网络风险管理的三大关键事实

网络安全传统上侧重于技术和战术问题，被动地修补漏洞和应对威胁。随着数据泄露事件持续增加并对组织造成更大损害，这种有限的方法已不足够。CISO越来越需要采取主动的网络风险管理方法。本文探讨了实现这一目标的三种关键方式。

网络风险管理洞察一：从攻击者视角审视你的攻击面

过去几年，组织一直在推动提高攻击面可见性，发现资产并映射漏洞。这很必要，但存在一个误解：认为攻击面纯粹是配置管理数据库或网络安全平台日志中的内容。事实上，威胁行为者不会查看你的CMDB。对他们来说，你的攻击面就是他们能找到入口的任何地方——你暴露的任何位置。

由于当今的IT和威胁环境都在不断变化，静态或定期的资产列表只能揭示有限信息。攻击者不断探测、推送和破坏你的防护，因此你的暴露管理方法需要同样主动地监控和处理变化。没有干预，完全修补和良好管理的资产不会永远保持这种状态。

关键在于像攻击者一样思考，超越发现阶段，弄清楚每个资产构成的风险类型，并随时间更新分析。毕竟，对手只需要找到一次弱点就能造成实际损害。

有句老话说：当一切都是优先事项时，就没有优先事项。一旦开始查看暴露情况和资产风险，你会发现存在大量漏洞和风险。你不可能解决所有问题，特别是在SOC团队人手不足且警报过载的情况下，因此需要知道哪些问题真正重要。

有一个简单的计算公式：风险等于可能性乘以影响。可能性基于几个关键因素，包括漏洞是否存在于你的环境中、是否可从外部访问、是否已在野外被利用，或者你是否已采取缓解措施。

影响是关于漏洞被利用后会发生什么。涉及的资产有多关键？哪些数据面临风险？如果资产遭到破坏，将如何影响生产力、盈利能力、合规状态和组织声誉？影响具有多个技术和业务相关维度，了解所有这些维度很重要。

管理风险而不仅仅是响应风险，涉及CISO最重大的转变——从传统的被动网络安全转向主动和战略性的网络风险管理。这意味着将风险导向的视角与能够极大加速网络安全活动的解决方案和能力相结合。

保持风险意识——并持续更新这种意识——创造了新的机会来预测暴露点并在它们变成责任之前加以解决。由于对手往往高速移动，AI驱动的自动化提高了SOC团队在造成损害之前缓解风险的可能性。

分析师和其他人多年来一直在赞扬自动化。变化在于将自动化与AI结合所能获得的收益类型。这使你能够将分析智能和明智决策能力注入网络安全策略，帮助你确定优先级并规避网络风险。

每天都有更多组织应用这些洞察，并在其安全状况上看到可衡量的改进。我们在2025年春季的"未来是主动安全"活动中讨论了其中几个案例，该活动可以免费点播观看。

在一个案例中，一家美国公司通过主动的基于风险的方法将事件响应时间减少了63%，并减少了误报。在另一个案例中，一家德国制造公司采用主动风险策略，能够加速响应时间、扩大规模，并在技术人员和高管业务领导者之间建立了关于网络风险的共同讨论方式。

以上洞察是我们趋势科技认为的网络风险管理三大支柱：可见性、优先级排序和缓解。可见性是关于看到你需要看到的一切，以全面了解网络风险暴露情况。优先级排序是了解哪些风险真正重要的能力。缓解是关于能够采取行动——解决最紧急的风险并保持环境安全。

有关网络风险管理的更多信息，请查看以下资源：