面对紧张的预算和资源，企业组织的安全措施有限。因此，企业组织需要根据战略目标优先考虑安全措施。但实际上，由于许多原因，企业组织的整体安全目标并不明确。在这种情况下，企业组织可以尝试“日拱一卒”，分阶段制定局部目标。
2021年CISO(首席信息安全官)要注意的五个工作目标:
创建网络钓鱼防范计划
无线通信公司Verizon在其DBIR 2021数据泄露报告中指出，网络钓鱼仍然是网络攻击最常用的手段，在2020年甚至更为流行，占攻击事件的36%。远高于一年前的25%，这一增长反映了2020年上半年与新冠肺炎疫情相关网络钓鱼诱饵的涌入。面对网络钓鱼攻击的日益增长，CISO其他安全专业人员需要优先创建反网络钓鱼程序。
在线钓鱼攻击将向业务人员发送虚假的真实信息，并使用心理战术创造紧迫感，以促进收件人点击。因此，企业组织需要对员工进行在线钓鱼教育，以确保从人力资源、法律到研发部门的每个人都知道要找到的危险信号，如何报告可疑信息，避免单击链接或打开在线钓鱼电子邮件中包含的文件。
重新审视漏洞管理
Verizon在其DBIR 2021年发现，涉及旧漏洞的攻击比利用更新漏洞更为常见。造成这种趋势的部分原因是，企业组织并不总是优先考虑修复。如果不能及时修复漏洞，攻击者可以连续几年使用相同的漏洞进行攻击和破坏。
企业组织可以通过漏洞管理(VM)、漏洞扫描(通常是指CVE漏洞列表或“常见的漏洞和暴露”扫描)应对这一趋势，然后根据风险对这些漏洞进行严重性和修复优先级。
企业组织实施VM该程序的一个困难是首先要缓解哪些漏洞。当漏洞积累时，企业组织可能会挑战判断哪些漏洞最严重，具有潜在的破坏性。企业组织可以选择使用先进的VM解决方案，提供灵活、精细的评分系统，优先考虑已知缺陷。
加强云上资产保护
20212000年，外部云资产的安全事件比内部资产更为常见。这意味着企业组织需要了解其云安全责任。虽然云安全提供商将保护企业组织使用的云基础设施，但企业组织仍有责任确保云中添加的所有数据和流程的安全。
高级云账户监控网络安全工具可以扫描企业组织云账户中的错误配置，因为这些错误配置可能成为攻击者的窗口。云监控工具可以优先考虑云账户的错误配置，以便安全团队能够解决最关键的问题。
优先考虑工业网络安全
根据Verizon年度安全报告、工业环境，特别是制造环境，已成为攻击者的热门目标。事实上，研究人员发现，勒索软件对制造业漏洞的恶意使用比几年前增加了61.2%.报告还发现，个人数据是这些攻击中受损最严重的数据类型。
企业组织可以优先考虑工业网络安全。例如，安全团可以专注于实施工业可见性解决方案来保护运营(OT)环境 。可见性始于整体资产清单，安全团队可以通过完整的硬件和软件资产清单准确显示网络上的各种资产。
企业组织需要知道这些设备与谁通信，设备配置是否在变化，以及存在哪些漏洞，并了解日志中隐藏的问题。企业组织一旦实现工业网络安全的实时可见性，就可以实施保护性安全控制，不断监控企业组织的网络环境。
使用CIS控件
Verizon报告中曾表示，“‘夯实基础’它将有助于解决绝大多数最有可能影响企业组织的安全问题。” 而这个“基础”其中一个重要组成部分是CIS(全称Clever Internet Suite)控件，CIS为软件开发者提供一套控件Internet网络开发开发。由互联网安全中心维护CIS最佳实践优先级列表是一个免费的、受人尊敬的框架，企业组织可以使用它来确保最重要的安全控制。
CIS安全控制将企业组织的数字环境视为房屋。如果没有基本的安全措施，任何人都可以进入。企业组织遵守基本的安全控制，特别是在CIS Controls v8 实施组1中列出的可以帮助他们关闭窗户，锁上门，安装标准的安全系统。虽然攻击者闯入的可能性没有完全消除，但实施了CIS控制有助于降低攻击的可能性和影响。
【本文是51CTO专栏作者“安全牛”请通过安全牛(微信微信官方账号)转载原创文章id:gooann-sectv）获取授权】
戳这里，看作者更好的文章