通過疫情學到的安全經驗

周兵峰

隨著新型冠狀病毒的危機持續在全球范圍內蔓延，全球各地的企業別無選擇，只能做出改變并將業務持續性計劃付諸行動。從一線員工到內部部門，工作重心的轉移幾乎在向所有人施加壓力。當然，那些被要求快速且安全地部署在家辦公環境的安全領導者們更是敏銳地感受到了這種壓力。

從過去幾周監測到的網絡攻擊活動可見，網絡犯罪分子正在利用恐慌來制造新的網絡釣魚和惡意軟件活動。安全領導者也正忙于鼓勵員工在家進行更大規模的工作，同時教育員工提高有關遠程辦公的新風險等知識。

不過，這只是在這段艱難時期內，安全部門必須完成的所有工作的一個起點而已。

大多數安全領導者信心十足地表示，到目前為止，他們已經了解到如何在新冠肺炎肆虐的情況下確保在家辦公的業務安全。

1.正確樂觀的心態將使我們度過危機

CoreView的首席技術官Ivan Fioravanti表示：“在米蘭，我們正處于新冠病毒爆發中。考慮到幾周前意大利甚至還沒有任何感染者，我們確實受到了不可預見的風暴侵襲。”

IT一直以來都被視為“成本/費用中心”，包含進程緩慢的冗余項目，無法跟上技術發展步伐、不斷降低的生產效率、無法滿足公司業務需求等問題。但是現在，在這個不同尋常的時期，這種態度必須改變，IT必須成為拯救企業的英雄。通過基于云和SaaS的技術堆棧以及出色的連接性，遠程工作成為可能。但是，真正的推動力其實是思維定勢———人們必須明白，如今，正是這些技術工具成就了零生產率與完全生產率、零人際關系和良好人際關系之間的差別。IT部門現在有責任維持業務安全、平穩地運轉，并且他們必須為此承擔一些風險，必須盡可能地維持生產力和安全性之間的平衡。

2.快速修復可能會導致更多問題

Awake Security公司的首席信息安全官Malcolm Harkins表示：“在過去的幾周里，我與許多企業組織進行了數十次會話，這些組織都希望以前所未有的規模確保遠程辦公人員的安全。例如，一家企業希望在不到1周的時間內，將他們的遠程辦公人員增加50 %（數千人）。無論是人們開始從各種各樣可能受到‘污染的家庭網絡環境連接辦公網絡，亦或是正值企業IT預算縮減之際（病毒導致企業收益減少，IT預算也隨之降低），都會極大地增加組織的被攻擊面。”

對于大多數企業組織而言，這時面臨的困境主要是，在增加遠程辦公人員的同時還要降低安全性和IT預算。可以理解為他們只是在“拆東墻補西墻”，通過使另一個問題不斷惡化的方式來解決一個問題。但是，偷工減料可能會導致更嚴重的違規行為，甚至會造成業務崩潰，這就不僅僅是給企業造成傷害的問題了。

3.員工需要了解遠程辦公的風險

HighSide公司總裁兼首席安全官Aaron Turner表示，隨著越來越多的組織使用Office 365，G-Suite，Zoom，Slack等軟件，即服務（SaaS）平臺。員工在遠程辦公時可能需要共享數據，這時他們就有必要了解這些系統中的漏洞。例如，Slack在其官方文件中非常透明地指出，無法保證流經其系統信息的安全性。任何能夠訪問位于用戶和SaaS服務之間網絡基礎架構的人，都可以通過相對簡單的攻擊來攔截、操縱和更改發送到Office365或G-Suite的每條信息。

4.安全最終關系到人

Unisys公司的首席信息安全官Mat Newfield表示，我相信許多組織都必須面對這樣一個現實，我們所作的大部分工作都是與人相關的業務。如何保護一起工作人員的安全？如何確保自己正在做的所有事情都是正確的？這些都是人們在接受培訓期間應該詢問的問題，而不要等到事情真正發生之后才問。

5.正確的人會讓事情變得更容易

Gett公司的首席信息安全官Eyal Sasson表示，僅僅關注與高概率情況相關的風險是很容易的，但是我們應該始終嘗試為極端事件做準備，并在我們（參與）的風險之間找到適當的平衡。也可以說，當發生這種重大事件時，企業還應該意識到聘請專業團隊來解決問題的價值所在。要知道，一次好的招聘將會是一份不斷創造驚喜的禮物。

6.摒棄尖銳冷漠的安全態度

Akamai公司的首席安全官Andy Ellis表示，新型冠狀病毒在全球范圍內傳播擴散，可以這么說，它其實就像是人類應對新威脅的縮影。我們越來越多地看到人們從最初的漠視———“哦，小問題，不必緊張”，轉變為震驚和惶恐———“哦，我的天哪，太可怕了！”，突然地隔離通常會讓人措手不及。作為安全專家，這是一個向同事表達關愛的絕佳機會，而不是傳播更多的負面情緒。

7.這里的教訓是學習教訓

Veracode公司的首席信息安全官兼首席技術官Chris Wysopal表示，我經常聽到首席信息安全官們說這樣一句話：“不要浪費任何一次數據泄露”。他們的意思是，要將每一次違規行為視為一個機會，以發現安全程序中存在的漏洞，并鑒于眼前的緊急情況來獲取資金修補這些漏洞。幾天前，我們正計劃測試讓整個公司遠程運行的潛力，以發現業務連續性計劃中存在的任何漏洞。這是改進計劃的絕佳時機，我們不應該浪費這次新冠病毒肆虐的時機。我們可以利用這種緊迫性來獲取所有業務職能，以改善公司在疫情期間持續開展業務的計劃。

8.在危機期建立信任

Kenna Security公司的首席安全工程師Jerry Gamblin表示，如果公司要等到疫情爆發后才開始考慮讓團隊在家辦公的可能性，那就落后太多了。您必須保持靈活性并充分信任您的員工，您必須授權員工在危機期間為自己和公司做出最佳決策。根據他們的“個人風險模型”（類似于我們國家的防疫安全碼，即基于他們每天與誰互動所建立的模型），讓他們可以靈活地控制何時需要遠程辦公或旅行。

9.這也是網絡犯罪分子的一個機會

Hold Security公司的首席信息安全官Alex Holden表示，關于冠狀病毒的網絡釣魚電子郵件正在增加，這也進一步加劇了危機以及虛假新聞、產品短缺和恐慌現象。除此之外，總體威脅形勢也正在惡化。在隔離期間，有些人閑賦在家，由于無事可做，他們便轉而進行網絡犯罪。因此，公司需要從此次危機中預見網絡犯罪分子的下一步行動。

10.受信任的技術可能不再承受新的壓力

AppGate Federal公司的總裁Greg Touhill表示，虛擬專用網（VPN）技術正在顯示其落后性，以及缺乏應對危機的敏捷性。通過與眾多CIS，CISO進行交談，我發現他們正在努力嘗試實現大規模的企業范圍內的安全信息訪問。大多數人一直在使用VPN技術讓一定比例的員工遠程訪問企業內部信息。在這場危機期間，他們發現當前的基礎架構和許可所具備的能力已經遠不能滿足人們的訪問需求，而且，實施昂貴的VPN擴展也遠遠超出了他們的能力范圍。我們看到，許多組織正在研究軟件定義邊界（SDP）技術，以提供敏捷和高彈性的功能，實現安全的遠程訪問，同時降低實際部署成本（包括時間和資金）。

11.物理安全也需要考慮進去

English Blinds公司的首席信息安全官Alison Davies表示，我們還應該考慮那些用于家庭辦公且通常不會帶到公司的設備的物理安全性問題，以及員工使用自己的個人設備和/或在公司與個人之間傳輸、接收數據所構成的等效威脅。

12.業務連續性計劃仍然至關重要

Agio公司網絡安全執行總監Andrew Werking表示，業務連續性計劃帶來了豐厚的回報。一項最新的業務連續性計劃、call tree以及角色和職責，一份定義明確的工作流程、應用程序、基礎架構、人員和第三方依賴項，以及經過測試和證明的持續性操作程序都是必須具備的條件，以避免服務中斷并順利維持運營。無數的事實也凸顯了投資于連續性計劃的公司與未投資于連續性計劃的公司之間的明顯差距。

13.我們必須更好地為未來做準備

CloudShare公司的首席技術官Muly Gottlieb表示，這件事提醒我們，我們習慣把個人或專業環境中的某些事情看成是理所當然的存在，例如學習行業會議上的最新安全技術或認證。我們應該不斷質疑那些看似顯而易見的基礎知識和事物，并努力為所有“已知未知數”做好準備。我們還應該在任何可能的范圍內為“未知的未知數”做好計劃，這也就意味著確保業務連續性計劃涵蓋物理和數字活動方案，尤其是管理外部力量或我們無法控制的環境因素所帶來的風險。