世界各地的企业都在担忧网络安全威胁问题，特别是每天看到大量窃取信息和知识产权的网络入侵报告，以及新型漏洞利用方法的兴起，包括勒索软件、高级持续性威胁和内部威胁等。
让问题更严重的是当前快速变化的运营环境，包括云计算、物联网、移动和远程用户，以及需要为用户携带的任何网络设备提供支持，在这种情况下，如何、在哪里部署何种安全措施的问题变得难以回答。
在2014年的采访中，前FBI局长James Comey称，“在美国主要有两种公司，即那些被中国攻击的公司，以及不知道他们已经被中国攻击的公司。”
一年多后，在2015年1月的世界经济论坛中，思科前首席执行官John Chambers称：“主要有两种类型的公司：已经被攻击的公司以及还不知道已经被攻击的公司。”
这些言论是表明网络安全泄露事故不可避免?如果遭遇网络安全泄露事故不可避免，如果真的不可能阻止泄露事故，那么，试图保护信息和信息系统是不是浪费时间和金钱?
如果网络安全泄露事故真的不可避免，企业就不会将重要知识产权和个人及财务信息存储在联网系统。但企业没有那样做，这说明使用联网系统肯定具有超越这种风险的优势。
网络安全是管理风险的过程
尽管网络安全泄露事故不可避免，我们仍然可以而且应该保护信息。在任何风险受管理的环境中，如果风险不可阻止或避免，总是有可部署的战略。事实上，风险管理的前提是，任何风险情况的不确定性都不能完全消除。
如果不确定性可以消除，则风险也可消除。 如果网络安全泄露事故不可避免，或者网络安全泄露事故的风险不是零，则可使用两种基本保护策略。第一个是降低网络安全泄露事故发生的可能性，第二是当网络安全泄露事故发生时降低影响或损害。
这些基本保护策略适用于管理任何类型的风险，包括网络安全风险。管理网络安全风险的一般方法非常简单。
首先，确定对业务运营至关重要的资产。在这种情况下，应确定必须受保护的信息资产。除原始数据之外，信息资产可能包括人员、流程和技术。
其次，风险评估过程需确定可能通过不必要披露、未经授权修改或失去信息资产访问权限而损害信息安全的风险情况。这里的风险组件很少。
网络安全入侵的一般情况如下所述：攻击者利用漏洞并破坏信息资产的安全性。在这种情况下，风险的组件是漏洞，而漏洞利用可利用这个漏洞，并且，攻击者愿意利用这个漏洞利用来破坏资产安全性。
在这种一般网络安全泄露情况中，网络安全管理员唯一可控制的是网络中存在的漏洞。因此，管理网络安全风险的最后一步是发现和消除或修复漏洞。
理想情况下，在发现漏洞后，应立即消除漏洞。消除漏洞也可消除漏洞被利用的所有威胁情况，从而降低漏洞利用的可能性。
优先排序网络安全风险
在其核心，风险管理是决策支持工具。当确定所有相关网络安全风险情景后，这里的决策支持任务是对已确定风险情景进行优先排序。
如果没有足够资源来处理所有已确定的漏洞，则对网络安全风险缓解活动的优先排序很重要;即使有足够资源来缓解漏洞，优先排序也很有价值，因为了解潜在影响至关重要。
结果与影响
漏洞的优先级排序通常是根据其对企业的潜在影响，如果潜在影响是有限考虑因素，那么了解这种影响非常重要。
当漏洞被利用时，会出现一些不必要的结果，例如不必要的披露、未经授权修改或失去对信息资产的访问。影响是指这些不想要的结果带来的后果。
例如，如果HIPAA隐私或安全法规涵盖的健康记录被盗，结果是信息泄露，而对企业的影响可能包括强制性违规通知的成本以及潜在罚款和民事处罚--可能高达数百万美元。
我们可根据多种方式根据潜在影响对漏洞缓解工作进行优先排序。常用优先级排序工具是通用漏洞评估系统(CVSS)，这为理解信息技术漏洞的特征和影响提供了一个标准。美国国家标准与技术研究所维护的National Vulnerability Database为几乎所有已知漏洞提供CVSS评分。
即使使用CVSS评分作为优先排序网络安全风险缓解活动的基础，企业也必须确定这种方法是否对其有效。例如，如果某个特定漏洞的CVSS评级为低或中等，很多企业会选择不修复该漏洞。
但对于拥有很多系统(包括关键任务系统)的企业呢?这些企业需要了解的是，该漏洞对他们的潜在影响并没有很好地通过CVSS展现，实际影响可能比CVSS评级高得多，而且企业应该修复该漏洞。
结论
即使网络安全泄露事故确实不可避免，但并非一切都会丢失，事实是，不可能完全消除网络安全泄露相关的不确定性。
管理不确定性的传统方法是通过风险管理。在了解管理网络安全就是管理风险后，那么，网络安全风险管理为什么不能通过风险管理方法来管理?
本文作者：邹峥
来源：51CTO
