企业越来越依赖并且受益于新兴技术，以提供更好的服务质量，改变他们与员工和客户之间的协作及互动方式。企业数据正在向多云环境转移，而容器的采用有助于快速、敏捷地开发应用。物联网设备和传感器为企业提供了大量有用的数据，有助于及时准确地做出决策。
威胁趋势不断扩展
然而，并不只有企业受益于这项技术。犯罪分子也在效仿。根据 Verizon DBIR 2020报告显示，约24%的泄露事件涉及云资产。这与其说是对云安全的控诉，不如说是说明了网络犯罪分子寻找最快捷、最简单的途径来对付受害者的趋势。容器化环境也受到威胁： 使用容器的94%的组织在其容器环境中遇到了严重的安全问题。
IBM X-Force威胁情报2020报告显示，预计在2020年有超过380亿台设备连接到互联网，物联网威胁格局已经逐渐形成为可以影响消费者和企业级运营的威胁载体之一。IBM X-Force研究追踪到，2019年多个Mirai恶意软件活动已经从针对消费电子产品转向针对企业级硬件。具有网络接入的受损设备可以被攻击者用作潜在的枢纽点，试图在组织中建立立足点。
毋庸置疑，网络安全组织必须应对越来越多、越来越复杂的攻击面。当被问及如何评价他们组织抵御网络威胁的能力时，CyberEdge 2020年网络威胁防御报告的大多数受访者表示他们对自己直接控制的、最容易监控、打补丁和补救的资产最有信心。这些包括物理和虚拟服务器、数据库、网站和网络应用。不足为奇的是，IT专业人士关注的大多是那些相对较新的IT组件，比如容器，或者是老旧的、没有考虑到网络安全设计的组件，如工业控制系统和SCADA设备。
IBM X-Force的数据与后者一致。IBM报告显示，自2018年以来，威胁行为者针对工业控制系统（ICS）和类似运营技术（OT）资产的事件增加了2000%以上。IT/OT基础设施的融合，以及广泛使用物联网设备来聚合OT世界的数据，使得IT和物联网违规行为可以针对控制物理资产的OT设备，从而大大增加恢复成本。
系统脆弱导致的数据泄露会极大地损害品牌声誉，破坏客户信任。然而，企业可以采用安全最佳实践来保护自己的资产。
强大的访问控制
面对现实吧。使用所有这些技术使传统的周边安全变得过时了。如今，身份是新的周边。因此，重要的是要设置并正确配置和执行政策，来控制谁可以访问哪个位置的什么资产，访问多长时间以及为什么目的。还有一点也很重要，要确保请求访问资产的人身份属实。任何身份和访问管理（IAM）控制的首要目的是保护资产的机密性、完整性和可用性。
多因素认证(MFA)和单点登录(SSO)的使用必须被视为每个组织访问管理的基石。虽然MFA提供了更强的用户认证，但在混合环境下，是SSO消除了用户访问多个平台和系统的负担。MFA和SSO的结合提供了无缝的认证体验，消除了使用多个密码访问企业资源的摩擦。
除了MFA和SSO之外，组织还需要采用两个访问管理概念：最低权限访问和自适应认证。应用最低权限原则确保个人只能用最低限度的方式来访问他们有权访问的资产，无论是内部部署、容器还是基于云的资产。对信息进行分段，并只允许基于角色的访问，可显著改善您的资产安全态势。
最后，用户访问的认证和授权不应该是一个一次性的过程。随着员工的移动和账户接管攻击的增加，认证过程应该是一个适应性的过程。能够监控用户环境，并提供阶梯式、基于风险的认证，可以强化认证过程，减轻中间人攻击。
网络分段
虽然网络犯罪分子对我们的个人数据和凭证情有独钟，但当涉及到关键基础设施时，比如医疗健康或工业控制组织，他们更喜欢进行破坏性操作，比如DDoS攻击。对可用性和可靠性的影响与未经授权的访问或披露所造成的保密性和完整性损害一样令人担忧。
此外，威胁情报显示，网络犯罪分子利用窃取或泄露的凭证作为第一步，在企业网络上建立立足点，然后通过横向移动所有资产进行监控操作。因此，要让他们举步维艰。选择合适的网络架构势在必行，最好的做法是进行网络分段。
网络分段策略有许多优点。除了提高性能和减少通信问题外，分段式网络对改善整体安全态势大有裨益。未分段的网络被认为是扁平的，这意味着所有的设备，无论是在内部还是在云端或容器中，都可以通过网络访问。
分段通过限制攻击的传播范围来提高网络安全。例如，分段可以遏制恶意软件在某一部门的爆发，而不会影响组织其他部门的系统。此外，分段式网络可以阻止有害流量到达无法保护自己免受攻击的设备。例如，医院的联网输液泵可能没有设计先进的安全防御系统。网络分段可以阻止有害的互联网流量到达那里。最后，通过限制范围内系统的数量，分段可以降低与监管合规相关的成本。这样一来，昂贵的合规要求和审计流程只适用于范围内的系统，而不是整个网络。
CISSP认证如何助您成功？
对任何信息安全专业人员来说，驾驭复杂的道德规范都是一项艰巨的任务。 但是，持有CISSP认证的人已经证明并证实了其对维护道德标准的承诺。 当一个组织需要专业的安全能力时，它们可以依靠那些拥有CISSP认证的人，因为他们拥有广泛的知识和经验，而不仅局限于信息安全。
CISSP是有经验的安全从业人员、经理和执行人员的理想选择，能够证明自己在广泛的安全实践和原则方面的知识，包括以下职位的人员：安全总监、安全系统工程师或安全分析师。
ISC2是第一个符合美国国家标准协会(ANSI)ISO/IEC标准17024要求的信息安全认证机构，CISSP认证已符合美国国防部(DoD)8570.1指令。
想了解更多CISSP详情，请阅读我们的白皮书，了解成为合格的网络安全专家的重要性。