企业建设网络安全的几种“降本增效”的思考

---

---

前言

在当下的经济寒冬中，网络犯罪和内部威胁空前活跃，但越来越多的企业却把“降本增效”的屠刀抡向网络安全部门，导致很多安全团队面临“既要马儿跑，又要马儿不吃草”的窘境。

事实上，将网络安全看作成本支出是企业数字化转型过程中最大的认知误区之一，网络安全支出（投资）是当今全球企业IT的最高优先级事项，有着可量化的关键业绩指标和投资回报率。尤其是在经济衰退、数字风险骤增的动荡时期，网络安全是企业跑赢同行，在熊市笑到最后的“核心生存力”。

---

一、基于风险的安全策略，优先保护关键资产

企业资产、数据的业务价值和所面临的安全威胁各不相同，为了提高防御效率，安全团队需要进行彻底的资产盘点和风险评估，以确定最关键的资产及其潜在威胁。将优先保护关键资产作为基于风险的安全管理策略的一部分，企业可以大大提高资源分配效率。

一般来说，安全团队需要专注于保护对核心业务运营至关重要的敏感客户数据、知识产权和系统。同时，安全领导者需要帮助业务部门了解暴露风险以及风险缓解的技术成本。反过来，考虑到预算限制，企业领导者必须最终确定他们愿意接受哪些风险，不要把降本增效搞成了“降本增效”甚至“降本翻车”。

二、集中化安全管理

实现集中化、体系化的安全管理需要将多个安全工具和流程整合到一个统一的管理平台中来高效处理网络安全事务。通过集中化的安全管理系统，企业可以统一监控和管理安全