《2017美國網路犯罪現狀報告》：企業今年面臨哪些安全問題，應該如何解決？

新聞 08-11

最近幾年，各大企業組織的安全團隊都比較難熬。Petya 和 NotPetya 這種大規模攻擊讓安全從業人員疲於應付，也表明網路安全事件的影響範圍在急劇擴大。最近幾個月，美國政府開發的惡意程序及搜集的漏洞資料被泄露（主要是維基解密所披露的一系列 CIA 工具文檔），也讓網路犯罪團伙有了更多的利用工具。IT 行業不得不苦苦掙扎，及時關注安全信息、為系統或軟體打上重要的安全修復補丁並及時更新，以求得企業正常運轉。同時，IoT 等新技術的出現也帶來了新的安全問題。

CSO 的一份新調查表明，網路安全問題引起了美國很多公司的重視，他們開始關注並尋求解決網路安全問題的方法。這份調查結果不僅揭示了美國各大企業所面臨網路威脅的性質和規模，還明確說明了這些企業給出的應對措施。

CSO 與美國特工處及卡內基梅隆大學軟體工程學院的的網路應急響應小組合作，一起展開調查併產出了網路犯罪報告。本年度的報告還受到了 Forcepoint 的贊助。

以下是報告的關鍵信息：

在 510 個受訪對象中，有 70% 是所有行業和公共領域的副總級別甚至更高級別的高管，其中 35% 是企業管理者。 41% 的受訪對象公司規模大於 500 人，另外 59% 的受訪對象來自 500 人以下的公司。

受訪對象信息

這些公司的平均 IT 安全預算為 1100 萬美元，而平均職工數為 9795 人。

平均 IT 預算與平均職工數目

企業對待安全越來越認真

企業以及其他組織對待安全的態度越來越認真，有時候安全問題所使用的公司資源甚至是在增加的。有 20% 的首席安全官（CSO）和 CISO（首席信息安全官）每月會向董事會彙報公司安全情況，而在上一年（2016 年），這個比例只有 17% 。然而，仍然有 61% 的董事會認為安全問題只是 IT 問題，並非是企業管理的問題。不過這個比例與上一年的 63% 相比，還是有所下降的。

網路安全問題只是 IT 問題？

CSO及CISO 向董事會彙報的頻率增加

各公司在 IT 安全方面的花費逐漸增加，平均預算增加了 7.5%。其中 10% 的受訪對象表示自己所在公司的 IT 安全預算增加了 20%。有 40% 的公司將預算集中於開發或引進新技術。除安全技術外，很多公司將預算花費在知識性技能上：有34% 的公司將預算集中於審計、評估；33% 的公司將預算集中於提升新安全能力；25% 的公司將預算集中於探究並重新設計公司的網路安全策略；17% 的公司將預算集中於重新設計安全流程；15% 的公司將預算集中於情報分享（以上數據有所交叉）。

保持技術更新是解決新出現威脅的關鍵

有 35% 的受訪對象表示，公司尚未將網路響應計劃納入網路安全策略。好消息是，19% 的受訪者表示將會在明年採納並實施網路響應計劃。

企業不斷提升對網路威脅的重視程度並提高預算，這讓他們對公司的安全能力更有信心，就算他們使用移動技術、雲以及 IoT 等風險較大的技術或產品，也不太擔心。76% 的受訪對象表示自己有專業能力解決相關的安全問題。但同時，也有 74% 的受訪對象對安全問題更加擔心了，這與 2016 年的 64% 的比例相比，有了大幅增加。

很多企業認為自己有能力解決新技術帶來的安全問題

對網路安全事件的擔憂大幅增加

安全事件有所減少，但帶來的影響並未減弱

受訪對象預計，公司遭遇的安全事件從去年的 161 起下降到 148 起，總比下降 8.2%。然而，儘管安全事件的數量有所下降，但造成的損失卻不小。有 68% 的受訪者表示公司安全事件帶來的損失與去年相比幾乎相同甚至更高。沒有因為安全事件遭受損失的企業從去年的 36% 減少到 30%。這種情況著實引人警醒。

安全事件數量有所減少

調查結果顯示，儘管安全事件的整體數量有所下降，但造成的損失卻有所增加。過去一年中，有 14% 的受訪對象表示公司核心系統遭到破壞，與之前 10% 的比例相比上升不少。10% 的企業表示機密或財產信息都蒙受損失，而之前這一比例只有 7%。同時，損壞公司名譽或影響客戶和合伙人的安全事件都減少到了 4% 。