IT 領導者們都關心資安，何不與能夠分享有用、具可行性見解的同事與商業夥伴們，討論最新威脅與應對戰術呢？
文／John Edwards‧譯／Nica
談話或許廉價，但涉及 IT 資安，與同事、商業夥伴及其他相關單位的策略性談話無價。
技術研究諮詢顧問公司 ISG 的資安單位共同領導者 Roger Albrecht 表示，持續討論處理資安問題的價值，在於讓企業依循有效率且穩健的策略。
「這類討論，可確保整合企業營運目標資安舉措及資源需求」他補充道。「討論處理不斷變遷的法規與合規性需求，並揭露風險緩解的弱點與威脅。」
持續進行 IT 資安策略的對話，應該要能解決企業網路風險並達成策略性目標，Albrecht 說道。「這類對話…應以縮小差距所需要的確切行動、利益、時間線與預算及資源總結。」
以下七項提問，是想建立更穩健資安策略的 IT 領導者，應該與高層同事、商業夥伴與 IT 員工對資安策略深度討論的關鍵提示。
一、系統資安方面是否夠現代化？
企業組織應討論現代化技術基礎架構，能夠支援在其中建構資安，而不是簡單附加上去，Google Cloud 的資安長 Phil Venables 表示。
舊式系統常具有內在缺陷，因為不是以現代化結構（通常是公有雲或私有雲）方式設計防禦力。Venables 觀察過去十年有許多案例是企業大量投資資安產品，卻未升級整體 IT 架構或現代化處理軟體開發。
「這就像在沙上建造。」他陳述道。「未持續關注與投資 IT 現代化，企業組織無法體認到資安進步帶來的完整好處，企業也就容易受惡意活動的傷害。」
Venables 建議，現代化議題的對話，應該在董事會、高層領導會議與營運單位（尤其是策略性會議上）進行。
「最終，只要正確利益相關人參與討論，啟動藍圖，企業組織就可以準備實現目標了。」他說道。
二、解決網路場景，我們是否達到應有程度？
管理諮詢公司 Eisner Advisory Group 夥伴暨外包 IT 服務領導者 Rahul Mahna 認為，讓團隊及管理同仁參與場景演練，可刺激有用的資安見解。
例如，當重要客戶營運因網路攻擊而停擺，會發生什麼事？ 接下來要採取哪些步驟？ 「這類事件-應變規劃，在客戶對談中相當有用。」Mahna 解釋，並建議這類資安策略對話，不應該是偶發性、一次性討論，而是持續、周期性的對話。
除了定期對話，Mahna 還建議舉辦年度資安定向會議，結合事件-應變規劃測試，使重要高層與管理者即時瞭解持續進化的政策、實作與角色。
規劃網路攻擊發生時該做什麼，是相當寶貴的資產，應在執行腳本裡實質限制並量化，Mahna 如此建議。「這個腳本應與指定資安團隊共享並供其使用，提供資安外洩發生時，通盤考量過應變規劃能成功執行的路徑。」
三、我們是否養成資安文化？
領導者營造企業 IT 資安策略氛圍，AWS 資安全球夥伴主管 Ryan Orsi 表示。「在資安文化裡，員工個人在核可資安護欄內感到被賦與快速移動的能力，可加速改革周期、更快取得營運成果，普遍提升終端消費者滿意度。」
企業組織鼓勵個人改革，在定義完整的安全護欄內快速移動，最有效率，Orsi 表示。 「若覺得你的企業組織在發佈應用更新、網站更新與資料庫變動這類項目前，會開單要求來自資安團隊核可，很可能沒有經營資安文化。」他提出警告。「跨領導階層整合資安文化，會感受到有所不同。」
四、我們真的瞭解新興威脅評估嗎？
網路罪犯從來不睡，他們總是陰險又腐敗。「談到 IT 資安策略，必須針對網路威脅新性質直球對決。」商業管理顧問公司 MorganFranklin Consulting 資深經理人 Griffin Ashkin 如此建議。
最近經驗表明，網路犯罪如今已超越勒索軟體，進入網路勒索，Ashkin 警告。「它們威脅將向外界釋出企業員工個人可識別資訊（PII），置員工於重大身份盜竊風險之中。 」
Ashkin 深信，資安領導者應致力重新佈署盡可能多的本地基礎架構資源，從而將網路保護責任移轉給雲端供應商。此外，定期管理對談應導向重大決策，例如可能投資強化資安的工具、更新資安意識訓練素材、與終端使用者另外溝通提升最新資安威脅意識，以及為處理與緩解員工風險所需其他相關手段。
五、確實有效的意外事件應變計劃已就緒嗎？
所有企業都必須針對事件應變進行對話，網路安全公司 Camelot Secure 解決方案工程主管 Zachary Folk 如此建議。
規劃是關鍵，Folk 說道。討論時應讓企業高層主管，包括 CIO、CISO、CTO、事件應變團隊統籌與所有部門主管加入。會議與對話應導向事件應變計劃的開發或更新，他建議。這場討論，還應該檢視關鍵任務資源與優先權、評估攻擊可能的影響，以及識別最可能的攻擊威脅。
將企業風險管理方式，從矩陣式量測（低/中/高）改成定量風險降低，依需要提供盡可能多的變數，瞭解實際的潛在影響，Folk 表示。「使用簡單蒙特卡羅（Monte Carlo）模擬，並從自身企業收集資料，能為高層主管提供實際損失概率、潛在發生率與影響。」
六、在資安投資上是否達成最大 ROI？
別再逃避資安 ROI 的對話了，IT 資產能見度與網路安全公司 Sevco 的 CSO Brian Contos 特別指出，企業應大量投資 CMDB、SIEM、SOAR、EDR、弱點管理與相關解決方案。
「要實現這些解決方案的價值，企業必須確保匯入資產情報這類解決方案的資訊即時、準確且去重複（deduplicated）。」他說道。企業層面資安解決方案裡強大的資產情報，不僅有助於妥善緩解風險，也能提升這些投資的 ROI。
[ 加入 CIO Taiwan 官方 LINE 與 Facebook ，與全球 CIO 同步獲取精華見解 ]
ROI 對話要能夠讓資安、IT 營運與 GRC（治理、風險與合規性）團隊，更瞭解所處的環境，Contos 說道。當發現需要最快改善的領域，好與壞各方面都是重點。接著，為行動排列優先順序，指派適當團隊處理許可、流程改善、弱點補捉、資安管控能見度與監管機構要求。
「最終，當資產情報用於重點提升資安、IT 營運與 GRC 現有工具的效率時，緩解風險應結合最大化 ROI。」他如此建議。
七、我們財務風險真正程度是？
或許最關鍵的 IT 資安策略對話，其實只是要回答一個問題：「當我們的 IT 系統停擺，客戶面臨的財務損失為何？ 」
這些討論的目標應是建立安全、穩健與可復原的 IT 環境，客戶確認正常運作的環境，能不間斷提供產品與服務，代管服務與 IT 策略公司 Blue Mantis 現場資安長 Rob Fitzgerald 說道。
這種對話至少每年要進行一次，理想上是在預算季前，讓 CIO 與 CISO 能據此計劃，Fitzgerald 建議。若發生任何重大影響營運的事件，這些時機也必須進行此類對話。「例如，當企業組織想賣掉一個部門或收購另一間企業，CIO 與 CFO 就有受託人義務，重新評估企業 IT 系統無法使用時消費者面臨的財務損失。 」
(本文授權非營利轉載，請註明出處：CIO Taiwan)
