目前，公司在网络安全方面的支出比以往任何时候都要多。虽然有很多新的安全系统，但它们仍然很容易受到攻击。这些攻击不仅越来越多，而且对组织造成了更大的财产和业务损失。
由于公司以错误的方式对待网络安全，我相信这种情况正在发生。
虽然逻辑表明，公司在网络安全系统上的成本越高，保护就越好，但两者之间没有相关性。更重要的是，增加网络安全支出通常会产生意想不到的安全感。
为了真正保护自己，组织需要摆脱这样一个概念，即他们花的钱越多，他们实施的安全系统就越多，他们得到的保护就越好。真正的安全来自于像黑客一样对待 IT 系统严格保护这些系统最脆弱的点（对渗透者最有吸引力的点）。组织可以通过考虑黑客最有可能使用的策略来保护他们最重要的资产。
对许多组织来说，这需要调整视角并重新考虑“安全”对他们的意义。这些步骤非常重要：
1. 数字资产的分析和优先考虑
最好的防御始于从业务角度分析组织的资产和攻击的潜在成本。例如，当一个网站从备份中恢复（当客户抱怨缺乏社交媒体访问权限时）时，攻击使组织离线几个小时，这是一种需要大量努力的攻击。同时，没有必要担心包含未使用或旧应用程序的服务器的危害。
如果一个组织的资源有限，很明显这些资源应该分配到哪里。因此，基于其对业务的重要性和价值，应首先保护哪些资产的决定。这些是组织的领导者，而不仅仅是他们的 IT 团队需要做出决定。
2. 像黑客一样思考
了解黑客的心理至关重要。黑客寻找最高质量的资产，以提供最低水平的抵抗力。如果他们在包含客户数据或知识产权的服务器上发现“明显的”如果配置错误，他们会攻击服务器，很可能会成功。
为了防止攻击，组织需要使用大部分安全工作、资源和预算来保护服务器，并设置更多的障碍来访问它。攻击具有多个防御层的服务器需要更多的工作，因此黑客更有可能专注于更容易的目标。该组织的首要任务必须是为关键资产设置防御措施，以便黑客将注意力转移到其他地方。
3. 不断检讨调整
“花钱防御”态度的一个弱点是，安全系统倾向于相信组织花了很多钱来解决问题。然而，威胁正在不断发展，许多现有的安全系统还没有测试它们是否能击败它们。
许多网络安全计划没有考虑应该进行修改和定期实施的事实。一个好的安全计划需要不断的审查和更新。大多数组织计划和实施长期计划并没有内置的敏捷性和灵活性，需要不断更新。这必须改变。
鉴于今天的 IT 系统的规模和影响范围，即使是最有能力的安全团队也无法涵盖每一个漏洞目标。扔钱不能解决问题；为了保护自己，公司需要明智地花钱，最大限度地提高网络安全投资的效率，以确保其关键资产得到尽可能好的保护。