企業適用的網路安全風險評估檢查清單

定期的網路安全風險評估可為組織避免重大的麻煩。鑑於當今快速演變的威脅情勢，持續識別、量化並排序風險的優先順序是必要的。風險不僅會帶來財務影響；還可能摧毀組織的品牌與聲譽。網路安全風險評估檢查清單可作為企業識別並處理行動項目的指南。它突顯出企業經常忽略的關鍵領域，並可作為未來策略實施的基準。

本指南概述了網路安全風險評估檢查清單所包含的內容。您將了解優良檢查清單的關鍵要素，並掌握有效遵循這些要素的步驟。

了解網路安全風險評估

在進入我們的檢查清單之前，先來了解為什麼網路安全風險評估如此有效。您還記得最近發布的 SolarPower European report 嗎？隨著歐洲能源基礎設施攻擊增加，歐盟政策制定者依循檢查清單中概述的指引來處理關鍵的網路安全風險。其實施了新的法規，限制對太陽能系統的自由控制，從而防止了多起系統劫持事件，並提升了電力使用效率。

Thomson Reuters’ 法務團隊認為，全面的網路安全風險評估檢查清單對組織的持續健全運作至關重要。我們都知道，自疫情以來，cyberattacks have 增加了一倍。所以，我們想表達的是什麼？讓我們在下文進一步討論。

安全風險評估的重要性

FBI 報告指出，美國每年因惡名昭彰的網路犯罪活動而損失數十億美元。雖然大多數損失可能來自與投資相關的詐騙，但犯罪者經常利用電子郵件鎖定與組織有關聯的人員。糟糕的網路衛生實務可能導致人們未察覺正在發生的事情。有時候，只是一名毫無頭緒的員工「根本不知道事情的嚴重性」。

資料隱私違規是另一項令人擔憂的問題，而員工並不知道哪些內容不應分享。在社群媒體上隨意發文分享其工作生活細節，可能很快演變成財務或資料災難。網路安全風險評估檢查清單可以讓每個人都維持在正軌上並負起責任。其中包含的任何政策規則，都能說明哪些資訊應歸類為敏感資訊，哪些則否。這不只是作業實務；它是一份完整的行動項目路線圖，讓每個人都能檢視並遵循。而且由於它是以線性方式呈現，因此遵循起來也很方便。

網路安全風險評估 之所以重要，是因為它會檢視現有的技術與供應商。這些評估有助於判斷各項措施是否正常運作。若識別出任何缺陷、弱點或安全缺口，將立即加以處理。

網路安全風險評估檢查清單

任何公司都不應認為自己擁有堅不可摧的網路防禦，因為網路犯罪者會持續找到新的入侵方式。AI 最危險的面向之一，就是利用自動化工具建立深偽內容、malware，以及看似官方的電子郵件訊息。員工可能會接到電話，遭到冒充與誘騙，進而洩露敏感資訊。

企業內部熟練的網路安全專業人員短缺，而 IT 裁員情況仍在持續。組織往往因此表現不足，且缺乏足夠資源來對抗這些威脅。人才短缺可能迫使企業縮編，並將重點限縮於偵測新興威脅。

時間與限制方面的顧慮，是他們無法及時阻止這些新興威脅的最大原因。組織回應這些威脅的速度不夠快。這些都是他們應專注於建立強健網路風險管理計畫並將其列為優先事項的原因。以下是建立實用網路安全風險評估檢查清單的一些步驟：

步驟 1：尋找並識別潛在威脅行為者

第一步是識別您正在處理的對象，以及誰會對您的組織構成重大風險。您將彙整與每個應用程式相關的所有潛在風險。這將包括 Web 應用程式、雲端服務、行動應用程式，以及您的組織互動的任何其他系統與第三方服務。一旦您完成應用程式層級架構與其他資產的盤點與對應，就可以進入下一步。

步驟 2：執行 AppSec 評估

執行應用程式安全風險評估，以識別應用程式安全風險與各種因素。這些風險可能涵蓋組態弱點、相依性管理缺陷、外部問題以及法規問題。您需要了解與您的應用程式如何處理及傳輸資料相關的實務、法律、法規與政策。

步驟 3：建立風險評估清冊

在識別出相關風險後，建立這些風險的清冊。此階段也應將您的應用程式與服務所使用的 API 納入考量。您還應決定哪些應用程式與風險具有較高優先順序，並為其指派適當的嚴重性等級。

步驟 4：分析與評估弱點

對您的整體網路基礎架構進行弱點評估。這包括掃描所有應用程式、系統與裝置，以找出駭客可能利用的潛在安全缺口。您可以利用自動化弱點掃描解決方案（例如 SentinelOne）來簡化此流程。安全專業人員也會進行手動測試，以識別自動化工具可能忽略的問題。通常建議結合兩者的優勢。

您也應尋找常見弱點，例如缺少修補程式、過時軟體、組態錯誤的系統，以及薄弱的驗證機制。SentinelOne 的進階威脅偵測能力可協助處理這些問題，並將您的弱點分類。

步驟 5：識別風險機率與影響

對於您納入的每一項風險，您都需要考量兩個關鍵因素：其發生的可能性，以及一旦發生時對您的業務造成的損害有多嚴重。您可以使用粗略的分級（低、中、高），或更精細的數值量表。

在判定影響時，請考量財務損失、營運中斷、資料外洩成本、監管罰款，以及聲譽損害。可能性與影響結合後，將能清楚呈現哪些風險需要立即處理。

步驟 6：計算風險評等

您需要結合可能性與影響的分數，為每項威脅制定整體風險評等。您可以使用風險矩陣來完成此事，將這兩個參數相互對照繪製。所得出的風險評等將使您能夠排定問題的優先順序，先處理最嚴重的問題。

高風險項目必須立即處理，而中風險項目可在合理時程內管理。低風險項目則可依據組織的風險承受度進行追蹤或接受。此評等系統可讓您將安全資源優先投入最能發揮效益之處。

步驟 7：制定風險回應策略

您可以從四種主要策略中選擇一種來降低每項風險：

• 接受風險（如果緩解成本高於可能造成的影響）
• 移除脆弱資產或程序以避免損害。
• 轉移風險（透過保險或第三方服務）

降低風險（透過實施控制措施來降低發生機率或影響程度）。對於大多數關鍵風險，您通常會選擇透過使用安全控制措施來進行緩解。您應建立詳細的回應計畫，並依據您的資源、技術能力與業務優先事項進行調整。

步驟 8：建立風險處置計畫

您需要制定整體風險管理計畫，並清楚說明您將如何處理每項風險。內容應包括：

• 每項風險的描述
• 您選擇的回應策略
• 將套用的具體控制措施
• 強調所需的資本與資源，包括負責的個人或團隊。
• 定義實施時程與成功指標

您的處置計畫將作為安全改善專案的範本。請確保其符合您的安全政策與業務目標。

步驟 9：套用安全控制措施

這些控制措施分為三大類：

• 預防性控制措施： 防止威脅發生（防火牆、存取控制、加密）
• 偵測性控制措施： 在威脅發生時偵測威脅（入侵偵測、日誌監控）
• 矯正性控制措施： 將損害降至最低，並執行資料備份以提供額外保護。

您的安全控制措施應讓您能夠在發生資料外洩事件時，回復未經授權的變更並還原為出廠設定。請徹底測試這些措施。

步驟 10：記錄您的評估結果

您應為整個風險評估流程與結果建立完整文件。這些文件將：

• 顯示您符合合規要求的證據，並突顯您的公司是否達成這些要求
• 協助向利害關係人傳達關鍵風險
• 為未來的網路風險評估建立基準
• 支援安全投資的決策制定

您的文件應包含評估範圍、所使用的方法、已識別的風險、風險評級、處置計畫，以及任何其他相關建議。請妥善保護這些文件，但僅限授權人員存取。

步驟 11：安全訓練與意識

安全訓練與意識對於維持組織持續性的安全至關重要。建立風險評估檢查清單很重要，但如果執行的人員未遵循或套用它，就不會有效。

您的安全水準將取決於團隊成員如何評估指標、衡量這些計畫的成效，以及執行檢查清單上的行動項目。因此，務必確認誰了解哪些內容、他們如何處理網路安全問題，並確保您的安全訓練已完成。在到職流程中納入強而有力的安全計畫，並定期測試您的員工。制定深入的訓練模組，並要求管理階層進行驗證。較低層級的風險可能需要依個案進行訓練，而處理較高層級的風險則會涉及或要求一定程度或比例的能力。

我們目前的網路安全風險評估檢查清單包含 11 個行動步驟。但有些組織可能會有 8 到 12 個步驟不等。這將取決於您組織的規模與範圍。我們製作的檢查清單是一般性指引。您可依需要自由自訂這些步驟。請根據您的特定需求加以修改並套用。

結論

現在您已了解未建立網路安全風險評估檢查清單的潛在陷阱，以及其背後涉及的內容，您可以開始著手建立新的清單。建立網路安全風險評估檢查清單，並執行安全稽核，以評估您組織目前的安全態勢。這將有助於您的組織找出合規缺口並處理潛在的政策違規。讓您的使用者參與其中、採取主動，並以對手的思維模式來思考。採取必要步驟，補強您在評估結果中識別出的安全漏洞與缺口。

如果您需要協助或不知道如何開始，請聯絡 SentinelOne。