基于风险的应用程序安全方法可增强安全防御
如今,不可否认的是网络犯罪已逐渐进入人们的生活,为人们所重视。无论何时,随意浏览新闻都能看到新漏洞的发现,或者是敏感信息的泄露、窃取等。因此,任何企业董事会都应该尽早加强网络安全防御。
然而,即使现在网络威胁来势汹涌,但是网络安全防御仍然不够。通常而言,当最佳安全实践有可能干扰业务效率或整体生产力时,业务优先级往往是高于安全优先级的。对于许多CSO和CISO来说,资金不足是另一个值得普遍关注的问题,董事会根本没有准备好,没有为他们提供真正需要的预算和资源,来确保他们的业务安全。
企业需要有长远考虑
在短期内,减少安全资金以促进业务的其他领域发展似乎是个好主意,但这是一个很大的风险,一旦高管人员也受到攻击,后果更加不堪设想。例如,尽管在年度预算周期内,额外拨出50万英镑作为新的安全资源投入似乎并不可行,但与数据泄露后面临的数百万英镑的罚款、法律费用和缓解费用相比,这显得相形见绌。
英国航空公司(British Airways)在其网站上称遭到“复杂的恶意犯罪袭击”之后,就被信息专员办公室(ICO)罚款1.83亿英镑,因为在此期间,约有50万名客户的详细信息泄露。
这样的例子强调了通过实施网络安全实践来确保长期安全性和合规性的重要性,这些实践首先能做的就是防止此类数据泄露。另一种更为主动的方法就是将网络安全实践整合到更广泛的业务策略中去,这可以大大减少数据丢失,并使安全团队能够更迅速、更准确地应对任何真实存在的威胁。
随着越来越多的组织依靠软件应用程序来发展业务,所以保护这些应用程序变得十分必要。因此,采用一种系统的、基于风险的方法在软件开发生命周期(SDLC)的早期评估和解决网络安全漏洞,而不是出现漏洞后才这样做。
业务和安全目标必须保持一致
安全方法与整个组织的方法结合才是最有效的。但是很多时候,一旦将安全性纳入SDLC会对开发时间或者发布窗口有不利影响时,便会被重新考虑。
当补救漏洞所需的时间威胁到重要应用程序的发布时,安全团队就会承受压力。如果不能通过令人信服的业务案例来推迟发布,并解决安全问题,那么风声将不胫而走。
风险在有效安全决策中的作用
在上述情况下,安全团队需要能够迅速让高层决策者认识到所涉及的风险以及无法修复漏洞的潜在后果。这既需要对应用程序的预期业务目标有扎实的理解,又需要有以决策者能够理解的方式来构成论点的能力,而不是给他们一堆的安全术语。最好的方法之一是基于风险的方法,该方法有两个主要阶段。
第一阶段包括全面评估当前正在开发的所有Web应用程序,并建立严格的监视流程以快速识别漏洞。在此阶段进行彻底检查至关重要,因为如果只是遗漏了一个应用程序,或者一个系统没有安全保护,那么它将为网络罪犯创造一个新的潜在风险。
完成第一阶段后,便可以开始第二阶段,将业务影响纳入战略规划过程。通过正确定义特定漏洞可能造成的潜在损失,并帮助高级管理人员以通俗易懂的方式理解这些损失。不仅可以帮助满足对有效安全性的需求,还可以根据整个组织的风险级别对活动进行更精细的调整。
采用基于SaaS的方法进行应用程序扫描
在整个SDLC中采用基于SaaS的方法进行应用程序扫描,安全团队可以持续评估生产过程中的风险,而不仅仅是几个关键点。因此,当与业务活动优先级合理结合时,可以评估更为准确的风险状况,公司各层级也可以接受。
关于有效的安全性,对于安全团队来说,让整个组织企业理解是很重要的。采用基于风险的方法可以做到这一点,通常将复杂的漏洞和分析转换成对所有人,特别是对高级管理人员有意义的术语,有助于他们理解。然后进行适当的讨论,采取合理的、正确的决策,从而使整个公司受益,并使公司免受众多网络威胁的侵害。
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
聊一聊零信任安全和软件定义边界
01. 零信任安全(zero trust security) 零信任安全是一种IT安全模型。零信任安全要求对所有位于网络外部或网络内部的人和设备,在访问专用网络资源时,必须进行严格的身份验证。零信任安全需要通过多种网络安全技术实现。 零信任安全技术特性包括: 零信任网络背后的理念是假设网络内部和外部都存在攻击者,因此不应自动信任任何用户或计算机。 零信任安全性的另一个原则是最小特权访问。即只向用户提供所需的访问权限,从而可以最大程度地减少每个用户可以访问的网络敏感资源。 零信任网络使用了微分段概念。微分段是一种将安全边界划分为小区域的做法,以维护对网络各个部分的单独访问。例如,使用微分段的文件位于单个数据中心的网络可能包含数十个单独的安全区域。未经单独授权,有权访问这些区域之一的个人或程序将无法访问任何其他区域。 零信任安全强化了多因素身份验证(MFA)的使用,用户需要使用多个证据来进行身份验证,仅输入密码不足以获取访问权限。 除了对用户进行访问控制之外,零信任还要求对用户所使用的设备进行严格的控制。零信任系统需要监视有多少种不同的设备正在尝试访问其网络,并确保每台设备都得到授权。这进...
- 下一篇
Σco时间丨智能时代,闪存普惠千行百业
【51CTO.com原创稿件】虽然2020年新春伊始的这场新冠肺炎疫情让技术人群放弃了聚会,减少了面对面沟通,但他们对于学习和交流的渴望从未停歇过。为此华为特别推出了#Σco时间#系列栏目,以线上直播+互动的形式,共话技术变革与行业转型。 华为在#Σco时间#直播平台,联合智能数据基础设施“学数派”举办了以“智能时代,闪存普惠千行百业”为主题的2020年华为全闪存技术论坛,华为存储行业解决方案架构师杜宇�F、华为数据存储高级营销经理高俊霞、华为数据存储解决方案高级工程师周辉三位演讲嘉宾从存储未来趋势、技术、实践、案例和实验室实测演示等多维度,深度解读了全闪存如何使能千行百业,实现全场景普惠,助力各行业客户的IT系统实现全在线、全实时、全天候业务响应。2000+位网友在线“围观”了这场技术论坛,并对华为演讲内容“干货”给予了高度认可。 智能时代,全闪存释放数据力量普惠千行百业 华为存储行业解决方案架构师杜宇�F在演讲时首先表示,在今年3月初,国家发布了面向7大新基建的布局,面向未来10年,支撑全社会的高速发展。在7大新基建的激发下,智慧城市、智慧医疗、智慧教育、智慧港口等领域都会进入发展...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- Docker安装Oracle12C,快速搭建Oracle学习环境
- Red5直播服务器,属于Java语言的直播服务器
- CentOS7,CentOS8安装Elasticsearch6.8.6
- CentOS8编译安装MySQL8.0.19
- SpringBoot2整合MyBatis,连接MySql数据库做增删改查操作
- Springboot2将连接池hikari替换为druid,体验最强大的数据库连接池
- CentOS6,CentOS7官方镜像安装Oracle11G
- Jdk安装(Linux,MacOS,Windows),包含三大操作系统的最全安装
- SpringBoot2更换Tomcat为Jetty,小型站点的福音
- CentOS8安装Docker,最新的服务器搭配容器使用