盡管大多數企業已經接受了這樣的事實，即安全事件不是“如果”的因素，而是“何時”的因素，但許多企業仍在努力將其轉變為正確的安全體系結構和思維方式。FireEye的《 Cyber​​ Trendscape 2020》報告發現，大多數組織(51%)不認為自己準備好了，也不會對網絡攻擊或數據泄露做出良好反應。 

[[311784]] 

在日益發展的威脅形勢下，預計舊的安全范例將迫使許多受害公司破產。如果您犯了常見錯誤，那么企業網絡安全可能注定會在來年失敗：

1.您認為企業業務規模太小，無法成為目標

Verizon的《 2019年數據泄露調查報告》顯示，所有網絡攻擊中有43%針對小型企業。根據保險公司Hiscox的數據，在過去一年中，超過一半的小企業遭受了違規，十分之四的企業經歷了多次事件。此外，美國國家網絡安全聯盟報告稱，估計有60%的小公司在網絡攻擊后僅六個月內就倒閉了，這說明了網絡安全措施不足的現實后果。

各種規模的企業都需要將高科技安全作為2020年的重中之重。盡管許多小企業主認為他們負擔不起保持公司安全的風險，但違規行為的代價卻是巨大的。IBM 報告稱，員工人數少于500人的公司平均遭受的損失超過250萬美元。

最好開始將部分資金用于主動安全措施。請記住，將安全預算增加一倍并不能使安全性增加一倍。在網絡安全投資方面，這不是一對一的權衡。

必須為企業部署SSL證書作為最基礎的安全防護，部署SSL證書后，可以通過驗證HTTPS中的SSL證書信息，確認網站的真實身份，通過SSL加密層，也可以對傳輸的數據進行加密和解密，確保數據在傳輸過程中的安全，保障數據的機密性和完整性。 

通過專注于最終目標(無論是保護客戶端數據，保護知識產權還是避免網絡中斷)來明智地分配安全預算。這將幫助您確定投資的優先順序，并在安全性，可用性和成本之間做出適當的業務折衷。

2.企業無法防御零日攻擊，多向量攻擊或多態攻擊

自1980年代以來，我們看到了網絡攻擊的演變，這不斷迫使我們更新保護數字資產的方式。第一代攻擊包括病毒，并且主要使用防病毒軟件進行控制。

在90年代，隨著黑客將網絡作為攻擊目標，威脅變得更加復雜，從而使防火墻成為必不可少的安全防御措施。2000年代，隨著應用程序的廣泛利用以及其漏洞的利用，入侵防御系統(IPS)廣受歡迎。從2010年開始，我們開始看到零日威脅，該威脅使用高度逃避的多態內容繞過傳統防御。行為分析工具幫助我們應對了這些威脅。

當前，我們正在目睹WannaCry和NotPetya等大規模和多媒介攻擊的泛濫。在這些攻擊中，黑客試圖同時利用多個領域，包括網絡，云和移動設備。這使網絡安全變得更加復雜。如今，全世界只有3%的人準備為自己抵御零日攻擊，多媒介攻擊或多態攻擊。

但是，網絡安全不是可以一次忘記的事情。網絡犯罪分子不斷壯大，因為他們在經濟上受到激勵并樂于創新。隨著我們進入2020年，人們期望看到更加復雜的攻擊，能夠造成更多的破壞，同時更加難以防御。

作為響應，企業需要通過多層現代網絡安全來增強防御能力。隨著攻擊媒介的發展以及這些新技術證明它們已經為企業做好了準備，正在開發中的潛在改變游戲規則的產品，例如自主安全服務和基于區塊鏈的數據泄露保護，都值得考慮。 

3.企業淹沒在數據中

在網絡上尋找攻擊者的跡象就像在大海撈針一樣。在許多情況下，公司平均需要6個月才能檢測到數據泄露。顯然，企業需要數據才能找到攻擊者。但是，許多公司付出了巨大的努力，試圖以巨大的基礎架構和勞動力成本來捕獲所有內容。然后發現他們不能在緊要關頭有效地分析或操作該數據。

企業的安全團隊比以往任何時候都需要正確的工具來檢測和調查關鍵的安全威脅。這包括安全軟件，該軟件提供了用于尋找和執行診斷的工具以及研究模式的啟發式方法。使用機器學習和AI的新型自適應安全工具可以幫助企業更有效地找到攻擊者，在幾毫秒內阻止攻擊者入侵或泄露數據，并防止下次攻擊。

4.企業沒有事件響應計劃

事件響應計劃提供了一組說明，可幫助IT人員檢測，響應網絡安全事件并從中恢復。IBM發現，擁有事件響應團隊并且還對其事件響應計劃進行了廣泛測試的公司，與未采取措施的公司相比，平均而言，其數據泄露成本減少了123萬美元。

企業的事件響應計劃應解決網絡犯罪，數據丟失和服務中斷之類的問題，這些問題可能會破壞日常業務運營，給企業帶來高昂的成本。如果企業沒有事件響應計劃，那么該是制定計劃的時候了。

5.企業沒有認真對待第三方風險

企業安全中的薄弱環節實際上可能是企業的合作伙伴和供應商。當某人通過有權訪問企業的系統和數據的外部實體滲透到企業的系統時，就會發生供應鏈攻擊，也稱為價值鏈或第三方攻擊。

來自第三方的違規行為使公司損失了平均37萬美元。根據Ponemon的說法，有56%的組織因其供應商之一造成的違規行為。同時，能夠訪問敏感信息的第三方的平均數量正在增加。

作為回應，監管機構越來越多地關注第三方風險。去年，紐約州金融監管機構開始要求在紐約設有辦事處的金融公司確保其供應商的網絡安全保護達到標準。明年，歐洲將采用GDPR進行同樣的處理，該法律適用于從歐洲人那里收集個人信息并因違規而處以高額罰款的任何公司-占全球總收入的4%。

為了保護企業并避免受到任何處罰，將需要仔細審查與企業有業務往來的公司在2020年的安全性，調整安全標準并積極監控第三方訪問。

6.安全不是企業的當務之急

2019年因數據泄露而進行的罰款金額表明，監管機構正在更加嚴厲地懲罰那些未能適當保護消費者數據的組織。在英國，英國航空公司(British Airways)受到創紀錄的2.3億美元罰款，而Equifax同意為其2017年在美國的違約行為支付至少5.75億美元。

隨著該行業呼吁采用歐洲化GDPR的美國化版本，企業應為在2020年增加罰款的步伐和數額做好準備。隨著罰款成本的上升，安全性將被從事后考慮的事務中逼到主流。

如果企業尚未注意到不斷發展的網絡安全和法規環境，則應注意。根據Infosys知識研究院(IKI)的研究，將近一半(48%)的公司董事會和63%的商業領袖正在積極參與網絡安全策略的討論。 

安全領導者必須準備好，愿意并且能夠組建并執行合理的安全策略，其中包括合適的人才，服務和技術，以抵御當今復雜的威脅環境。

7.企業的員工無需承擔網絡安全責任

人為錯誤仍然是企業的最大威脅之一。目前，只有十分之三的員工正在接受年度網絡安全培訓，對于有進取心的騙子或電子郵件騙子來說，即使是最前沿的數字安全防護措施也是如此。

企業所有違規行為中有91%來自網絡釣魚。雖然電子郵件安全工具可以提供針對網絡釣魚的第一道防線，但防止網絡釣魚破壞的最佳方法是將網絡安全視為工作場所文化問題，而不是IT問題。

為了使這種類型的網絡安全計劃取得成功，不僅必須在組織結構中編織良好的安全習慣，而且還必須讓員工對企業的安全性負責并承擔責任。正式的安全培訓計劃可以幫助教會員工如何保護自己和公司免受網絡攻擊，但是改變員工的態度和習慣可能更具挑戰性。為此，將需要適當地利用變更管理模型來成功構建全面的安全文化。

結論

攻擊者變得越來越聰明，攻擊發生得越來越快，事件變得越來越復雜。現在可以保證，幾乎每個現代組織的高科技領域都將最終遭到破壞。如果仍然使用斷開連接的點工具，手動流程和人員不足而隨意地或被動地尋求安全保護，請準備在2020年的大部分時間里應對網絡安全威脅。

隨著我們進入連通性不斷提高的時代，網絡安全已成為一項業務關鍵，極其動態，可大規模擴展和高度專業化的學科。在2020年，企業必須準備好接受AI和自治服務，實施實時網絡安全工具，并鼓勵每個員工在打擊在線威脅中發揮作用。 

隨著網絡犯罪分子的創新能力不斷增強，請確保企業的執行團隊了解數據泄露可能造成的全部財務和運營影響，并準備就如何使用多方面的網絡安全管理方法提出明確的戰略利用了一組強大的自適應安全措施。

企業的策略應包括一系列措施，其中安全軟件，漏洞管理和員工培訓是企業在未來一年和幾年中提高抵御網絡攻擊能力的方法之首。