世界各地的企業都在擔憂網絡安全威脅問題，特別是每天看到大量竊取信息和知識產權的網絡入侵報告，以及新型漏洞利用方法的興起，包括勒索軟件、高級持續性威脅和內部威脅等。

讓問題更嚴重的是當前快速變化的運營環境，包括云計算、物聯網、移動和遠程用戶，以及需要為用戶攜帶的任何網絡設備提供支持，在這種情況下，如何、在哪里部署何種安全措施的問題變得難以回答。

[[203307]]

在2014年的采訪中，前FBI局長James Comey稱，“在美國主要有兩種公司，即那些被中國攻擊的公司，以及不知道他們已經被中國攻擊的公司。”

一年多后，在2015年1月的世界經濟論壇中，思科前首席執行官John Chambers稱：“主要有兩種類型的公司：已經被攻擊的公司以及還不知道已經被攻擊的公司。”

這些言論是表明網絡安全泄露事故不可避免?如果遭遇網絡安全泄露事故不可避免，如果真的不可能阻止泄露事故，那么，試圖保護信息和信息系統是不是浪費時間和金錢?

如果網絡安全泄露事故真的不可避免，企業就不會將重要知識產權和個人及財務信息存儲在聯網系統。但企業沒有那樣做，這說明使用聯網系統肯定具有超越這種風險的優勢。

網絡安全是管理風險的過程

盡管網絡安全泄露事故不可避免，我們仍然可以而且應該保護信息。在任何風險受管理的環境中，如果風險不可阻止或避免，總是有可部署的戰略。事實上，風險管理的前提是，任何風險情況的不確定性都不能完全消除。

如果不確定性可以消除，則風險也可消除。 如果網絡安全泄露事故不可避免，或者網絡安全泄露事故的風險不是零，則可使用兩種基本保護策略。第一個是降低網絡安全泄露事故發生的可能性，第二是當網絡安全泄露事故發生時降低影響或損害。

這些基本保護策略適用于管理任何類型的風險，包括網絡安全風險。管理網絡安全風險的一般方法非常簡單。

首先，確定對業務運營至關重要的資產。在這種情況下，應確定必須受保護的信息資產。除原始數據之外，信息資產可能包括人員、流程和技術。

其次，風險評估過程需確定可能通過不必要披露、未經授權修改或失去信息資產訪問權限而損害信息安全的風險情況。這里的風險組件很少。

網絡安全入侵的一般情況如下所述：攻擊者利用漏洞并破壞信息資產的安全性。在這種情況下，風險的組件是漏洞，而漏洞利用可利用這個漏洞，并且，攻擊者愿意利用這個漏洞利用來破壞資產安全性。

在這種一般網絡安全泄露情況中，網絡安全管理員唯一可控制的是網絡中存在的漏洞。因此，管理網絡安全風險的最后一步是發現和消除或修復漏洞。

理想情況下，在發現漏洞后，應立即消除漏洞。消除漏洞也可消除漏洞被利用的所有威脅情況，從而降低漏洞利用的可能性。

優先排序網絡安全風險

在其核心，風險管理是決策支持工具。當確定所有相關網絡安全風險情景后，這里的決策支持任務是對已確定風險情景進行優先排序。

如果沒有足夠資源來處理所有已確定的漏洞，則對網絡安全風險緩解活動的優先排序很重要;即使有足夠資源來緩解漏洞，優先排序也很有價值，因為了解潛在影響至關重要。

結果與影響

漏洞的優先級排序通常是根據其對企業的潛在影響，如果潛在影響是有限考慮因素，那么了解這種影響非常重要。

當漏洞被利用時，會出現一些不必要的結果，例如不必要的披露、未經授權修改或失去對信息資產的訪問。影響是指這些不想要的結果帶來的后果。

例如，如果HIPAA隱私或安全法規涵蓋的健康記錄被盜，結果是信息泄露，而對企業的影響可能包括強制性違規通知的成本以及潛在罰款和民事處罰--可能高達數百萬美元。

我們可根據多種方式根據潛在影響對漏洞緩解工作進行優先排序。常用優先級排序工具是通用漏洞評估系統(CVSS)，這為理解信息技術漏洞的特征和影響提供了一個標準。美國國家標準與技術研究所維護的National Vulnerability Database為幾乎所有已知漏洞提供CVSS評分。

即使使用CVSS評分作為優先排序網絡安全風險緩解活動的基礎，企業也必須確定這種方法是否對其有效。例如，如果某個特定漏洞的CVSS評級為低或中等，很多企業會選擇不修復該漏洞。

但對于擁有很多系統(包括關鍵任務系統)的企業呢?這些企業需要了解的是，該漏洞對他們的潛在影響并沒有很好地通過CVSS展現，實際影響可能比CVSS評級高得多，而且企業應該修復該漏洞。

結論

即使網絡安全泄露事故確實不可避免，但并非一切都會丟失，事實是，不可能完全消除網絡安全泄露相關的不確定性。

管理不確定性的傳統方法是通過風險管理。在了解管理網絡安全就是管理風險后，那么，網絡安全風險管理為什么不能通過風險管理方法來管理?