互联网上的通信并不安全。电子邮件不是机密的，他们在到达目的地之前要经过许多计算机系统。信息安全的风险不容忽视，只需要一个小漏洞就可以制造一个大问题。网上购物并不安全，我们的信用卡号在世界各地传输并存储在与互联网直接连接的计算机上，因此可能成为犯罪黑客的有吸引力的目标。对此，昆明亭长朗然科技有限公司网络安全专员董志军表示：无论是因为人为错误没有及时发现，或者是因为旧服务器的升级预算和计划被削减，结果都是一样的。同样，网上银行也不安全，如果有人猜测或获得了帐户密码，则帐户详细信息将变得可见，并且可能进行恶意交易。因此，无论是偶然的、蓄意的还是恶意的，信息安全事件的成本很容易与预防成本完全不成比例。

没有什么是100%安全的。我们的电话通讯可能被窃听，我们的房屋可能遭遇盗窃，我们的信用卡可能被伪造等等。但是我们还是乐意通过电话谈论我们最私密的事情，我们的房子通常也不会打造成固若金汤的城池，我们在购物或消费时仍然会使用信用卡。原因是我们对所涉及的风险有“感知”。对于安全性是否会失败，我们有一些经验和信心。正因为如此，我们对其可能影响感到相当放松。否则，看几次315晚会，如果盲目相信媒体关于网络安全的恫吓，人们就会抛弃智能手机，而用回功能机，或者回到石器时代了。事实上，并非如此，创新科技仍然飞速改变着人们的工作和生活方式。

在没有安全性的情况下推出新技术会对业务产生巨大影响，因此，《网络安全法》明确规定：无论是哪个行业和领域的关键信息基础设施，都应当确保其具有支持业务稳定、持续运行的性能，并坚持安全技术措施“三同步”的原则，即应该保证安全技术措施实现“同步规划、同步建设、同步使用”。如果安全性没能及早输入，滞后的安全投资实际上可能变得毫无用处，并使企业面临安全威胁。外包的短期业务决策，如果没有经过IT安全专业人员深思熟虑的战略投入，则可能会变得更加昂贵，甚至创建一个难以保护的复杂环境。失去对特定业务的特定系统和安全决策的深入了解也存在风险。

要了解风险，需要了解一些基本的计算机和互联网技术。实施安全措施以应对威胁需要花费少量时间。即使采取最佳安全实践建议的控管措施也不会生产出100%的安全，但是可以避免一些最大的威胁，可以更好地抵抗敌对攻击。因为这些都与企业的内部运作有关，所以企业对管理这些内部威胁的方式有更大的控制权。以下是企业可以采取的一些措施：

  • 采用业务范围的信息安全治理，并将其与组织内的其他风险和治理工作相结合。
  • 改进整个业务的安全集成，并将安全报告提升到与其他治理、风险和合规领域相同的水平。
  • 了解组织的风险偏好并确保持续安全投资的价值满足业务需求并物有所值。
  • 让业务领导者参与其中，以便他们了解零安全预算（不花钱）对全盘计划的影响。
  • 负责协调与外包商、离岸商以及供应链和云提供商的业务安全性。
  • 让所有人员都拥有数字安全“常识”，可以提高企业的安全级别。
  • 监控新的业务计划并尽早让信息安全参与其中，当然是作为推动者而不是阻挡者。
  • 加强新技术的风险评估，在安全性和可用性之间寻求平衡，并将其管理到业务可接受的水平。
  • 审核供应商和外包商的信息安全，确保他们适应不断变化的威胁环境，将风险控制在适当水平。

企业对上述每个威胁类别都有不同程度的控制。通常来讲，外部威胁是最不可控的，这是因为我们不能轻易影响犯罪活动的数量。不过，虽然它们构成了很大的风险，但是应对它们的唯一作法是缓解和恢复。理论上，企业可以完全控制内部威胁，没有理由忽视它们。当然，企业必须保护信息免受外部攻击、内部攻击以及用户的无辜错误。这就需要使用必要的保护对策，我们对风险的可接受水准是一个重要的判断，对威胁和漏洞的理解有助于我们做出风险应对的决定，包括消除风险、降低风险、转移风险，最差的情况是不得不接受风险。

企业在日益网络化的世界中运营，传统的风险管理不够灵活，无法应对网络空间活动带来的风险。因此，必须扩展企业风险管理方法，甚至进行理论和实践创新，以创建风险弹性，建立在充分准备的基础上，从业务可接受性和风险分析的位置评估威胁向量。从网络到内部人员，组织对不断演变的安全威胁有不同程度的控制。随着威胁形势的速度和复杂性的天天变化，我们需要立即进行风险评估工作，以确保做好充分准备并致力于应对这些不断出现的新型威胁和时代挑战，以避免被抛在时代后面，进而造成企业声誉和财务损失。

最后，董志军提醒说：切记不要落入西方风险管理学的圈套，那些风险算法貌似科学精准，实际上离现实情况还差十万八千里。简单举例说，别为了几个实体资产如设施设备甚至房产的所面临的威胁、遭灾的影响、发生的可能性而纠结不清，尽管房产很贵哈，眼光放开一些，站得高一些，想的远一些，想想如果遭遇疫情突发或大型活动情况下的封城，局部冲突甚至全面战争，给整体大盘带来的业务影响吧！

昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。