伴随着新技术的飞速发展，网络威胁的复杂度持续提升。网络威胁危害各种各样范围的公司，必须经营者们(CEO)和其它高級管理者的关心和参加。为了更好地协助企业掌握她们的风险并为网络威胁做好充分的准备，老总们应与其说领导干部探讨重要的网络安全风险管理方法主题风格，并执行网络安全出色实践活动。
本文本文档中列举的出色实践活动是以事情回应主题活动和互联网风险管理方法中抽取的成功经验选编而成的。
老总们应当掌握企业遭遇的网络安全威胁吗?
老总们需要就潜在性的网络安全威胁明确提出下列问题：
- 网络安全威胁怎样直接影响公司的不一样职责，包含供应链管理、公关、会计和人力资源管理等行业?
- 什么种类的核心信息内容有可能会遗失(例如，商业机密、客户资料、科学研究、个人信息信息内容)?
- 我的公司怎样创建长期性延展性以最大限度地减少网络安全风险?
- 我的公司进行了怎样的网络威胁资源共享?我的公司与谁互换这种信息内容?
- 我的公司可以选用什么种类的资源共享实践活动来协助在公司所在的不一样网络安全团体之间创建小区?
老总们可以采用什么对策来减轻网络安全威胁?
下列问题将协助 老总们具体指导与高管探讨网络安全风险：
- 将网络安全威胁通告行政部门领导阶层的门坎多少钱?
- 企业当前的网络安全风险水准怎样?
- 现阶段的网络安全风险水准对公司的工作很有可能造成那些危害?
- 有哪些计划来解决已鉴别的风险?
- 职工可以得到什么网络安全学习培训?
- 采用了什么对策来缓解内部结构威胁?
- 网络安全计划怎样运用国家标准和最佳实践?
- 网络安全计划指标值是不是可考量且更有意义?
- 网络安全事情回应计划及其业务连续性和灾祸修复计划有多全方位?
- 多长时间实行一次计划?
- 计划是包括全部企业或是仅限信息科技 (IT)?
- 公司是不是准备好与联邦政府、州和当地政府互联网事情响应者和调研工作人员及其合同书响应者和经销商小区协作?(这方面在中国考虑到网信办、公安机关、信息保密等监督机构创建联动机制)？
强烈推荐的机构网络安全出色实践活动
下边列举的网络安全最佳实践可以协助组织协调网络安全风险。
(1) 将网络安全风险管理方法探讨提高至企业老总们和领导干部精英团队。
- 管理层应由上而下制订现行政策，以保证每个人有权利实行与其说在减少网络安全风险层面的人物角色有关的每日任务。由上而下的对策界定人物角色并限定很有可能危害 IT 安全性的政治斗争。
- 老总们和企业高級领导阶层参加界定机构的风险发展战略和可接纳的风险水准针对全方位的网络安全风险计划尤为重要。在总裁网络信息安全官、首席信息官和全部领导干部精英团队的帮助下，企业老总们应当保证了解这些人的单位怎样危害企业的总体互联网风险。除此之外，与企业股东会就这种风险管理决策开展按时探讨可保证全部企业领导者都能见到。
(2) 执行国家标准和最佳实践，而不是只是依靠合规规范或验证。
- 根据执行领域标准和最佳实践(例如，遵循网络安全核心等机构的最佳实践)来减少网络安全风险。机构应订制最佳实践，以保证他们与其说特殊测试用例有关。
- 遵循一致的最佳实践来创建预估企业网络个人行为的机构基准线。这使机构可以积极解决网络安全威胁，而不是耗费資源来“救火”。
- 合规管理规范和政策法规(例如，联邦政府网络信息安全智能化法令)给予了最少规定的具体指导;殊不知，也有大量的公司可以用来超过规定。
(3) 评定和管理方法特殊于机构的网络安全风险。
- 明确机构的重要财产及其网络安全威胁对这种财产的有关危害，以掌握机构的特殊风险存放同业——不论是会计、市场竞争、信誉或是管控。风险评定结论是明确和择优考虑到特殊保障措施、资源分配、为长线投资给予信息内容及其制订管理方法网络安全风险的现行政策和战略性的重要键入。
- 明确提出必需的问题，以掌握安全性整体规划、经营和安全性有关总体目标。例如，最好是根据执行总体安全管理而不是了解特殊的安全管理、保障措施和防范措施来关心机构将完成的总体目标。
- 将互联网公司风险探讨集中化在“假定”状况上，遏制“这儿不太可能产生”的思维方式。
- 建立一个可反复的步骤，对职工开展交叉式学习培训，将风险和事件管理方法做为一种规章制度实践活动。通常，仅有极少数职工在重要行业具备主题风格专业技能。
(4) 保证网络安全风险指标值更有意义且可考量。
- 一个有效指标值的实例是机构修复全部公司的主要系统漏洞需要的時间。在这个事例中，降低修复系统漏洞需要的日数立即减少了安排的风险。
- 一个不太有效的指标值的实例是安全运营核心 (SOC) 在一周内受到的报警总数。SOC 接受到的报警总数自变量过多，没法持续保持关联性。
(5) 为事情回应、业务连续性和灾祸修复制订和执行网络安全计划和程序流程。
- 机构在所有结构中检测其事情回应计划尤为重要，而不仅是在 IT 自然环境中。机构的每一个部位都应当了解怎么看待基本上和规模性的网络安全事情。检测事情回应计划和程序流程有利于避免事情更新。
- 事情回应计划应给予相关什么时候将事情提高到下一级领导阶层的标示。按时实行事情回应计划使机构可以快速响应事情并将危害降至最少。
(6) 吸引高质量的人力资本。
- 网络安全专用工具的优劣在于查询专用工具結果的人。有着能为机构明确适合设备的工作人员也很重要。学习培训繁杂机构的企业网络很有可能要大量的時间，因而吸引专业技术人员与获得她们一样关键。阻拦全部网络安全威胁沒有极致的回答，但学识渊博的 IT 工作人员针对减少网络安全风险尤为重要。
- 新的网络安全威胁持续发生。委托检验网络安全威胁的工作人员必须不断学习培训。培训提升了工作人员检验网络安全威胁并以合乎领域最佳实践的方法解决威胁的概率。
- 保证有适度的计划来处理与缓解网络安全风险有关的附加劳动量。
- 网络安全已经变成一门以目标为向导的宣布课程，必须与重要专业知识、专业技能和工作能力维持相应的一致性。在技术领先的网络安全岗位和科学研究(NICCS)是人力资源规划的有效資源。
(7) 维持对网络安全威胁的入侵检测。
- 定阅相关新起网络安全威胁的通告(例如，国家网络观念系统软件商品、MITRE 普遍系统漏洞曝露、CERT 融洽核心系统漏洞表明)。假如很有可能，建立一份有关机构近期遭遇的网络安全威胁(例如，钓鱼攻击电子邮箱、恶意程序、勒索病毒)的引言，以分发送给 IT 单位之外的工作人员，以协助加强她们在减少网络安全风险层面的功效。
- 探寻可以用的兴趣社区。这种很有可能包含特殊单位的资源共享和剖析核心、土地信息内容分享网络或别的政府部门和情报信息计划。