澳大利亚政府如何构建国家网络安全韧性并从容应对威胁

2020年，远程办公需求激增，加之大规模数据泄露事件持续发生，以及公众对在线隐私受损后果的日益关注，网络安全从未像现在这样受到如此高度的重视。因此，全球各国政府纷纷介入，重塑并更新其网络安全规划与基础设施，包括制定企业在处理我们最宝贵的数字资源时必须遵守的战略和法规。

网络安全战略保护指南并非新概念，像NIST这样的组织多年来一直为全球政府部门的政策提供指导。随着数字化进程的飞速发展，面对不断变化的威胁环境、潜在的攻击途径以及合规要求，许多人已感到难以应对。

近期，5.4万份新南威尔士州驾照信息泄露，起因是第三方服务器上一个配置错误的 S3 存储桶被轻易访问，导致数千人受害。报告此事的安全研究人员承认，这些数据可能已被挂在暗网上出售。令人遗憾的是，这本是一个很容易修复的问题，如果相关人员在配置缓存时能将安全放在首位，这种事本可避免。

澳大利亚政府近期发布了《2020年澳大利亚网络安全战略》，强调了新的举措，并将在未来十年投入16.7亿澳元资金，以实现其“为澳大利亚民众、企业以及我们所依赖的基础服务创造一个更安全的在线世界”的愿景。这显然是一项非常受欢迎的评估与更新计划，尤其是其核心目标之一是：

"企业应采取行动，确保其产品与服务的安全性，并保护客户免受已知网络漏洞的侵害"。

虽然政府机构倾向于（也理应）关注涉及国家关键基础设施的安全措施——这些领域极易遭受灾难性的有组织攻击——但过去所缺乏的是针对那些每天收集和使用我们数据的企业的指导方针。

如今，谈到这类官方战略时，情况并非总是尽如人意。它有时难以解读，细节模糊，导致企业的安全团队只能根据非具体的指导方针来拼凑计划。这个问题并非澳大利亚政府所独有，但让我们来分析一下他们刚刚发布的这份新战略。

侧重于反应，而非预防。

更新后的《澳大利亚网络安全战略》比2016年的版本更具现实意义，为企业（尤其是中小企业）制定了相当全面的计划。该战略概述了：

"政府和大型企业将协助中小企业（SME）成长，并提升其网络安全意识与能力。澳大利亚政府将与大型企业及服务提供商合作，为中小企业提供网络安全信息和工具，作为“安全服务包”（如威胁拦截、杀毒软件和网络安全意识培训）的一部分。"

这将为中小企业提供一个保护其业务免受网络威胁的基本基础，但这在很大程度上是一种被动应对方法，且重点在于检测工具——这只是网络安全领域中相对较小的一部分。

此外，关于大型企业如何保护自身并减少攻击途径的信息也少得令人惊讶。虽然许多企业可能被纳入了保护关键基础设施（如电信、交通）的计划中，但金融服务、零售以及许多其他垂直行业在遭受网络攻击时损失惨重。或许这会成为未来立法的一部分，但即便如此，强调企业层面严谨的网络安全最佳实践，对于实现重大变革、减少数据泄露和网络犯罪至关重要。

总的来说，从整体战略来看，它建立在一种被动应对的方法之上。打击网络攻击、干扰活跃的网络犯罪分子并确保将其绳之以法，以及与国际盟友共享情报，这些都是重要的因素，但试想一下，如果全国性的保护标准侧重于预防会怎样？除了针对关键基础设施的保护措施外，如果每家企业都能将安全放在首位，且每一位编写数字世界代码的人员都能具备在攻击发生前进行拦截的能力，那么为受害者节省的时间、金钱和痛苦将是不可估量的。

韧性是可以实现的，但必须经过规划。

澳大利亚政府在网络安全问题上展现出的重视，明确表明该领域已被提升至国家级关键风险层面。正如任何其他可能扰乱我们生活方式的恶意攻击一样，韧性至关重要——这不仅是为了抵御此类企图，更是为了起到威慑作用。归根结底，即使是威胁行为者也可能存在惰性，如果设置了过多的障碍，他们为了达成目标，会转向更容易攻击的目标。

目前，我们面临全球性的网络安全人才短缺，这让全球的首席信息安全官（CISO）们彻夜难眠。数以十亿计的代码行、持续不断的大规模数据泄露，以及比以往任何时候都更高的处罚风险（仅万豪酒店就因2018年的数据泄露事件被处以1.23亿美元的GDPR罚款……而且他们今年又发生了一次泄露），导致安全专家需求缺口巨大，现实中很难填补。代码实在太多，而确保其全方位加固的资源却太少。

那么，我们是否应该放弃在网络威胁面前挺直腰杆的想法？绝不。韧性需要利用所有可用资源，并先行一步。对于许多公司而言，开发人员可以在编写代码时解锁一种强大的加固方法。当这种方法与整个企业内可见的、积极的安全文化相结合时，就能提供一个让许多攻击者难以撼动和破坏的安全基础。然而，这种方法需要以《澳大利亚网络安全战略》的建议为例，深入研究如何对其进行定制，以支持与业务相关的有效变革。

为此，有必要对以下几点建议进行深入剖析：

• 安全意识培训：这是专门针对中小企业提出的要求。从整份报告的语境来看，其主要目的是教导全体员工掌握基本的安全常识（例如识别钓鱼邮件、不点击未知链接等）。实际上，培训内容必须更进一步，并针对不同岗位进行定制，特别是对于开发人员等接触代码的群体。将安全意识培训作为预防措施和构建韧性的重要组成部分至关重要。
• 教育：令人耳目一新的是，报告中制定了一项深入计划，旨在通过加强从中小学到高等教育阶段的网络安全培训，来解决未来十年的网络安全人才短缺问题。若要培养未来的安全专家，这固然必不可少；但从满足当前业务需求的角度来看，为开发团队提供安全编码的实操培训是减少常见漏洞的当务之急，也必须成为功能性安全计划的一部分。

作为安全专家，我们需要付出更多努力，帮助全球企业认识到构建内部安全计划的重要性，使其超越基础的安全意识普及。投入时间提升开发人员的技能，可以减轻超负荷工作的应用安全（AppSec）专家的压力。确保整个组织内的每位成员都能根据自身岗位需求具备相应的安全意识，对于减少软件的攻击面至关重要。

提升开发人员技能是值得投入的时间成本，可为什么许多公司却对此视而不见？

DDLS 最近的一项调查显示，澳大利亚企业在网络安全培训方面的优先级意识非常薄弱。事实上，它甚至没有进入培训优先级的前三名，尽管 77% 的受访者认为网络安全意识对他们的业务“极其”或“非常”重要。

因此，澳大利亚在弥合日益扩大的技能差距方面举步维艰，且在构建更具韧性的基础设施（从基础服务到零售业，以及涵盖的所有领域）方面仍有大量工作要做，这也就不足为奇了。

这对政府来说是一个巨大的契机，可以借此建立网络安全技能基准认证或相关法规。该战略也暗示了这一点，将其作为在资源有限的情况下开展工作的一种方式。然而，这似乎仍是着眼于未来的提议。如果我们优先针对高影响力的领域，现在就能利用现有工具采取行动。在我看来，希望在于各组织内部的开发团队。只要给予他们成功的工具和知识，他们就能在源头阻断常见漏洞，从而显著降低组织内部的数据泄露风险。

2019 年，24% 的数据泄露事件是由人为错误引起的，即安全配置错误，而这些通常是相对简单的代码级修复。如果能将培训作为优先事项，并结合全公司的安全意识建设，我敢肯定，未来将会有更少的首席信息安全官（CISO）需要向成千上万受影响的客户签署泄露通知。