促进数字世界的信任

病毒大流行加速了数字化转型，超出了任何人的想象。考虑到数字技术带来的网络安全风险增加，社会应该做些什么来防止网络攻击、减少损失和增强信任？在这篇博文中，我将尝试解释如何通过意识、文化和合理控制（例如实施零信任架构、加密和数字主权，以及共享信息以建立可信赖的合作伙伴网络。

以意识和文化促进信任

随着人工智能、云计算、区块链和物联网 (IoT) 等新技术在工作场所变得越来越突出，数字信任从业者将需要负责任和安全地适应。此外，有效的安全需要熟练的人员，而这现在受到网络安全技能不足的阻碍。接受过基本培训的个人将更有能力保护他们的组织。针对医疗保健等关键基础设施的勒索软件团体的出现,使得大规模数据泄露的呈上升趋势，正在危及政府保护公民生命、财产和福祉的能力。一些国家提倡采取一些公共和私营部门的安全措施来应对网络安全攻击带来的危险。

通过合理的控制加强信任

在过去，组织可以基于物理屏障和外围控制建立合理的防御。随着云计算和移动计算成为常态，基于身份的强身份验证是提升数字世界信任的关键步骤。实施预防性安全控制，如多因素身份验证、加密、零信任架构和数字主权等策略是加强数字信任的基础支柱。此外，各种规模的公司都需要通过合理的控制来加强信任，以便更好地应对网络安全威胁。基于NIST 网络安全框架，我在这里列出了企业可以关注的七个领域。实现这些目标将大大有助于增强组织的安全态势，同时满足各种国家和行业监管合规要求，包括不断增长的网络安全和隐私法案。

• 识别：一个组织必须能够发现它所在的任何地方的数据并对其进行分类。这些数据可以有多种形式：文件、数据库和大数据；分布在本地存储、云中和备份中。数据安全性和合规性始于在黑客和审计人员面前发现暴露的敏感数据。识别使组织及其利益相关者能够确定敏感数据和关键业务流程的“内容”和“位置”，从而可以实施适当的安全措施。
• 零信任保护：零信任的口号是“不信任任何人，始终验证”。人、机器和 API 都应根据其身份、目的和使用上下文使用此方法进行身份验证。然后可以在零信任的控制下提取、传输、存储、分析和操作基本数据，以产生有意义的结果。
• 通过加密和去标识化进行保护：一旦组织知道其敏感数据在哪里，它就可以应用关键数据泄露缓解控制，例如加密或令牌化。为了成功保护敏感数据的加密和令牌化，加密密钥本身必须由组织保护、管理和控制。即使数据被无意泄露，一旦加密或去识别化，生成的数据字符串在未经授权的人看来就是胡言乱语，没有任何价值。
• 以数字主权保护：该术语是指将加密和数据访问置于您的控制之下。这消除了敏感数据在未经明确许可的情况下落入他人手中而导致监管不合规的风险。数字主权促进了多云运营，同时避免了供应商锁定。
• 通过持续监控和评估进行检测：这使组织能够始终关注信息安全、漏洞和威胁，以支持风险管理决策。为了检测正在进行的或最近的攻击，必须监控恶意内部人员、特权用户、APT、系统和用户行为以及其他网络威胁的异常情况。
• 响应：通过检测、识别、分析、控制、消除、恢复和从中学习来为事件做好准备。
• 恢复业务连续性和弹性：业务连续性计划 (BCP)、事件响应计划 (IRP) 和灾难恢复计划 (DRP) 的实施可确保即使发生意外事件、危机或异常操作条件，操作也能照常进行发生。

共享信息，构建值得信赖的合作伙伴网络

黑客社区不断发展，使得公共和私营部门的受害者，每年造成数万亿美元的损失。为了更好地了解和适应不断变化的威胁形势，组织必须相互共享信息，以建立一个值得信赖的合作伙伴网络，并实施和制定安全的基线和政策，以加强防御和响应计划。例如，香港特区政府的Cyber​​sec Infohub和美国最近的行政命令呼吁政府和基本服务提供商共享网络安全相关信息，并有效协作以抵御日益增长的网络攻击威胁。

我希望上面的列表能帮助您提高网络安全准备，并提供一些关于避免网络攻击、减少损害和加强信任的步骤的见解。因此，总而言之，我们需要一个安全的数字社会，而实现这一目标的唯一途径是通过意识、文化、明智的控制和信息共享来建立一个值得信赖的合作伙伴网络。