產權的產品極其相似，又恰巧在你的產品推出前上市，“這意味著你的知識產權
正因為此，企業需要了解自身重點領域，哪些會對企業造成最大危害，哪些對競爭對手具有重要價值，乃是企業至關重要的“價值點”。事實上，往往在這些“價值領域”的交叉點，就有可能發現細微指標變化或者異常跡象的地方。
拿極其重要的數據來說，其價值是不可估量的。企業在信息安全方面，應該做哪些商業化的投入？從哪些環節來保證數據的安全性？
對安全極為重視的人士甚至認為，如果企業沉淀在數據上的“核心機密”價值為1億元，那么就有必要花100萬元來保護它。但在現實中，除了高度依賴互聯網的企業和金融企業以外，很多人尚未認識到這一問題的致命性——為了信息安全，非常有必要對自身的核心數據進行保護。
安永給企業的建議是，信息安全防御要像“全民反恐”一樣。包括財務、市場、營運、研發、人力資源在內的重要部門，都必須高度警惕異?，F象，意識到每個職責領域中包含的網絡業務風險，重要的是將信息報告到有關部門，他們能夠將信息拼在一起發現線索。
于是，建立主動防御機制成為必須。“企業應當建立更為先進的安全管理平臺，并使用網絡威脅智能感知系統尋找潛在攻擊者、分析和評估威脅，以便在威脅破壞企業的關鍵資產之前，迅速將其解除。”李睿進一步說，“主動防御不是替代傳統安全運營，而是對其加以組織和鞏固，使企業能夠主動管理威脅并采取反制措施。”
如何進行主動防御？根據安永的調研報告，需要整合和提高企業現有的安全能力，以更有效應對攻擊。
第一是智能感知。通過技術手段，由網絡威脅智能感知系統實時分析潛在的攻擊者，并且推測到可能會被攻擊企業內部的對象，然后制定一些有預見性的措施。
第二是動態運營。因為外部的整個環境生態安全或者說整個商業系統是動態的，企業本身運營也處于動態的環境中，如何以迭代的周期進行持續的企業安全能力建設是企業必須去做的。
第三是集中響應。對于重大的安全漏洞或者事件進行分析，并且能夠進行響應和建立一個集中化的響應機制，從而進行很多的證據收集和處理。
毫不夸張地講，信息安全已經被列為數字世界常態化的戰略管理。互聯網越來越開放、虛擬、交互，也使信息安全的邊界日漸模糊，任何企業都無法高枕無憂。“所以必須主動建立一套安全防御機制，識別企業本身的風險偏好是什么，清楚自己的安全防線在哪里，需要保護的對象是什么。”李睿說道。
京公網安備 11010502049343號