網路安全策略：定義與實施

網路安全策略是一項結構化計畫，旨在保護公司的數位資產、基礎架構和聲譽，抵禦新興威脅。它可識別網路風險、實施安全控制措施，並制定有效的事件回應計畫以提供額外保護。同時也著重於治理與員工意識。

為什麼組織需要它？

組織需要網路安全策略，以避免高昂的財務損失並確保良好的法規遵循。良好的網路安全策略將有助於維持其業務聲譽並確保營運持續性。

為什麼網路安全策略很重要？

強大的網路安全策略對於保護您的敏感資料並防止財務損失非常重要。它可協助您防禦不斷演變且複雜的威脅。您可以防止未經授權的存取、規劃並避免停機，並減輕不可預見的資料外洩所帶來的巨大成本。您的公司也能從事件中快速復原，並更妥善地遵循 CCPA、GDPR 和 HIPAA 等資料保護法規。

透過納入良好的網路安全策略，您可以避免高額罰款、訴訟與法律責任，並長期維持客戶信任。您的企業將面臨來自新興威脅的各種風險。網路安全策略有助於使您的安全目標與業務目標保持一致，反之亦然，從而確保一切都維持在正確軌道上。

網路安全策略的關鍵組成要素

任何良好的網路安全策略若缺少適當的組成要素都不算完整。以下是您應該了解的網路安全策略關鍵組成要素：

1. 風險評估

• 識別資產：了解需要保護的關鍵系統、資料和資產。
• 威脅識別：分析組織容易受到哪些類型的威脅（例如：惡意軟體、網路釣魚、勒索軟體、內部威脅）。
• 風險評估：評估這些威脅對組織造成影響的可能性與衝擊。

2. 安全政策與程序

• 制定正式的安全政策，以定義應如何實施與維護安全措施。
• 建立事件回應程序，以處理資料外洩或網路攻擊。
• 確保政策符合法規與產業合規要求（例如：GDPR、HIPAA）。

3. 技術與工具

• 防火牆與入侵偵測系統（IDS/IPS）：實施周邊安全以監控並封鎖可疑流量。
• 加密：使用強式加密演算法保護靜態與傳輸中的資料。
• 存取控制與身分管理：透過多重要素驗證和以角色為基礎的存取控制，確保只有經授權的使用者才能存取敏感系統與資料。
• 反惡意軟體與端點安全：使用工具來防止並偵測端點裝置上的惡意軟體或可疑活動。

4. 安全意識與訓練

• 員工訓練：定期為員工舉辦有關最佳安全實務與辨識潛在網路威脅（例如網路釣魚攻擊）的訓練課程。
• 安全文化：培養網路安全意識文化，使安全成為組織內每個人的優先事項。

5. 監控與偵測

• 實施持續監控系統，以追蹤並分析網路流量、日誌和使用者活動。
• 使用安全資訊與事件管理（SIEM）工具，即時偵測異常、安全事件和資料外洩。

6. 事件回應與復原

• 建立事件回應計畫，概述發生網路事件時應採取的行動，包括溝通策略與遏制措施。
• 制定災難復原計畫，以便在資料外洩或攻擊後快速還原系統與資料，將停機時間與損失降至最低。

7. 合規與法律考量

• 確保您的網路安全策略符合必要的法律與法規要求，例如資料保護法和特定產業標準。
• 定期進行稽核以驗證合規性，並視需要更新政策。

8. 定期測試與更新

• 定期執行弱點評估與滲透測試，以識別系統中的弱點。
• 修補程式管理：確保軟體與系統定期更新，以防範已知弱點。
• 隨著新威脅與新技術出現，持續檢視並改進網路安全策略。

9. 協作與資訊分享

• 與其他組織和資安社群合作，分享新興威脅與最佳實務的相關資訊。
• 參與威脅情報網路，以領先掌握新風險。

10. 治理與領導支持

• 取得高階主管支持，以確保資安在領導層級被列為優先事項。
• 建立資安治理框架，以在整個組織中為資安工作指派角色、責任與當責。透過處理這些組成要素，資安策略可協助組織降低風險、減少網路攻擊的影響，並確保業務持續營運。

常見的資安框架

您不需要從零開始。資安框架可提供您現成可遵循的結構。它們可協助您識別風險、選擇控制措施，並向稽核人員證明您嚴肅看待安全。不同框架適用於不同的業務需求，以下是主要的幾種：

NIST

NIST 來自美國政府。它將安全劃分為五個高層級功能：識別、防護、偵測、回應與復原。即使您是小型公司，也可以使用 NIST。它不會強制您使用特定工具。

ISO 27001

ISO 27001 是國際標準。它要求您記錄政策並定期執行稽核。許多大型客戶與合作夥伴會詢問您是否擁有此認證。取得認證需要時間，但它能開啟更多機會。

Zero Trust

Zero Trust 顛覆了舊有模型。它不是信任您網路內部的使用者，而是預設不信任任何人。您要驗證每一個請求、每一台裝置與每一個人。如果您有雲端應用程式或遠端工作者，Zero Trust 會非常適用。

談到上述所有這些資安框架時，請記住您不必只選擇一種。許多公司會混合各框架的部分內容，或將它們結合起來，以符合其規模與預算。若要完整了解該如何選擇以及如何套用這些框架，請閱讀我們的 Cyber Security Framework 文章。

如何制定資安策略？

您無法在一夜之間建立資安策略。您需要一步一步建立。按照這個順序進行，您最終將得到一個真正有效的計畫。

定義業務目標

先從您的公司需要完成的事項開始。您是否處理客戶信用卡？儲存病患紀錄？管理遠端工作團隊？您的安全工作必須保護這些特定事項。寫下您的前三大業務目標。然後問：每個目標依賴哪些資料或系統？這會告訴您應該優先把焦點放在哪裡。

評估目前的安全態勢

檢視您已經擁有的項目，並確認您目前的安全狀態是否足夠。

列出您的防火牆、防毒軟體、備份系統以及任何監控工具。檢查它們是否已啟用且為最新狀態。檢閱您的政策，並在需要時更新或變更。

您是否在過去六個月內對員工進行過訓練？執行一次簡單稽核。您會發現有效的事項與無效的事項。請誠實面對這些缺口並加以改善。

識別缺口

比較您目前所在的位置與您需要達到的位置。您可能有防火牆，但沒有端點偵測。您可能有密碼政策，但沒有多重要素驗證。寫下每一項缺少的控制措施。也請記下像是舊版軟體或重複使用密碼的員工等弱點。如此一來，缺口清單就會成為您的待辦清單。

風險排序

您無法一次修復所有問題。因此請為您的缺口排序。沒有修補程式管理的對外公開 Web 伺服器屬於高風險。影響較低的內部試算表屬於低風險。優先修復那些一旦遭入侵會對您造成最大傷害的事項。使用簡單的分級：高、中、低。先從高開始。

實施控制措施

選擇一項高風險缺口並加以補強。安裝缺少的工具或更新過時的政策。執行訓練課程。不要試圖同時做十件事。部署一項控制措施、測試它，然後再進行下一項。記錄您變更了哪些內容。這些證明對後續稽核很重要。

持續改善

威脅不會停在原地等您。因此，如果您不提升安全性、不持續改善，或等到太晚才採取行動，您將會後悔。隨著客戶群成長，您的業務也會經歷許多變化，這表示新的攻擊機會也會出現。這就是為什麼您必須每季檢視一次您的策略。

每年執行一次新的風險評估。每次事件發生後，請問自己有哪些地方可以做得更好。更新您的缺口與優先順序。持續向前推進。這就是您保持安全的方法。

資安策略範例

您的資安策略會依據您所面對的情況而改變。以下是我們涵蓋的不同資安策略範例，供您參考：

企業策略

大多數大型企業會採用縱深防禦策略，並在全球且複雜的環境中遵循嚴格的法規遵循要求。他們會採用零信任安全架構，明確驗證每一個存取請求，並檢查每一個來源點（無論是在邊界內或邊界外）。

您也可以預期他們會使用 SIEM 解決方案進行 24/7 安全監控、彙整日誌，並透過安全營運中心 (SOC) 即時偵測異常。

大型企業會要求其供應商與第三方供應商接受嚴格的安全稽核，以防止供應鏈攻擊。他們也會使用集中式控制，透過 MFA 與 SSO 管理數千個以上的身分。

小型企業策略

小型企業在安全人力配置方面較為落後，因此其策略需求略有不同。他們更專注於高影響、低成本的安全衛生措施。

您可以預期會看到自動化軟體更新、使用企業級防火牆，以及有些企業會將工作外包給 MSP 和外部威脅獵捕等服務。SMB 也會每季進行網路釣魚模擬，以檢查員工的訓練與安全意識（因為他們扮演人為防火牆的角色）。他們也遵循 3-2-1 備份規則，也就是至少在兩種不同媒體類型上維護三份資料副本。其中一份副本會儲存在異地（雲端）。

雲端優先策略

Cloud First Strategy 是指您從第一天起就將所有應用程式與資料放置於 AWS、Azure 或 Google Cloud 等平台上的策略。在此模型下，您不需要管理實體伺服器。相反地，您會使用雲端原生安全控制措施。

保護身分將會是您的首要優先事項。使用 Identity Access Management (IAM) 搭配最小權限存取是關鍵。定期輪替金鑰也同樣重要。 Multi-Factor Authentication 應為所有管理員帳戶啟用。

大多數雲端外洩事件都是因設定錯誤而發生。因此，持續掃描您的儲存貯體、資料庫與安全群組是否存在開放權限至關重要。請將這些掃描自動化，並立即修正您識別出的問題。

除了持續掃描您的環境之外，您還會想要設定持續監控。請務必為異常 API 呼叫、來自新地點的未識別登入嘗試等情況設定自動化警示。

需要處理的常見資安威脅

常見的資安威脅此刻仍在持續演變。以下是您現在應該處理的四大主要威脅：

惡意軟體

您會看到 malware-as-a-service（在暗網上販售的預先建置惡意軟體套件），由低技術門檻的攻擊者發動。它們可能升級，甚至在之後展開更進階的威脅活動。無檔案惡意軟體是另一種類型，可在您系統的記憶體中運作並潛伏。這類威脅對傳統防毒解決方案而言是不可見的。資訊竊取程式是惡意軟體型資料外洩的最大驅動因素，目標包括已儲存的密碼、工作階段權杖，以及您的瀏覽器資料。

網路釣魚

網路釣魚攻擊會誘騙您的人員交出密碼或點擊惡意連結。攻擊者會寄送看起來像是來自您的銀行、主管或軟體供應商的電子郵件。一次錯誤點擊就可能安裝惡意軟體，或洩露登入憑證。

您會看到兩種常見類型。魚叉式網路釣魚會以客製化細節鎖定特定員工。鯨釣則鎖定高階主管。兩者之所以有效，是因為它們利用信任與急迫感。訓練您的員工檢查寄件者地址，並在點擊前將滑鼠懸停於連結上查看。執行模擬網路釣魚演練。失敗的人需要更多訓練，而不是懲罰。

內部威脅

您自己的員工可能會造成資料外洩，無論是故意還是意外。不滿的員工可能會在離職前竊取客戶資料。粗心的員工可能會把檔案寄給錯誤的人，或把筆電留在車上。

您需要留意異常行為。是否有人在凌晨 2 點下載數千筆記錄？列印他們平常從不列印的敏感文件？存取超出其職務角色的資料夾？請為這些行為設定警示。也要落實最小權限存取。只提供人員實際執行工作所需的資料。這樣一來，內部人員失誤或帳號遭竊所造成的損害就會更小。

勒索軟體

勒索軟體 會鎖住您的檔案，並要求付款才能取回。攻擊者通常透過網路釣魚或未修補的軟體入侵。一旦進入後，他們會在您的網路中擴散，並加密找到的一切。

您會看到兩種主要變體。一種會鎖定您的螢幕。另一種會加密您的檔案並留下勒索訊息。付款並不能保證您能取回資料。有些攻擊者拿了錢就消失。您最好的防禦是離線備份。保留一份勒索軟體無法觸及的資料副本。也要快速修補您的系統。許多勒索軟體攻擊利用的是已知漏洞，而這些漏洞其實早已有可用修補程式。

資安策略最佳實務

您可以建立穩固的資安策略，但若沒有正確的習慣，它仍會失敗。以下四項資安策略最佳實務可讓您的安全措施持續運作，並協助其長期維持成效：

定期風險評估

您無法保護未追蹤的事物。請至少每年執行一次 風險評估。檢視您的系統、資料和使用者存取權限。詢問自上次評估以來有哪些變化。新軟體？新員工？新的客戶所在地？每一項變化都會增加風險。

不要讓評估變成冗長的紙上作業。聚焦於對您傷害最大的事項：客戶資料庫、財務系統和關鍵營運。將每項風險分級為高、中或低。然後利用該清單決定下一筆安全預算應花在哪裡。風險評估不是一次性的專案。每當您的業務發生變化時，您都需要重複進行。

員工訓練

您的人員不是阻止攻擊，就是造成攻擊。所以請像您的業務仰賴它一樣訓練他們。每季進行簡短的訓練課程。展示真實的網路釣魚範例。教導他們透過電話或當面確認非預期的要求。

不要只是說教。執行模擬網路釣魚活動。寄送誘捕郵件，看看誰會點擊。這些員工需要更多訓練，而不是懲罰。也要教導他們如何回報真實威脅。讓回報變得容易，並給予獎勵。能發現網路釣魚郵件並通知 IT 的員工，能讓您避免可能的資料外洩。訓練只有在您重複進行並讓它具實務性時才有效，而不是交給某人一份冗長文件讓他閱讀。

強化存取控制

不要讓每個人都能存取所有內容。使用最小權限原則。會計人員不需要客戶醫療紀錄。行銷人員不需要伺服器日誌。先從檢查誰擁有管理員權限開始。您會發現人數太多。

盡可能在所有地方啟用多重要素驗證。電子郵件、VPN、雲端應用程式，甚至您的備份系統。單靠密碼是不夠的。攻擊者每天都在竊取密碼。即使他們取得您的登入資訊，MFA 仍能阻止他們。

也要清理舊帳號。當有人離開您的公司時，請在 24 小時內移除其存取權限。仍然有效的前員工帳號是重大風險。使用集中式身分識別系統來管理這一切。如此一來，您就能從單一位置新增、變更或移除存取權限。

持續監控

假設攻擊者終究會入侵。您需要在他們入侵時看見他們。在您的網路、伺服器和雲端帳號上設定監控。收集來自防火牆、防毒軟體和使用者登入的日誌。

您不需要一開始就建立龐大的安全營運中心。使用能對異常活動發出警示的簡單工具即可。凌晨 3 點來自新國家的登入。某位使用者下載數千個檔案。某台伺服器與已知惡意位址通訊。這些警示會告訴您該查看哪裡。

每天檢查您的警示。如果您無法在內部做到這點，請聘請受管服務。您最不該做的事，就是收集日誌卻從不檢閱。只有當確實有人監看資料並回應其發現時，監控才會發揮作用。也要測試您的監控。自行執行一次模擬攻擊，看看您的系統是否能偵測到。如果不能，就修補這個缺口。

大型企業與小型企業的資安比較

以下是大型企業與小型企業資安策略的比較方式。請看：

SentinelOne 如何支援網路安全策略

SentinelOne 的 Singularity™ Platform 是希望建立強大且可靠網路安全策略之企業的絕佳起點與資產。 

SentinelOne 的行為式 AI 能夠偵測無檔案攻擊、緩解勒索軟體，並提供機器速度的回應。它可以立即終止惡意程序、隔離主機，並偵測攻擊者在供應鏈中部署的進階技術，以加以封鎖並阻止。行為式 AI 能夠追蹤核心層級活動、記憶體使用情況以及程序關係，以發現異常。它也具備其專利 Storyline 技術，可將相關事件串接成單一的視覺化敘事。您可以查看完整的攻擊鏈，然後利用這些洞察相應地設計您的網路安全策略。

Singularity™ Hyperautomation 提供可依據您的企業需求量身打造的自訂自動化工作流程，並且可與任何 SaaS 應用程式整合。您可取得超過 100+ 個預建整合，將工作流程連接至關鍵工具。您可以在無程式碼畫布中設計、測試及部署工作流程，這表示您不需要任何程式設計經驗即可使用。使用它來自動化分流、調查與回應流程，以降低警示與曝險量，並快速大規模執行安全工作流程。

Singularity™ Cloud Security 是一個無代理程式的 CNAPP，將 CWPP、CDR 和 CSPM 整合至單一平台。它使用 Offensive Security Engine™ 模擬攻擊者方法，以找出 Verified Exploit Paths™。您可獲得秘密掃描、基礎架構即程式碼掃描，以及弱點管理，而無需同時處理多種工具。SentinelOne 擁有 ISO 27001:2022 認證，您可以使用其解決方案自動化合規報告，並將控制項對應至 NIST CSF、SOC 2 和 PCI DSS 等框架。

Purple AI 可作為世界級的生成式 AI 網路安全分析師，能透過自然語言查詢執行深入的安全調查，並擴展自主防護。您可以在整個安全堆疊中實現最廣泛的可視性、分析原生與第三方資料，並將零散資料轉化為更快速的洞察與行動。 Purple AI 也能加速威脅狩獵流程，並可執行後續查詢。

Prompt Security by SentinelOne 處理的是 LLM 這一面。如果您的企業正在使用 AI 工具，它可以確保 AI 合規並防止未經授權的代理式動作、封鎖惡意提示，並防止 AI 安全攻擊。您也可以使用 SentinelOne 的身分安全 解決方案，在所有雲端環境中強制執行最小權限存取，並進行憑證濫用監控。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

您採用或建立的網路安全策略類型，將取決於您的組織或企業規模。簡而言之，無論您是 SMB 還是大型企業，我們的指南都涵蓋了對您有價值的內容！現在，當涉及安全工具時，您應該知道該從何處著手，並根據您的預算與獨特業務需求來規劃網路安全策略。也別忘了您的客戶，在最終定案之前，先了解他們對您的期望。

祝您好運，如果您需要更多協助，請務必聯絡 SentinelOne 團隊！我們很樂意提供協助。