您当前的位置:首页 > 电脑百科 > 网络技术 > 网络安全

如何以及为什么衡量网络安全

时间:2023-03-02 14:30:14  来源:企业网D1Net  作者:
在理想的情况下,网络安全人员必须以企业高管能够理解、发现有用、满足好奇心并导致可操作结果的方式衡量和报告网络安全。

 

在理想的情况下,网络安全人员必须以企业高管能够理解、发现有用、满足好奇心并导致可操作结果的方式衡量和报告网络安全。

 在网络安全方面可以衡量什么?

 大多数利益相关者通常对风险、合规性或保证存在疑问。不幸的是,这些问题通常无法使用单一数据点来回答。幸运的是,为了解决利益相关者的问题和担忧,网络安全人员可以衡量各种各样的事情,这些可大致分类为:

 •控制:为应对威胁和降低信息风险而采取的措施。

 •资产:企业拥有的任何有价值的物品。

 •漏洞:系统中可能被威胁利用的弱点。

 •威胁事件:由能够对资产造成损害的威胁发起的行动。

 •安全事件:在中断、停机、系统关闭、数据泄露、网络钓鱼、勒索软件等方面成功影响业务的事件。

 以上类别可以根据数量、时间或成本进一步细分。例如,通过数字可以衡量未打补丁的服务器的总数和百分比,未打补丁的服务器与所需基线和容量的比率,或者可能修补的服务器数量。通过时间可以衡量识别事件所花费的时间,或者特定网络威胁在一段时间内发生的频率。通过成本可以帮助企业从财务方面衡量事件的影响、恢复成本以及由于停机造成的业务损失。

 为什么要关注KPI?

 网络安全人员在向业务团队报告时必须选择最相关的指标。大多数网络安全团队专注于指标,这些是与资产、漏洞和威胁事件相关的基本指标。另一方面,执行团队关心关键绩效指标(KPI)和关键风险指标(KRI),因为这些指标可以帮助回答与信息安全风险、运行状况、准备工作和业务优先级相关的具体问题:

 •企业的系统安全吗?

 •安全投资是否为企业带来价值?

 •从安全角度来看,是否符合监管义务?

 •企业如何应对勒索软件攻击或供应链攻击?

 这些都是KPI和KRI帮助回答的问题类型,这就是为什么网络安全人员必须专注于KPI和KRI的原因,衡量他们的安全性能、准备和有效性。

 安全团队如何衡量网络安全?

 构建正确的衡量框架是一个渐进的迭代过程,以下探索构建安全衡量周期所涉及的五个主要步骤:

 (1)定义需求

 与利益相关者进行双向对话,以定义和理解他们的需求。在开始时,利益相关者并不总是对信息风险和他们自己的需求有很好的理解,因此需要一种更加自下而上的方法,即安全人员衡量他们认为重要的内容并向上报告。安全从业人员可以利用这些对话自己提出探究性问题,制定必要的议程。

 (2)选择关键指标

 一旦定义了利益相关者的需求,网络安全人员应该确定并选择有助于支持这些需求的关键指标,必须咨询所有利益相关者,并告知将在稍后阶段提出的衡量标准。

 关键指标应使利益相关者能够采取行动或做出决定。这些关键指标应处于较高水平,且数量较少。其目标是帮助决策,而不是用数据来压倒或混淆人们。

 (3)确定指标

 在确定了企业的高层目标和指标之后,安全团队现在必须专注于确定有助于报告这些指标的基本指标。根据指标的确切性质,这可能涉及所需的几十个指标,涉及上述各种指标类别。

 (4)收集和分析指标,计算关键指标 

既然确定了需求,选择了关键指标并确定了衡量标准,网络安全人员现在可以开始收集和分析基于这些关键指标的数据。衡量标准必须只使用准确、及时、相关和值得信赖的数据。否则,企业高管可能会做出错误的决策,在业务方面造成严重后果。安全团队必须找到在持续的基础上收集这些数据的方法(大多数衡量需要查看随时间变化的趋势视图),并且最好使该过程尽可能自动化(人工过程可能很累且耗时)。 

(5)向利益相关者报告关键指标 

关键指标必须及时向决策者报告,安全人员和利益相关者应该就节奏达成一致:报告需要多长时间提交一次?报告风格也必须达成一致,因为不同的方法适合不同的利益相关者:是需要仪表板,还是幻灯片演示?关键指标应清晰可见,易于理解。最后,报告应该促进决策或行动。 

最后,在每个报告周期之后,重要的是审查关键指标并与利益相关者重新验证它们。安全团队和利益相关者必须问,所报告的指标是否仍然具有价值?是否需要更改某些内容?如果业务需求确实发生了变化,那么必须重新定义需求并分析不同的指标。 

不要忘记,网络威胁环境总是在变化,因此安全也必须同步发展。企业、利益相关者和网络安全人员不应该害怕倒退。快速失败、继续前进、即兴发挥或重新规划的能力是成功衡量网络安全的关键。



Tags:网络安全   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
随着世界继续拥抱自动化,公用事业行业也不甘落后。 自动化工具彻底改变了公用事业设计人员的工作方式,提高了效率和生产力。然而,在公用事业设计中越来越多地使用自动化工具带...【详细内容】
2023-03-31  Tags: 网络安全  点击:(11)  评论:(0)  加入收藏
面对越来越快和越来越多的网络攻击,微软采用OpenAI技术的网络安全AI助手Copilot将大幅提高应对网络攻击的速度,甚至还能帮助用户生成PPT报告,介绍遭遇到的网络攻击情况。这对那...【详细内容】
2023-03-29  Tags: 网络安全  点击:(15)  评论:(0)  加入收藏
新浪科技讯 北京时间3月29日早间消息,据报道,微软(275.23, -1.15, -0.42%)推出一款新的人工智能对话工具Security Copilot(安全副驾),能够帮助网络安全团队防止黑客攻击,并且在遭...【详细内容】
2023-03-29  Tags: 网络安全  点击:(9)  评论:(0)  加入收藏
在大流行后的复苏世界中,互联性和数字化继续以前所未有的速度加速。随着先进技术的渗透和工业设备的互联,组织越来越依赖运营技术(OT)来保持业务运营和竞争力。此外,在许多情况...【详细内容】
2023-03-20  Tags: 网络安全  点击:(26)  评论:(0)  加入收藏
随着信息技术的不断发展,运维和网络安全领域也将迎来更多的机遇和挑战。在2023年,我们可以预见以下几个方面的发展趋势:1. 自动化和智能化的运维管理在未来的几年中,自动化和智...【详细内容】
2023-03-15  Tags: 网络安全  点击:(5)  评论:(0)  加入收藏
ChatGPT火爆全球以来,人们惊讶地发现这个AI聊天机器人不仅能轻松与人类对话,甚至可以编写代码。在论坛上,程序员们贴出了一条条令人瞠目结舌的代码生成示例。从串接云服务到将P...【详细内容】
2023-03-07  Tags: 网络安全  点击:(22)  评论:(0)  加入收藏
在理想的情况下,网络安全人员必须以企业高管能够理解、发现有用、满足好奇心并导致可操作结果的方式衡量和报告网络安全。 在理想的情况下,网络安全人员必须以企业高管能够理...【详细内容】
2023-03-02  Tags: 网络安全  点击:(20)  评论:(0)  加入收藏
网络犯罪分子继续努力窃取用户的凭据,以进入网络。从历史上看,他们更多地是使用电子邮件,但现在他们也越来越多地使用社交工程手段。在2022年上半年,约70%的电子邮件攻击包含凭...【详细内容】
2023-02-28  Tags: 网络安全  点击:(21)  评论:(0)  加入收藏
第一款:CenSys访问地址:https://censys.ioCenSys搜索界面图1.Censys是一款用以搜索联网设备信息的新型搜索引擎,安全专家可以使用它来评估他们实现方案的安全性,而黑客则可以使...【详细内容】
2023-02-28  Tags: 网络安全  点击:(87)  评论:(0)  加入收藏
网络安全保险东风再起。2月27日,北京商报记者获悉,工信部网络安全管理局局长隋静近日指出,要积极把握网络安全保险发展契机,围绕完善顶层设计,强化技术赋能,促进网络安全保险规范...【详细内容】
2023-02-28  Tags: 网络安全  点击:(64)  评论:(0)  加入收藏
▌简易百科推荐
审校 | 重楼 今天我们要讨论的是最狡猾的网络安全威胁之一:逻辑炸弹。这个名字听起来可能没什么害处,但这种网络攻击很难被发现,会造成各种各样的破坏,甚至可以从贵组织内部攻击...【详细内容】
2023-04-07  布加迪  51CTO  Tags:逻辑炸弹   点击:(0)  评论:(0)  加入收藏
随着世界继续拥抱自动化,公用事业行业也不甘落后。 自动化工具彻底改变了公用事业设计人员的工作方式,提高了效率和生产力。然而,在公用事业设计中越来越多地使用自动化工具带...【详细内容】
2023-03-31    千家网  Tags:网络安全   点击:(11)  评论:(0)  加入收藏
在大流行后的复苏世界中,互联性和数字化继续以前所未有的速度加速。随着先进技术的渗透和工业设备的互联,组织越来越依赖运营技术(OT)来保持业务运营和竞争力。此外,在许多情况...【详细内容】
2023-03-20    千家网  Tags:网络安全   点击:(26)  评论:(0)  加入收藏
随着信息技术的不断发展,运维和网络安全领域也将迎来更多的机遇和挑战。在2023年,我们可以预见以下几个方面的发展趋势:1. 自动化和智能化的运维管理在未来的几年中,自动化和智...【详细内容】
2023-03-15  老高说互联网     Tags:网络安全   点击:(5)  评论:(0)  加入收藏
在理想的情况下,网络安全人员必须以企业高管能够理解、发现有用、满足好奇心并导致可操作结果的方式衡量和报告网络安全。 在理想的情况下,网络安全人员必须以企业高管能够理...【详细内容】
2023-03-02    企业网D1Net  Tags:网络安全   点击:(20)  评论:(0)  加入收藏
网络犯罪分子继续努力窃取用户的凭据,以进入网络。从历史上看,他们更多地是使用电子邮件,但现在他们也越来越多地使用社交工程手段。在2022年上半年,约70%的电子邮件攻击包含凭...【详细内容】
2023-02-28  Alex Smith  51CTO  Tags:网络安全   点击:(21)  评论:(0)  加入收藏
网络安全工程师是一个各行各业都需要的职业,工作内容属性决定了它不会只在某一方面专精,需要掌握网络维护、设计、部署、运维、网络安全等技能。目前稍有经验的薪资在10K-30K...【详细内容】
2023-02-25  老高说互联网     Tags:络安全   点击:(6)  评论:(0)  加入收藏
在2023年及以后加强数字防御时,网络安全将继续成为公司领导者的主要关注点。EdenData创始人兼首席执行官Taylor Hersom分享了2023年网络安全的主要趋势。 有几个因素将影响...【详细内容】
2023-02-16  互盟数据中心   网易号  Tags:网络安全   点击:(33)  评论:(0)  加入收藏
企业不想看到他们出现在网络安全漏洞的头条新闻中,也不希望直言不讳的批评者损害他们的声誉,他们希望避免遭遇网络攻击、业务中断和花费大量费用进行恢复。虽然数字化转型增加...【详细内容】
2023-02-15  Yogi Schulz  51CTO  Tags:网络安全   点击:(38)  评论:(0)  加入收藏
您是否正在寻找新工作或尝试改变职业?网络安全就是一个需要考虑的领域。网络安全专家受到高度追捧,并享有丰厚的薪酬和激励措施。但要获得这份工作资格,您还需要具备一些关键技...【详细内容】
2023-02-08    51CTO  Tags:网络安全   点击:(53)  评论:(0)  加入收藏
站内最新
站内热门
站内头条