面對緊張的預(yù)算和資源,，可供企業(yè)組織使用的安全措施有限,。因此，企業(yè)組織需要根據(jù)戰(zhàn)略目標對安全措施進行優(yōu)先級排序,。但現(xiàn)實中,，由于諸多原因,，企業(yè)組織的總體安全目標并不明確,，在這種情況下,，企業(yè)組織可以嘗試“日拱一卒”，制定階段性的局部目標,。

　　2021年CISO（首席信息安全官）應(yīng)該重點關(guān)注的五個工作目標：

　　創(chuàng)建網(wǎng)絡(luò)釣魚防范計劃

　　無線通信公司Verizon在其DBIR 2021數(shù)據(jù)泄露報告中指出,，網(wǎng)絡(luò)釣魚仍然是網(wǎng)絡(luò)攻擊最常用的手段，在2020年甚至更為流行,，占攻擊事件的36%,。遠高于一年前的25%，這一增長反映了2020年上半年與新冠肺炎疫情相關(guān)網(wǎng)絡(luò)釣魚誘餌的涌入,。面對網(wǎng)絡(luò)釣魚攻擊的日益增長,，CISO和其他安全專業(yè)人員需要優(yōu)先創(chuàng)建反網(wǎng)絡(luò)釣魚程序。

　　網(wǎng)絡(luò)釣魚攻擊會針對業(yè)務(wù)人員發(fā)送以假亂真的信息,，并使用心理戰(zhàn)術(shù)營造緊迫感,，促使收件人點擊,。因此，企業(yè)組織需要對員工進行網(wǎng)絡(luò)釣魚方面的教育,，確保企業(yè)組織內(nèi)從人力資源,、法律到研發(fā)部門的每個人都了解要查找的危險信號、如何報告可疑消息以及避免單擊鏈接或打開網(wǎng)絡(luò)釣魚電子郵件中包含的文件,。

　　重新審視漏洞管理

　　Verizon在其DBIR 2021中發(fā)現(xiàn),，與利用較新漏洞相比，涉及較舊漏洞的攻擊更為常見,。產(chǎn)生這種趨勢的部分原因是企業(yè)組織并不總是將修補作為優(yōu)先事項,，如果不能及時修補漏洞，攻擊者就可以連續(xù)數(shù)年利用相同的漏洞進行攻擊和破壞,。

　　企業(yè)組織可以通過漏洞管理（VM）,、漏洞掃描（通常指CVE漏洞列表或“常見漏洞和暴露”掃描）來應(yīng)對這一趨勢，再根據(jù)風(fēng)險對這些漏洞進行嚴重性和修復(fù)優(yōu)先級排序,。

　　企業(yè)組織實施VM程序的一個難點是了解哪些漏洞是首先要緩解的,。當(dāng)漏洞堆積時，企業(yè)組織判斷哪些漏洞最嚴重且具有潛在破壞性可能是一項挑戰(zhàn),。企業(yè)組織可以選擇使用高級VM解決方案,，提供靈活、精細的評分系統(tǒng),，對已知缺陷進行優(yōu)先排序,。

　　加強云上資產(chǎn)保護

　　2021年，外部云資產(chǎn)的安全事件比內(nèi)部資產(chǎn)更常見,。這意味著企業(yè)組織需要了解他們的云安全責(zé)任,。雖然云安全提供商將保護企業(yè)組織正在使用的云基礎(chǔ)設(shè)施，但企業(yè)組織仍然有責(zé)任確保添加到云中的所有數(shù)據(jù)和流程安全,。

　　高級云帳戶監(jiān)控網(wǎng)絡(luò)安全工具可以掃描企業(yè)組織云帳戶中的錯誤配置,，因為這些錯誤配置可能會成為攻擊者的窗口。云監(jiān)控工具可以按照風(fēng)險級別對云帳戶錯誤配置進行優(yōu)先級排序,，以便安全團隊可以解決最關(guān)鍵的問題,。

　　優(yōu)先考慮工業(yè)網(wǎng)絡(luò)安全

　　根據(jù)Verizon的年度安全報告，工業(yè)環(huán)境,，尤其是制造業(yè)環(huán)境,，已經(jīng)成為攻擊者的熱門目標。事實上,，研究人員發(fā)現(xiàn)勒索軟件對制造企業(yè)漏洞的惡意利用比前幾年增加了61.2%,。報告還發(fā)現(xiàn)，個人數(shù)據(jù)是這些攻擊行為中受損最嚴重的數(shù)據(jù)類型,。

　　企業(yè)組織可以通過優(yōu)先考慮工業(yè)網(wǎng)絡(luò)安全來做出響應(yīng),。例如,，安全團可以重點考慮實施工業(yè)可見性解決方案來保護運營（OT）環(huán)境 ?？梢娦允加谡w資產(chǎn)清單,，安全團隊可以使用一種工具，通過完整的硬件和軟件資產(chǎn)清單,，準確地顯示網(wǎng)絡(luò)上的各種資產(chǎn),。

　　企業(yè)組織需要知道這些設(shè)備正在與誰通信，設(shè)備配置是否在變化,，以及存在哪些漏洞,，并了解日志中隱藏的問題。一旦企業(yè)組織實現(xiàn)了工業(yè)網(wǎng)絡(luò)安全的實時可見性,，就可以實施保護性安全控制,，并持續(xù)監(jiān)控企業(yè)組織的網(wǎng)絡(luò)環(huán)境。

　　使用CIS控件

　　Verizon在其報告中曾表示,，“‘夯實基礎(chǔ)’將有助于解決最有可能影響企業(yè)組織的絕大多數(shù)安全問題,。” 而這個“基礎(chǔ)”的重要組成部分之一就是CIS（全稱Clever Internet Suite）控件,，CIS控件是一套提供給軟件開發(fā)者,，進行Internet網(wǎng)絡(luò)開發(fā)的控件。由互聯(lián)網(wǎng)安全中心維護的CIS最佳實踐優(yōu)先列表是一個免費的,、備受推崇的框架,，企業(yè)組織可以使用它來確保擁有最重要的安全控制。

　　CIS安全控制將企業(yè)組織的數(shù)字環(huán)境視為一所房子,，如果沒有基本的安全措施,，任何人都可以進入。企業(yè)組織遵守基本的安全控制,，尤其是在CIS Controls v8 實施組1中列出的那些,，可以幫助其關(guān)閉窗戶，鎖上門,，并安裝一個標準的安全系統(tǒng),。雖然沒有可以完全消除攻擊者闖入的可能性，但實施CIS控制有助于降低攻擊的可能性和影響,。