前段時間，在整理CISA官網內容時，翻譯整理過一篇過關于揭穿網絡神話的文章，今天我們根據一個安全網站，再討論一下安全神話。當然，這里討論的“神話”一般是一種“誤區”。盡管人們對網絡安全的認識不斷提高，但關于它的許多神話仍然普遍存在。這些誤解可能是阻礙有效提升網絡安全的障礙。因為它似是而非，卻極易誘惑誤導人。所以，確保業務安全的第一步是將虛假信息、神話和謠言與真相區分開來。

CISA給出的如下神話：

有哪些常見的神話，背后的真相是什么?

(1) 誤解：防病毒軟件和防火墻是 100% 有效的。

真相：防病毒軟件和防火墻是保護信息的重要元素。但是，這些元素都不能保證保護免受攻擊。將這些技術與良好的安全習慣相結合是降低風險的最佳方式之一。

(2) 誤解：一旦計算機上安裝了軟件，就不必再擔心了。

真相：供應商可能會發布更新版本的軟件以解決問題或修復漏洞。應該盡快安裝更新;有些軟件甚至提供了自動獲取更新的選項。確保防病毒軟件具有最新的病毒定義尤為重要。

(3) 誤解：機器上沒有任何重要的東西，所以您不需要保護它。

真相：對重要事項的看法可能與攻擊者的看法不同。如果您的計算機上有個人或財務數據，攻擊者可能會收集這些數據并將其用于自己的經濟利益。即使您沒有在您的計算機上存儲此類信息，可以控制您計算機的攻擊者也可能會使用它來攻擊其他人。

(4) 誤解：攻擊者只針對有錢的主。

真相：任何人都可能成為身份盜用的受害者。攻擊者尋求以最少的努力獲得最大的回報，因此他們通常針對存儲許多人信息的數據庫。如果信息恰好在數據庫中，則可能會被收集并用于惡意目的。請務必注意信用信息，以便將任何潛在損害降至最低。

(5) 誤區：當計算機速度變慢時，意味著已經老舊，應該更換。

真相：在較舊的計算機上運行更新或更大的軟件程序可能會導致性能下降，但可能只需要更換或升級特定組件(內存、操作系統、CD 或 DVD 驅動器等)。另一種可能性是有其他進程或程序在后臺運行。如果計算機突然變慢，則它可能受到惡意軟件或間諜軟件的危害，或者可能遇到了拒絕服務攻擊。

在這里，我們正在打破一些常見的網絡安全神話。請繼續閱讀以找出人們認為以下哪些似是而非命題。IBM則給出的破解神話如下：

誤區 1 — 過多的安全性會降低生產力

有一個普遍的觀點，即提高安全性會使員工(而不僅僅是黑客)也難以訪問他們需要的內容。嚴格的安全政策，例如定期監控和訪問控制，被認為會影響工作效率。但是，降低安全性可能會對組織業務產生不利的深遠影響。

DDoS 攻擊或勒索軟件等成功攻擊可能會使組織業務陷入停頓。員工在受到攻擊后可能無法訪問重要文件、網絡和信息。恢復需要數天，有時甚至數周以至于存在無法恢復可能性。

真相：增強的網絡安全可以提高生產力。

現代網絡安全方法使用具有內置安全功能的安全工具，可無縫集成到系統中。利用先進的技術情報和分析來實時檢測和緩解威脅。這使開發人員可以專注于提高生產力，減少安全問題引發的分心。

誤區 2 — 網絡攻擊僅由外部威脅參與者造成

內部威脅正在上升，并迅速成為企業關注的問題。內部威脅可能包括員工、供應商、承包商、業務合作伙伴或試圖冒充員工的外部入侵者。一個最近的一項調查顯示，內部威脅是負責數據泄露的60%。

此外，永遠無法完全了解這些攻擊的來源，而傳統的安全解決方案在處理這些威脅時基本上是無效的。這使得它們比外部威脅更難檢測和遏制。

真相：網絡攻擊很可能從認識的人開始

結合使用行為分析與特權和訪問管理來最大程度地減少內部威脅。此外，開展安全意識培訓課程，以教育員工了解內部威脅的危險以及如何檢測它們。

誤區 3 — 網絡犯罪分子只會攻擊大型企業

中小型企業可能常常誤以為他們的數據對黑客沒有價值。然而，中小企業是黑客的首要目標之一。

一個最近的一項研究發現，黑客攻擊的小企業近一半的時間。但這些企業中只有 14% 準備在這種情況下為自己辯護。

真相：任何大小規模的企業，都會受到黑客攻擊和惡意攻擊的影響

當涉及到他們的受害者時，黑客不會歧視。因此，不要讓自己的業務規模決定數據的價值或資產的安全性。

誤區 4 — 防病毒或反惡意軟件軟件足以保護業務安全

防病毒軟件是網絡安全計劃的重要組成部分，但只保護一個進入系統的入口點。黑客有很多方法可以繞過防病毒軟件，并通過有針對性的網絡釣魚攻擊和勒索軟件等攻擊來滲透網絡。因此，即使安裝了反惡意軟件，黑客仍有足夠的空間發動攻擊。

真相：防病毒軟件存在其局限性，無法解決新興網絡威脅的侵害

作為一家企業，需要做更多的工作來保護數據免受黑客攻擊。部署包羅萬象的安全解決方案，如Web 應用程序防火墻，持續監控威脅并提供端到端、24*7 的網絡風險保護。

誤區 5 — 網絡安全成本太高

盡管惡意網絡攻擊繼續成為頭條新聞并使企業損失數百萬美元，但很多企業仍然懷疑網絡安全投資是否值得。數據安全性經常被忽視，對于許多企業來說只是事后的想法。2021 年數據泄露的平均成本為 424 萬美元，是過去 17 年來的最高值。而且這個數字不包括因違規造成的嚴重聲譽損失和客戶損失所帶來的隱性或附帶損失。

真相：良好的安全解決方案的性價比遠超攻擊損失

投資優秀的網絡安全解決方案，可以保護免受最新威脅。此外，可以采取許多預防措施，而絕對不會增加業務成本，例如強密碼、多因素身份驗證、訪問管理和員工培訓。

誤區 6 — 從未受到過攻擊，所以不需要網絡安全

如果自己從未經歷過網絡攻擊或數據泄露，很可能不知道它們會造成多大的損害。還可以假設當前的安全態勢足夠強大，可以將不良行為者拒之門外，因為從未受到過攻擊。然而，網絡威脅和黑客工具每天都在不斷發展，變得越來越復雜和難以檢測。任何敏感數據都是潛在的泄露目標。一則，由于自身技術能力原因，未發現已經存在的攻擊，盲目樂觀，而其實數據在外面已經漂流了很久;二則，安全是防范萬一，敏感數據存在潛在泄露可能性，所以隨著技術發展，面臨攻擊是遲早的事情。

真相：很容易成為下一個目標

制定完善的安全策略，幫助組織識別現有弱點并在造成任何重大損害之前降低攻擊企圖和提升防護能力。

誤區 7 — 已經實現了全面的網絡安全

網絡安全是一個持續改進的過程，需要隨著威脅格局的變化而升級，遵循PDCA規則。因此，永遠不要停止保護 IT 資產的工作。組織將始終容易受到現有和新興威脅的影響。在安全的道路上，如同人類與病毒之間的戰爭，無時無刻不在進行戰斗。

真相：沒有完全或完美的網絡安全來抵御網絡攻擊

定期審查組織安全策略，進行安全審計，持續監控關鍵資產，并投資于即將到來的安全措施更新。

結論

在安全范疇內，其實都是需要不斷面對日新月異的新問題、新威脅的。具體到網絡安全，隨著技術的發展，哪些似是而非的安全觀點和建議，必須得到剖析，否則會誤導眾多安全從業者以及系統建設者，最終因安全引發的損失將不可估量。在我們國家還涉及到網絡安全相關法律法規和政策，也是需要一個正確的宣貫，才能讓廣大群眾正確看待網絡安全，在利用網絡的過程中充分體驗到安全感。

同時，圍繞這些網絡安全的神話(誤區)和負面想法對每天面臨各種網絡威脅的組織構成了真正的威脅。錯誤信息可以為黑客提供更多滲透到網絡中的機會。隨時了解最新的安全最佳實踐，以確保企業和客戶的安全，最終在安全可控范圍內，體現自己價值，實現企業價值。