供应链安全指南：了解关心的内容并确定其优先级 供应链安全指南：确定组织中的关键参与者和评估风险 供应链安全指南：了解组织为何应关注供应链网络安全

美国一专家称，通过与数百名分析师、系统集成商和安全专家的交谈，一件事情变得显而易见——他们中的许多人都明白，组织将遭受数据泄露不再是“是否”的问题，而是“何时”的问题。这意味着与其主要集中精力将威胁行为者排除在网络之外，不如制定减少影响的策略同样重要。反过来，许多组织已经开始采用一种新策略来应对当今日益增加的网络威胁，这被称为“网络弹性”。

但网络弹性到底是什么，与传统的网络安全实践相比如何？  

根据MITRE的说法，网络弹性（或网络弹性）“是预测、承受、恢复和适应不利条件、压力、攻击或对网络资源的损害的能力。” 人们越来越认识到传统的安全措施已不足以保护系统、数据和网络免受损害，因此需要网络弹性。网络弹性的目标是确保不利的网络事件（有意或无意，即由于软件更新失败）不会对组织业务运营的机密性、完整性和可用性产生负面影响。 

网络安全与网络弹性

网络安全应用旨在保护系统（例如，服务器、端点）、网络和数据免受网络攻击的技术、流程和措施。相比之下，网络弹性侧重于组织 IT 环境中的检测和反应控制，以评估差距并推动整体安全态势的增强。大多数网络弹性计划都利用或增强了各种网络安全措施。两者一起使用时最有效。 

越来越多的网络风险和安全管理框架正在采用网络弹性的概念（例如，国土安全部的网络弹性审查 ( CRR ) 或美国国家标准与技术研究院 ( NIST ) 特别出版物 800-160 第 2 卷）。此外，像 Gartner 这样的领先分析公司正在建议客户将他们的网络安全优先事项从防御策略转移到通过弹性来管理中断，以真正改变网络安全事件的影响。

网络弹性的好处

网络弹性战略对于业务连续性至关重要，可以在网络攻击之前、期间和之后提供一系列好处，例如：

• 增强的安全态势：网络弹性不仅有助于响应攻击并在攻击中幸存下来。它还可以帮助组织制定战略以改善 IT 治理、提高关键资产的安全性、扩大数据保护工作并最大限度地减少人为错误。

• 减少财务损失：根据IBM 2022 年数据泄露成本报告，全球数据泄露的平均成本现在为 435 万美元。除了财务成本外，由于一般数据保护法的出台和严格的数据泄露通知要求，数据泄露对声誉的影响也在增加。网络弹性可以通过加快补救时间来帮助最大限度地降低恢复成本。

• 改进的合规态势：如今许多行业标准、政府法规和数据隐私法都在宣传网络弹性。 

• 提高 IT 生产力：网络弹性的一个被低估的好处是它能够改善日常 IT 运营，包括威胁响应和确保日常运营顺利进行。

• 提高客户信任度：实施网络弹性战略有助于提高信任度，因为它增加了响应网络攻击并从中幸存的机会，最大限度地减少了对组织客户关系的负面影响。 

• 增加竞争优势：网络弹性为组织提供了相对于没有它的公司的竞争优势。 

组织内网络资源的范围（例如，网络、数据、工作负载、设备和人员）以及它们易受的威胁将决定实现网络弹性所需的步骤。因此，网络弹性措施的实施应基于对黑客在利用受害者时通常采用的策略、技术和程序（所谓的 TTP）的评估。

 

例如，端点经常被用作黑客和网络犯罪分子发起攻击的接入点，这些攻击可能会感染组织的整个网络或充当滩头阵地在网络内横向移动。事实上，Ponemon Institute 的一项调查显示，68% 的组织在过去 12 个月内遭受了成功的端点攻击。 

尽管人们广泛尝试保护端点，但这一发现表明，在当今随处工作的环境中，安全性正在迅速削弱，因此需要端点弹性，这只是网络弹性的一种形式。Endpoint Resilience 使组织能够始终知道他们的端点在哪里，应用深度安全控制，并在这些设备上采取防御措施，包括修复保护性安全应用程序，如果它们被禁用、更改或以其他方式受到损害。

结论

如果实施得当，网络弹性可以被视为一种预防措施，可以抵消人为错误、恶意行为和腐烂、不安全的软件。网络弹性的目标是积极保护整个企业，涵盖所有可用的网络资源。

>>>等级保护<<<

1. 开启等级保护之路：GB 17859网络安全等级保护上位标准
2. 网络安全等级保护：等级保护测评过程及各方责任
3. 网络安全等级保护：政务计算机终端核心配置规范思维导图
4. 网络安全等级保护：什么是等级保护？
   
5. 网络安全等级保护：信息技术服务过程一般要求
6. 闲话等级保护：网络安全等级保护基础标准（等保十大标准）下载
7. 闲话等级保护：什么是网络安全等级保护工作的内涵？
8. 闲话等级保护：网络产品和服务安全通用要求之基本级安全通用要求
   
9. 闲话等级保护：测评师能力要求思维导图
   
10. 闲话等级保护：应急响应计划规范思维导图
    
11. 闲话等级保护：浅谈应急响应与保障
    
12. 闲话等级保护：如何做好网络总体安全规划
    
13. 闲话等级保护：如何做好网络安全设计与实施
    
14. 闲话等级保护：要做好网络安全运行与维护
    
15. 闲话等级保护：人员离岗管理的参考实践
16. 信息安全服务与信息系统生命周期的对应关系

>>>工控安全<<<

1. 工业控制系统安全：信息安全防护指南
2. 工业控制系统安全：工控系统信息安全分级规范思维导图
3. 工业控制系统安全：DCS防护要求思维导图
4. 工业控制系统安全：DCS管理要求思维导图
5. 工业控制系统安全：DCS评估指南思维导图
6. 工业控制安全：工业控制系统风险评估实施指南思维导图
7. 工业控制系统安全：安全检查指南思维导图（内附下载链接）
8. 工业控制系统安全：DCS风险与脆弱性检测要求思维导图

>>>数据安全<<<

1. 数据安全风险评估清单

2. 成功执行数据安全风险评估的3个步骤

3. 美国关键信息基础设施数据泄露的成本

4. VMware 发布9.8分高危漏洞补丁

5. 备份：网络和数据安全的最后一道防线

6. 数据安全：数据安全能力成熟度模型

7. 数据安全知识：什么是数据保护以及数据保护为何重要？

8. 信息安全技术：健康医疗数据安全指南思维导图

原文始发于微信公众号（祺印说信安）：网络弹性：应对日益增加的威胁的新战略