如果您的安全计划仅侧重于事件响应，那您就做错了。

本文的一个版本曾作为专题文章发表于福布斯技术委员会。本文经更新后在此转载。

‍

没有什么比遭遇数据泄露更糟糕的了。起初可能是否认，随后便是恐慌。当所有的抱怨都发泄完毕，首席信息安全官（CISO）不得不与公关部门进行凌晨两点的电话会议后，就该卷起袖子开始工作了：加固端点和系统，并迅速消除任何潜在的攻击向量。说实话，这绝非易事。

然而，这是许多组织未来终将面对的现实，因此必须制定全面的网络安全事件响应计划以做好准备。但问题在于，许多组织将大量的时间、资源和精力都集中在这种反应性策略上，而不是在事前预防或降低网络攻击的潜在严重性。这就像是心脏病发作后才叫救护车；其结果往往远不如在为时已晚之前采取预防性健康措施那样理想，更不用说造成的损害也更大。

为此，预防性计划应该是什么样的？让我们探讨一下安全专业人员如何利用手中所有的工具，每天来降低日益增长的网络风险：

明确未来的工作范围

这似乎显而易见，但降低网络风险的“正确”计划在不同行业间确实存在细微差别，因此必须预先明确达成预期目标所需的内容。

目前存在哪些安全问题？它们占用了多少时间和资源？其中有多少是反复出现的问题？这些都是重要的考量因素，将为您提供一个基础的起点。考虑需要填补的角色、工具方面的缺口，以及在专业知识和工具层面需要什么，以便在防范其他潜在风险领域的同时，加固端点并减少攻击面。

一份最新报告显示，在过去一年中，有十一个行业每天至少有一半的应用程序存在严重漏洞。特别是公用事业、公共管理和专业服务行业，修复已知漏洞平均需要288天。这速度慢得惊人，如果攻击者在补丁应用之前发现了这些漏洞，就有足够的时间造成严重破坏。再加上组织遭遇数据泄露的可能性接近30%，这无疑是一个清醒的提醒：仅靠事件反应是不够的，仅仅为了应对大规模网络攻击的影响而祈祷好运，代价实在太高了。

准备好为文化变革争取支持

打破现状往往会引起一些质疑，但事实是，安全计划应该处于持续改进的状态。每一个组件都应保持相关性，并对新的发展进行评估和考量。

在安全团队之外，人们可能并不太理解为何要采取预防性而非反应性的策略，尤其是在尚未发生重大安全事故的情况下。这可能会被视为“没坏就不用修”。在这种情况下，获得高层的支持至关重要。以下是他们需要考虑的一些关键点：

• 与重大事故的潜在成本相比，预防性措施（如基于角色的培训和相关工具）所节省的时间和成本
• 发现并修复漏洞如何确保发布按时完成，并减少安全团队带来的阻碍
• 为何从开发团队到发布阶段全程准备并预判潜在安全风险，总体上能节省更多时间（更不用说巨额资金）。从长远来看，在测试阶段——或者更糟，在生产后——发现的后期漏洞平均可使成本增加高达3000%。
  

至关重要的是，提议的文化变革必须与业务目标保持一致，即使起初看起来有些不适。

安全意识固然重要，但安全技能才是根本

作为行业从业者，我们经常谈论安全意识的重要性，这对组织中的每一位员工来说都是一个日益关键的组成部分。然而，仅仅停留在口头承诺和被动培训上是不够的，尤其是对于技术岗位人员而言。

简而言之，任何接触代码的人，如果缺乏安全编码的技能，都可能成为潜在的安全风险。对基本安全参数的普遍认识是一个良好的开端，但如果没有关于良好、安全编码模式的背景知识，不良习惯就会占上风，而攻击者正是利用这种开发技能的匮乏来实施他们的恶意行为。

不要忽视您的开发人员。

尽管态度正在转变，但许多组织的结构使得开发人员在安全缓解计划中很少被真正考虑。一些行业（如银行和金融业）有严格的合规和监管要求，从而在全员范围内提高了安全实践和培训水平。虽然它们确实领先于其他垂直领域，但地球上几乎每个组织都能从一支内部的安全意识开发人员队伍中受益，他们都具备在代码提交前识别常见安全漏洞的基本能力。大多数组织距离实现安全计划这一关键拼图还相去甚远，但如果我们希望能够保护每年都在激增的海量代码，这是必不可少的。

预防性安全应从开发者敲下键盘编写代码的那一刻起就开始，但不能指望开发者独自填补安全技能的鸿沟。他们需要合适的工具集和情境化指导来提升代码质量，而只有将安全融入日常工作，而非在年度合规审查时才临时抱佛脚，才能取得最佳效果。