現在，2023年是一張白紙。雖然過去幾年表明，永遠無法針對所有情況進行規劃，但了解當前的網絡安全挑戰可以為明年做好準備。

當知道地平線上可能發生什么時，就可以準備迎接未來的挑戰。可以制定預算，將資金分配給關鍵領域，并雇用具備應對預期威脅技能的員工。也許最重要的是，還可以開始培訓員工以防止常見攻擊。

許多安全專業人士已經注意到組織在 2023 年可能面臨的一些最大威脅。以下是 2023 年需要注意的四大網絡安全威脅，最重要的是，如何應對這些威脅。

1. 默默無聞的安全

大型全球企業和關鍵基礎設施組織知道他們是網絡安全罪犯的有吸引力的目標，并花費大量時間和金錢來降低這些風險。其他人很容易認為他們太小而不能成為目標。雖然這可能曾經是真的，但現在已經不是這樣了。事實上，大多數遭受網絡攻擊的企業都是中小型公司。勒索軟件攻擊現在關注的是企業將支付多少費用，而不是組織的規模。

認為自己不會被破壞的企業更有可能發現自己處于那種情況。當您認為自己沒有風險時，就不會投入資源、資金和培訓來保護業務。每個組織都應該假設成為網絡攻擊的受害者是“何時，而不是如果”的情況——然后做出業務決策以保持受到保護，無論規模或對網絡安全犯罪分子的感知價值如何。

2. 供應鏈攻擊

所有企業都依賴其他公司提供產品和服務。不幸的是，還繼承了供應鏈的每一個網絡安全風險和漏洞。雖然可以控制自己的基礎架構中發生的事情，但無法控制甚至無法了解供應商發生的事情。根據IBM 2022 年違規成本報告，所有違規行為中有 19% 是供應鏈攻擊。供應鏈妥協的平均成本為 446 萬美元，略高于違規的平均成本。

盡管存在這些挑戰，仍然可以采取措施保護自己。從對所有供應商進行網絡安全審計開始，以充分了解每個供應商的風險。在決定與供應商開展業務時，請考慮組織愿意接受的風險程度。接下來，可以使用零信任方法來限制供應鏈攻擊的損害。通過僅向供應商提供商業目的所需的訪問權限，可以限制可能的損害程度。例如，當使用微分段時，供應商及其產品只能訪問網絡的絕對最小部分。如果在軟件更新中提供惡意代碼，損害將僅限于基礎設施的那一小部分。

3.威脅行為者之間的協作

網絡罪犯不是單獨針對組織的個別團體，而是聯合起來。這意味著犯罪分子共享專業知識、資源和內幕知識。例如，勒索軟件即服務現已上市。一些團體正在出售他們的勒索軟件以獲取利潤，讓更多的犯罪分子能夠使用世界上最好的黑客工具。

人多力量大，網絡罪犯現在正在利用這一事實。這不是一個容易克服的挑戰。因此，組織需要將網絡安全作為首要業務優先事項。由于威脅行為者一起工作，逮捕和解散不會阻止團體重組或將他們的知識傳遞給其他人。隨著這些合作的繼續，威脅只會在數量和復雜性上增加。

4. 反應式網絡防御

過去，網絡安全側重于保護邊界，然后對攻擊做出反應。這種策略不再有效。通過混合和遠程工作，不再有固定的邊界需要防御。此外，攻擊的數量和復雜性不斷增加，幾乎不可能阻止所有威脅。仍處于被動模式的組織正在打一場必敗仗。

改變幾十年的思維方式和基礎架構并不容易，但是從被動方法轉變為主動方法有很多好處。有了這種心態，組織甚至可以在第一時間阻止許多攻擊的發生。使用零信任方法，可以減少無憑據或被盜憑據的用戶或設備訪問網絡。如果有人漏掉，可以顯著減少他們造成的損害。根據2022 年 IBM 數據泄露成本報告，沒有采用零信任方法的組織的平均數據泄露成本為 540 萬美元——比全球平均水平高出 100 萬美元以上。

期待2023

毫無疑問，2023 年將有自己的驚喜。將會出現我們可能看不到的新威脅、新技術和新業務挑戰。但是，當為大多數風險做好準備時，在意外發生時進行所需的更改會更容易。如果積極主動地計劃一切可能的事情，只會對意外情況做出反應。

一年的最后幾周很忙——真的很忙。但是，通過花時間審查當前的2023 年計劃并考慮弱點和風險，可以確保組織為2023年帶來的一切做好準備。

原文鏈接：https://securityintelligence.com/news/cyber-risks-2023-how-to-prepare/