网络安全中心报告

TF7电台专访网络风险国际公司CEO Paul Dwyer

毫无疑问，在COVID-19大流行期间，网络安全行业肩负着前所未有的重要使命——保护关键组织和机构免受网络攻击。

总部位于都柏林的网络风险国际公司首席执行官Paul Dwyer表示，网络威胁行为体正在积极攻击世界卫生组织(WHO)，并且兜售新型冠状病毒假疗法的骗局也有所增加。该公司专门从事企业网络防御项目的开发。Dwyer是本周TF7电台节目的嘉宾，主持人George Rettas是TF7电台和TF7科技公司的总裁兼首席执行官。

在攻击发生的同时，“我们也看到了人们的创造力、协作精神，大家把自我放在一边，共同努力寻找解决方案，“同时担任国际网络威胁工作组主席的Dwyer说。

他表示，网络安全专业人员在帮助寻找冠状病毒治疗方法方面发挥着不可或缺的作用。“归根结底，解决方案将来自一行代码或某种从IT角度得到支持的系统，这意味着它必须是安全的，“Dwyer说。

他还表示，人们意识到"国界不再重要”，“这是关于人类的互联互通，共同应对这一威胁，解决方案将在于有效沟通、分析数据、区分真假并终结疫情的能力。我相信这正在激发人们最好和最坏的一面。”

Rettas指出目前人们非常关注洗手问题，请Dwyer讨论这与良好网络卫生之间的相似之处。

Dwyer表示，正如冠状病毒感染者可能造成传染因素一样，当没有实施打补丁和应用更新等基本控制措施时，系统可能会感染恶意软件。

Dwyer说，一个小小的参与者就可能引发广泛的网络攻击。

“不幸的是，我要向人们传达一个有点负面的信息，一个警告，所有这些坏人……一直在伺机而动，“他说。随后他发出了一个严峻的预测。

“特别是金融 sector 将会发生重大事件，因为[黑客]组织严密……众所周知，一般的网络卫生防御能阻止大多数攻击，但那些有组织的大型团伙——我们可以看到他们正在摩拳擦掌，准备对更大的目标采取行动，而且手段更加复杂。”

但Dwyer表示，除了金融 sector，他认为医疗保健仍然是一个大目标。

网络安全的地缘政治

谈话随后转向政治话题，在Dwyer提到他曾采访过国家安全局举报人爱德华·斯诺登后，Rettas表示他不能"错过这个机会”，并请Dwyer谈谈对斯诺登行为的看法。

“我认为他帮了世界一个忙，“Dwyer回答。“我采访过他两次。他是个非常友善和聪明的人……我理解他的动机和热情。”

Dwyer接着说，斯诺登让"人们注意到了一些本不该发生的事情”，而且"他帮了世界一个忙，给了我们一个反思隐私的机会”，他表示自己倡导隐私权。

在回答Rettas关于斯诺登未来的问题时，Dwyer表示，他认为斯诺登愿意回到美国，“只要保证他不会受到酷刑。“他补充说，根据2020年选举后的总统人选，斯诺登甚至可能获得赦免。

Rettas随后将话题转回地缘政治，指出地缘政治不仅在那样的议题中扮演重要角色，在国家对COVID-19病毒的应对中也一样。他问CISO理解地缘政治是否重要？

Dwyer回答绝对重要，并指出许多黑客的行为是受"国家自豪感"驱动的。

他将黑客比作"代表国家参加奥运会”，并表示"当我们看到大量来自中国的黑客攻击时……现在显然仍然如此，其中很多是关于民族主义自豪感的。不是为了赚钱。不是诈骗……无论是俄罗斯、尼日利亚，很多都只是关于民族主义自豪感。”

Dwyer还表示，他认为每一次危机和每一次挑战中都存在机遇，COVID-19病毒既带来了挑战也带来了机遇。

当他创立国际网络威胁工作组时，他表示"目标之一是组建一个所有好人可以一起工作"的组织，与"合适的人"分享知识，并一起训练，目标是打击网络攻击者。

CISO与风险管理

Rettas指出，Dwyer为世界各地的CISO提供建议，风险是他们工作的很大一部分，“但有效的CISO真正将控制的剩余风险映射回他们的业务目标。“Rettas指出，这是公司董事会理解的语言，也有助于CISO获得可信度。他请Dwyer讨论CISO如何确定应向董事会传达哪些指标，以及如何精心设计净信息？而且，如果CISO不是风险专业人士，他们还能胜任工作吗？

Dwyer表示，有意义的指标是当CISO能够将任何已识别的剩余风险与企业的关键目标联系起来时。“所以，如果业务目标是推出一个新应用程序或让X千名客户使用在线系统，并且你已经确定了围绕该目标的网络风险，并且能够量化这些风险——不是主观地，而是凭经验实际给出数字并有科学依据——那么企业会欣然接受。”

他继续说，解决方案是"结合安全风险管理的原则。“这意味着围绕保密性、完整性和可用性制定安全实践，并将其纳入企业能够理解的风险管理计划中。Dwyer强调，要实现这一点，CISO绝对必须了解他们所在的企业。仅仅说"哦，我与业务保持一致"是不够的，他说，“他们甚至不知道业务对齐意味着什么。”

承认他接下来要说的话会让他"失去朋友”，Dwyer随后提出"网络安全不属于CISO。它属于CEO……我一直认为网络安全应该作为企业风险管理计划的一部分集成进来。”

而且，他补充说，CISO不应在CIO手下工作，因为CIO试图创新并保持系统运行。

Dwyer说，CISO应该向企业风险经理汇报，并最终向执行董事会和CEO汇报。

归根结底，CISO"既是销售人员，也是政治家，又是主题专家。而且这是一个业务领导职位，“他说。“这个人需要能够在组织内推销想法……能够协作，能够将不同意见的人团结起来，能够支持并理解商业模式。”

CISO是"有时是个性鲜明的人，有时是善于与人打交道的人，良好的沟通者，精通业务[懂行]，“他补充说。“这些是CISO应该具备的非常重要的技能。”

“Task Force 7 Radio"回顾是网络安全中心的每周专题。

要收听本期及往期节目，请点击此处。