亚洲第一色欲AV|丰满无码人妻热妇无码喷水区|日韩成人一区二区|情五月亚洲天堂网

安全資訊

內(nèi)部威脅風(fēng)險(xiǎn)評估的5個(gè)關(guān)鍵步驟

內(nèi)部威脅指的是來自組織內(nèi)部的潛在安全風(fēng)險(xiǎn)和威脅。內(nèi)部威脅對組織構(gòu)成了重大風(fēng)險(xiǎn),因?yàn)閾碛泻戏ㄔL問權(quán)限的個(gè)人可能有意或無意中損害系統(tǒng)、竊取數(shù)據(jù)或從事間諜活動(dòng)。在2023年,內(nèi)部威脅已經(jīng)成為現(xiàn)代企業(yè)中普遍存在的安全風(fēng)險(xiǎn)。為了盡量減少內(nèi)部威脅,組織應(yīng)實(shí)施從內(nèi)部威脅評估入手的內(nèi)部風(fēng)險(xiǎn)管理(IRM)策略。

內(nèi)部威脅風(fēng)險(xiǎn)評估的必要性

為什么內(nèi)部威脅和風(fēng)險(xiǎn)評估應(yīng)該成為組織網(wǎng)絡(luò)安全態(tài)勢的核心呢?研究人員認(rèn)為,內(nèi)部威脅風(fēng)險(xiǎn)評估是一種應(yīng)對內(nèi)部威脅挑戰(zhàn)的最佳實(shí)踐方法,通過評估企業(yè)組織數(shù)據(jù)當(dāng)前防范內(nèi)部人員的程度,能夠提前發(fā)現(xiàn)組織可能存在的潛在風(fēng)險(xiǎn),并評估這些風(fēng)險(xiǎn)的潛在危害性。NIST報(bào)告也指出,執(zhí)行內(nèi)部威脅分析和風(fēng)險(xiǎn)評估是制定一項(xiàng)有效的內(nèi)部威脅計(jì)劃的必要步驟,內(nèi)部威脅風(fēng)險(xiǎn)評估應(yīng)該作為企業(yè)總體網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估的一部分來嚴(yán)格執(zhí)行。

 

特別是對于那些需要處理敏感數(shù)據(jù)的組織,更應(yīng)該定期評估并持續(xù)檢測內(nèi)部威脅風(fēng)險(xiǎn),主要原因有利于了解組織的整體網(wǎng)絡(luò)安全態(tài)勢。當(dāng)組織需要評估網(wǎng)絡(luò)安全現(xiàn)狀時(shí),應(yīng)該將風(fēng)險(xiǎn)評估作為風(fēng)險(xiǎn)管理策略的必要組成部分。徹底的內(nèi)部風(fēng)險(xiǎn)評估可以暴露現(xiàn)有工作流程的漏洞和網(wǎng)絡(luò)安全缺口,避免讓惡意的內(nèi)部人員破壞企業(yè)數(shù)字化系統(tǒng)及應(yīng)用。

 

更快檢測出潛在的內(nèi)部威脅。基于內(nèi)部威脅的風(fēng)險(xiǎn)評估有助于更快檢測出由內(nèi)部用戶引發(fā)的不安全、高風(fēng)險(xiǎn)事件,包括檢測出可疑和惡意的內(nèi)部網(wǎng)絡(luò)活動(dòng)。

 

加強(qiáng)組織的數(shù)據(jù)和資產(chǎn)安全。只有知道哪些威脅對組織最危險(xiǎn),才能夠確定采用最合適的措施和工具來進(jìn)行保護(hù),并制定相應(yīng)的風(fēng)險(xiǎn)緩解計(jì)劃。

 

更好滿足合規(guī)要求。開展統(tǒng)一的安全性和內(nèi)部風(fēng)險(xiǎn)評估是確保組織內(nèi)部信息資產(chǎn)安全的最佳實(shí)踐之一。這種做法一直被NISTISO等權(quán)威組織強(qiáng)制要求并推薦,有利于更好地遵守HIPAAPCI DSS等法律和標(biāo)準(zhǔn)。

 

內(nèi)部威脅風(fēng)險(xiǎn)評估的關(guān)鍵步驟

對于現(xiàn)代企業(yè)組織而言,開展并應(yīng)用一個(gè)高效的內(nèi)部威脅風(fēng)險(xiǎn)評估能夠提前發(fā)現(xiàn)內(nèi)部威脅,從而快速有效地應(yīng)對內(nèi)部攻擊。在實(shí)際應(yīng)用中,有多種不同的方法來評估企業(yè)內(nèi)部安全風(fēng)險(xiǎn),這會(huì)因組織類型、規(guī)模、業(yè)務(wù)范圍和相關(guān)的網(wǎng)絡(luò)安全要求而異。企業(yè)在深入地執(zhí)行內(nèi)部威脅風(fēng)險(xiǎn)評估時(shí),可以參考以下的關(guān)鍵步驟建議:

1. 識別并確定組織的關(guān)鍵IT資產(chǎn)

內(nèi)部威脅風(fēng)險(xiǎn)評估工作取得成功的關(guān)鍵,就是要首先確定企業(yè)組織中最可能被內(nèi)部人員破壞的所有寶貴資產(chǎn),并針對這些資產(chǎn)重點(diǎn)進(jìn)行風(fēng)險(xiǎn)評估。一旦組織確定了關(guān)鍵性資產(chǎn),就應(yīng)該根據(jù)它們的重要程度進(jìn)行分類分級。在這個(gè)環(huán)節(jié),企業(yè)可以把注意力集中在以下方面:

 

對服務(wù)器和云服務(wù)管理面板的訪問;

 

 

客戶的敏感信息(信用卡數(shù)據(jù)、地址、電話號碼和健康記錄等);

 

 

員工的個(gè)人身份信息;

 

 

關(guān)鍵數(shù)字化業(yè)務(wù)系統(tǒng)和服務(wù)(組織網(wǎng)絡(luò)、管理面板和組織內(nèi)使用的關(guān)鍵應(yīng)用程序);

 

 

有關(guān)合作伙伴和經(jīng)銷商的上年數(shù)據(jù)(文件、協(xié)議和聯(lián)系信息);

 

 

商業(yè)秘密及其他機(jī)密信息。

 

2. 界定可能存在的內(nèi)部威脅

并非所有內(nèi)部威脅都來自惡意活動(dòng)或受攻擊賬戶,大多數(shù)的內(nèi)部威脅是由組織中存在以下行為的合法用戶構(gòu)成的,包括:因?yàn)槭韬鲂孤睹舾袛?shù)據(jù);無意中共享對組織系統(tǒng)的訪問權(quán)限,錯(cuò)誤刪除、更改或?yàn)E用數(shù)據(jù),以及將惡意軟件無意中上傳到組織系統(tǒng)。

因此,要識別企業(yè)內(nèi)部潛在的威脅風(fēng)險(xiǎn),可以通過以下問題來思考和發(fā)現(xiàn):

 

哪些員工擁有經(jīng)過提升的訪問權(quán)限?他們使用這些權(quán)限做什么?

 

 

員工訪問組織系統(tǒng)和敏感數(shù)據(jù)的頻次如何?目的是什么?

 

 

員工如何存儲和處理其密碼?

 

 

員工是否了解最新的網(wǎng)絡(luò)安全實(shí)踐?

 

 

員工如何共享其密碼(如果他們使用共享的賬戶)?

 

 

系統(tǒng)是否允許員工從不尋常的位置或設(shè)備登錄?

 

 

員工可以將數(shù)據(jù)復(fù)制到來歷不明的USB設(shè)備嗎?

 

3. 確定內(nèi)部威脅風(fēng)險(xiǎn)的優(yōu)先級

為了確定風(fēng)險(xiǎn)的優(yōu)先級,組織需要評估這些風(fēng)險(xiǎn),并確定哪些風(fēng)險(xiǎn)可能對組織構(gòu)成的威脅最大,并可能造成巨大損失。組織可以使用風(fēng)險(xiǎn)矩陣來定義每個(gè)風(fēng)險(xiǎn)的級別。

企業(yè)在評估內(nèi)部威脅風(fēng)險(xiǎn),應(yīng)該優(yōu)先分析以下四個(gè)因素:

 

面臨風(fēng)險(xiǎn)的資產(chǎn)具有的重要性;

 

 

威脅的嚴(yán)重程度;

 

 

系統(tǒng)受某個(gè)威脅攻擊的脆弱性;

 

 

威脅發(fā)生的可能性。

 

企業(yè)還應(yīng)該考慮當(dāng)前哪些安全措施可以保護(hù)系統(tǒng)遠(yuǎn)離某種場景的影響。如果出現(xiàn)潛在威脅,發(fā)生實(shí)際數(shù)據(jù)泄露或其他事件的可能性又有多大?通過確定最危險(xiǎn)、最可能發(fā)生的威脅,可以確保組織首先遠(yuǎn)離這些高等級的威脅。

4. 創(chuàng)建風(fēng)險(xiǎn)評估報(bào)告

在內(nèi)部威脅風(fēng)險(xiǎn)評估的過程中,需要將發(fā)現(xiàn)的評估結(jié)果匯整成詳細(xì)報(bào)告,才可以在風(fēng)險(xiǎn)管理策略的后續(xù)階段幫助簡化決策。此外,企業(yè)也需要利用風(fēng)險(xiǎn)評估報(bào)告向所有員工分享相關(guān)的內(nèi)部風(fēng)險(xiǎn)信息,提醒員工更加留意與風(fēng)險(xiǎn)相關(guān)的行為。

內(nèi)部威脅風(fēng)險(xiǎn)評估報(bào)告應(yīng)全面概述評估過程、已識別風(fēng)險(xiǎn)、風(fēng)險(xiǎn)優(yōu)先級和可能的后果。同時(shí),企業(yè)可以結(jié)合以下有效的網(wǎng)絡(luò)安全最佳實(shí)踐以降低上述風(fēng)險(xiǎn):

 

增強(qiáng)授權(quán)和身份驗(yàn)證機(jī)制;

 

 

執(zhí)行定期數(shù)據(jù)備份;

 

 

部署數(shù)據(jù)丟失預(yù)防工具;

 

 

實(shí)施威脅監(jiān)測和響應(yīng)機(jī)制;

 

 

更新網(wǎng)絡(luò)安全策略和指導(dǎo)方針;

 

 

采用用戶活動(dòng)監(jiān)控解決方案。

 

5. 要持續(xù)評估內(nèi)部威脅風(fēng)險(xiǎn)

開展內(nèi)部威脅風(fēng)險(xiǎn)評估并不是一勞永逸的活動(dòng)。由于企業(yè)組織的內(nèi)部威脅是在不斷變化,其復(fù)雜性和危害性也會(huì)不斷增加,因此,內(nèi)部威脅風(fēng)險(xiǎn)評估也應(yīng)該不斷優(yōu)化并持續(xù)開展。特別是在以下情況出現(xiàn)時(shí),應(yīng)該進(jìn)行相應(yīng)的風(fēng)險(xiǎn)評估工作:

 

當(dāng)內(nèi)部威脅事件真實(shí)發(fā)生時(shí);

 

 

當(dāng)組織的IT基礎(chǔ)設(shè)施發(fā)生變化,也可能會(huì)出現(xiàn)新的安全缺口;

 

 

出現(xiàn)新的合規(guī)性要求或網(wǎng)絡(luò)安全技術(shù);

 

 

內(nèi)部威脅響應(yīng)團(tuán)隊(duì)發(fā)生變動(dòng);

 

 

評估計(jì)劃中明確要求的時(shí)間點(diǎn)。

 



原文來源:安全牛

服務(wù)熱線

138-6598-3726

產(chǎn)品和特性

價(jià)格和優(yōu)惠

安徽靈狐網(wǎng)絡(luò)公眾號

微信公眾號