安全是每个人的责任。虽然在组织中培养安全文化并非易事，但却是必不可少的。
为了培养安全文化并获得员工的认可，重点关注提高安全意识和评估现有安全措施的有效性非常重要。
首席信息安全官 (CISO) 或其他安全职能岗位必须领导、提供资源并提供支持，以在组织中建立安全文化。
通过对员工进行网络安全最佳实践教育并让员工参与其中，组织可以培养安全作为共同责任的文化。
CISO对组织目标的理解程度以及相应的安全举措的调整程度可以帮助他们识别普遍存在的无效安全措施和浪费的资源。
然而，仅仅关注安全而不考虑其对运营效率或客户体验的影响可能会导致潜在的缺点和限制，例如阻碍安全团队与其他部门之间的增长和协作。此外，高层管理人员的支持不足给有效分配资源和实施必要的变革带来了挑战。这些变量意味着每个组织都有独特的安全环境，CISO必须不断评估组织的具体挑战。他们应该相应地调整策略，以保护宝贵的资产并维持稳健的安全态势。CISO必须运用从网络事件、勒索软件攻击和威胁中汲取的经验教训来增强组织的网络安全防御能力。
CISO应采取积极措施来加强组织内的沟通与协作。这包括优先与利益相关者如项目经理、高管、IT团队、员工和外部合作伙伴建立有效的互动。
为了强调其重要性，我们以医疗保健行业为例，由于 IT 和临床人员之间缺乏沟通，该行业特别容易受到数据泄露的影响。网络安全中沟通与协作的重要性体现在以下事实：60%网络攻击是由内部人员造成的。
WannaCry
勒索软件攻击在2017年影响了全球范围内的组织，其中英国国民医疗服务体系由于不同部门之间缺乏沟通和协作而受到的影响尤为严重。组织的安全团队和组织之间要有有效的沟通渠道才能使其他部门更快地发现违规行为。当不同的团队共享信息和担忧时，无论是安全团队还是第三方发现异常活动，他们都可以迅速采取行动。
IBM和Ponemon Institute的《2023年数据泄露成本报告》研究了2022年3月至 2023年3月期间发生的数据泄露事件影响的 553个组织。报告指出，数据泄露的平均成本在2023年达到历史新高，达到445万美元，51%的组织计划因数据泄露情况而增加安全投资。协作事件响应可以帮助最大限度地减少违规行为的财务和时间影响。当各个部门协同工作时，可以有效地整合资源。
有趣的是，该报告还指出，在安全策略中使用人工智能 (AI) 和自动化功能的组织，数据泄露成本相比其他组织少了176万美元。当安全人工智能和自动化可以与跨职能团队共享时，它们会更加有效这些知识可用于预防或应对安全事件。
通过建立清晰的沟通渠道和促进协作，CISO可以协调安全工作，防止优先事项不一致，并确保有效应用吸取的经验教训，以增强整体网络安全措施。CISO应该：
因此，沟通和协作打破了组织内的信息孤岛，从而实现了更高效、更协调和更具成本效益的网络安全方法。
SANS Institute和IBM的一项研究发现，95%的数据泄露是人为错误造成的。Verizon2023年数据泄露调查报告 (DBIR) 显示，74%的数据泄露涉及人为因素，例如网络钓鱼攻击或社会工程。该报告还指出，社会工程攻击的比例已从 2022年的14%增加到2023年的21%。
忽视考虑员工的安全意识和培训的优先级是一个常见的错误。意识培训向员工传授安全最佳实践，最大限度地减少人为错误，并在组织中创建安全意识文化。如果没有适当的培训和意识，员工可能会在不知不觉中做出危险行为，例如点击可疑链接、不当共享敏感数据、使用弱密码、离开工作站时不注意安全以及忽视软件更新，所有这些都可能危及安全。
CISO应确保员工充分了解安全最佳实践、潜在威胁以及他们在维护安全环境中的角色和责任。这可以通过与人力资源团队合作进行培训集成、推广用户友好的安全策略以及根据特定角色、措施和文化定制培训来实现。培训计划的持续进行也至关重要。
CISO必须了解采取主动安全措施的价值而不是依赖被动方法。
埃森哲
报告称，“虽然35%的受访者表示，他们从一开始就将安全控制措施嵌入到所有转型计划中，但仍有18%的受访者在事后才部署安全措施。”
创建安全文化需要组织中每个人的集体努力。每个员工都应该积极主动地遵守安全策略和最佳实践。此外，投资支持收集威胁情报等策略的技术有助于检测安全事件。入侵检测和预防系统也是缓解事件的宝贵投资，因为它们可以防止严重损害。
组织通常依赖外部供应商和第三方来提供各种服务和解决方案。Ponemon Institute2022年的一份报告显示，所有行业中55%的组织表示，管理第三方是一项艰巨的任务，而且会消耗资源。此后，更多的第三方数据泄露事件曝光，危及数百万人的个人信息。2023年8月，英国大都会警察局宣布涉及其供应商之一的IT系统的安全漏洞。6月2023年，据证实，许多组织以及多个美国政府机构都经历了与利用 MOVEit Transfer（Progress Software 开发的企业文件传输工具）中的漏洞相关的入侵。
因此，必须实施强大的供应商风险管理流程来评估和监控这些第三方的安全状况。这些流程包括加强合同安全协议、持续监控供应商安全实践、优先考虑持续风险管理以及从过去的错误中吸取教训。组织应该让第三方对安全负责，明确保护数据是共同的责任。忽视这些策略可能会使组织面临外部合作伙伴潜在的违规行为。
在2013年Target数据泄露事件中，网络犯罪分子通过第三方供暖、通风和空调供应商获得了对塔吉特网络的访问权限。该供应商的凭据遭到泄露，这使得攻击者能够渗透Target的系统并窃取4100万客户的个人信息。为了防止这种情况发生，Target可以实施更强大的供应商安全实践，例如多因素身份验证 (
MFA
) 和限制对关键系统的访问，这将使攻击者更难破坏其网络。
在ISACA的“2023年网络安全状况”网络研讨会上，Parkerson指出：“当您将其他供应商添加到您的组织中时，您会增加风险并降低韧性。安全和信任是任何组织的基本能力。” Brandt补充道，“组织内部必须有基线能力，而不是被外部服务提供商和顾问淹没。”
美国国家标准与技术研究院 (NIST) 的一项研究发现，定期进行风险评估的组织遭遇数据泄露的可能性会降低60%。Facebook在2018年面临重大数据泄露，其中事件发生后进行的根本原因分析表明，缺乏适当的风险评估是导致数据泄露的原因。定期进行风险评估对于识别组织内的安全风险并确定其优先级至关重要。CISO应确保以适当的时间间隔进行风险评估，并将评估结果用于推动安全改进和资源分配。达信和微软进行的全球网络风险认知调查发现，定期进行风险评估的组织在网络风险导致重大事件发生之前发现网络风险的可能性是其他组织的5.5倍。
CISO应该明白，完全消除风险是不切实际且成本高昂的。相反，他们必须专注于实施风险缓解策略，并将资源分配到能够对组织的安全态势产生最重大影响的任何地方。
组织必须实施持续监控和威胁情报计划，以有效检测和响应不断变化的威胁。仅仅依靠防火墙和防病毒软件等静态安全措施是不够的。实时监控至关重要。如果没有它，组织很容易受到绕过传统防御的新威胁的影响。例如，领先的IT管理软件提供商
SolarWinds
在2020年成为高度复杂的供应链攻击的受害者。该攻击在几个月内未被发现，从而使攻击者能够渗透到众多组织中。
对网络流量的持续监控和分析在识别和减轻网络威胁（例如网络钓鱼活动）方面发挥着至关重要的作用。通过检测与活动相关的可疑电子邮件地址、恶意URL和恶意软件签名等入侵指标 (IOC)，安全团队可以及时响应威胁。与其他组织或安全供应商共享这些IOC有助于防止网络钓鱼活动的蔓延，并能够实施有针对性的防御来应对类似的攻击。
另一种主动方法是利用威胁情报源，提供有关已知恶意IP地址、域或文件哈希的实时信息。通过将这些源集成到监控系统中，组织可以主动识别并阻止与恶意活动相关的来源的连接或通信。这使组织能够利用最新的威胁情报来加强防御，从而显着降低网络攻击成功的可能性。
密切关注新出现的威胁和漏洞是每个人都关心的任务。应鼓励员工报告可疑活动并分享威胁情报。通过持续监控网络流量并利用威胁情报，组织可以主动识别IOC 并领先于不断变化的威胁。将这些实践整合到他们的安全策略中可以增强他们检测和响应新兴威胁的能力，降低网络攻击成功的风险并保护关键资产。
