评估IT风险：企业保护的策略、框架与最佳实践
Trustwave的Michael Aminzade
实现完美抵御网络犯罪近乎不可能，但系统化IT风险评估给组织提供对抗攻击的最佳防线。
威胁形势持续变化，优先开展针对独特挑战的风险管理审查至关重要。
“一旦识别最大风险，即可开始实施针对特定需求的最优安全级别，”Trustwave全球合规与风险服务副总裁Michael Aminzade说。
执行全面信息安全风险评估揭示最关键缺口，使您能制定针对性缓解计划。开始前必须理解业务目标、识别潜在威胁、评估妥协可能性、量化损失影响。通过深度访谈让高管、IT管理员、利益相关者参与，确保组织所有层面安全缺口被评估。
经典CIA三要素——机密性、完整性、可用性——作为网络安全评估基础指南。三者平衡具挑战；过度强调可用性会侵蚀机密性与完整性，过度聚焦机密性或完整性会削弱可用性。
完成评估后，确定哪些安全控制最佳缓解业务风险。这些控制典型融合技术、政策、流程、程序。
风险评估框架
进行安全风险评估可从几个成熟框架选择。五大最广采用为ISO 27000系列、OCTAVE、COBIT、NIST 800-53、NIST网络安全框架（CSF）。NIST作为美国商务部机构，提供免费指导文档使CSF成全球企业、教育机构、政府机构首选。
CSF围绕三组件构建：框架概况、框架核心、实施层级。其灵活性允许与其他风险管理流程（如ISO标准）并行，且适用美国外组织。
NIST 800-53支持符合美国联邦信息处理标准（FIPS），早于CSF。提供控制有效性证据、风险管理质量洞察、信息系统优劣势信息。
最佳实践
网络犯罪商业化推动许多组织超越合规走向全面风险缓解和数据保护策略。现代风险评估方法现覆盖整个供应链，含第三方供应商对内部系统访问。
BYOD趋势加剧强健端点安全需求和对端点如何影响组织风险概况的深度理解。鉴于此额外复杂性，与托管安全服务提供商（MSSP）合作极具价值。其深厚专长助您保护扩展网络版图。
开发风险评估模型需高管买单。高管须接受固有风险或承诺符合组织容忍度的补救计划。理想情况下CISO或CIO监督评估时间表、发现、补救计划，并定期向执行团队汇报。全体员工共担组织安全责任。
培训应涵盖识别恶意邮件等威胁、上报疑似事件程序。完美安全虽不可得，目标是达成适合您业务的最优安全水平。
建立风险框架并开展IT风险评估识别组织适当安全级别。一旦弱点识别即可修复，保护业务。
结合风险评估与安全成熟度评价，使组织能构建战略投资路线图并向利益相关者展示ROI。
本博客作者为Trustwave全球合规与风险服务副总裁Michael Aminzade
物联网技术