运营安全：创建全面OPSEC计划的8个最佳实践

恶意黑客越来越聪明，他们的攻击越来越阴险狡诈。料敌机先，规避漏洞，是打赢网络安全攻防战的唯一途径。如果想保护公司免受网络威胁侵害，就必须具备黑客思维，从攻击者的角度审视自身防御。

运营安全亦称OPSEC，是考虑潜在攻击者视角的一门学科。这种安全方法积极主动，帮助IT团队和安全经理识别并修复风险和漏洞，不给犯罪分子留可乘之机。

OPSEC最初是为军事机构设计的，但现在很多企业也在实施OPSEC计划，保护自身敏感数据免遭潜在威胁损害。各家公司不再坐等事件发生再去补救，而是设立OPSEC团队，更有效地管理安全风险。

那么，运营安全涉及哪些事项？公司该如何着手呢？以下八种最佳实践可以帮助公司创建自己的OPSEC计划。

运营安全是什么？

OPSEC的目标是在抢在恶意黑客之前找到并修复安全漏洞，避免这些漏洞被恶意黑客用于犯罪目的。各类企业都持有敏感信息，比如客户标识、支付卡信息，以及专有商业策略和商业秘密等。OPSEC可以防止此类数据落入恶人之手。

OPSEC涉及IT团队、安全团队、安全经理和数据分析师之间的多方协调。尽管77%的企业通常只有3到5名分析师负责管理其安全运营中心，但很多企业都有专职的IT员工和安全执行经理。OPSEC旨在建立防御潜在威胁的前沿阵地，需要公司所有人通力合作才能发挥这一前沿阵地的最大效用。

运营安全的组成要素

构筑运营安全计划基础的五个要素分别是：

1、识别敏感数据和信息
2、识别潜在攻击途径
3、分析安全弱点
4、确定每个漏洞的风险级别
5、实施缓解计划

识别敏感数据和信息

数据都存储在哪儿？服务器上都保存着哪些敏感信息？客户信息、知识产权、员工数据、财务报表和市场研究数据都是需要保密的敏感信息。

识别潜在攻击途径

攻击者对哪类数据感兴趣？有没有第三方可以访问公司的系统？哪种类型的攻击最有可能成功侵入系统？想要防止数据泄露，你先得知道自己的弱点都在哪儿。

分析安全弱点

各个风险级别都需要采取哪些保护措施？哪些安全功能是有效的？哪些安全功能需要调整？企业需要客观评估现有安全基础设施，确定哪些方面风险最大。

确定每个漏洞的风险级别

哪些漏洞风险最高？发生攻击的概率有多大？攻击可能造成多大影响？必须根据严重性和影响排序风险。

实施风险缓解计划

需要制定哪些安全流程？如何实施安全规程？何时推出新的安全流程？事关OPSEC，风险缓解就是全盘布局的最后一环。

OPSEC最佳实践

如果企业准备深入OPSEC，可以考虑以下几个最佳实践：

实施精确流程

涉及变更管理时，流程精确尤为重要。想要保证系统平稳运行，调整和更新是不可或缺的，但这些变更也有可能成为黑客的攻击渠道。为保障企业安全，变更管理必须实施精确流程，比如强制记录、变更控制、持续监控和定期审计。

选择合适的提供商

第三方提供商可以为企业提供一系列服务来改善客户和内部体验。然而，服务提供商本身也是一种重大风险来源。比如说，如果虚拟主机提供商与公司在网络安全观上意见相左，或者遭遇了数据泄露，那就可以考虑换一家虚拟主机提供商了。其他所有第三方服务和网络提供商也适用这一条。事实上，只要公司受网络安全法规的约束，第三方提供商未能满足法规的安全要求也是公司的责任。

限制网络和设备访问

公司的网络和端点不应该是随便哪个人都有权访问的。要确保只有经批准的设备才连接到业务网络，并设置警报防止未授权设备连接公司系统，因为未授权连接可能会对公司敏感业务数据造成威胁。

遵循最小权限原则

包含多因素身份验证和密码管理的零信任策略有助于阻止未授权用户。员工按需知情可以防止内部人威胁，减小被盗凭证导致重大数据泄露的概率。

实施双重管控

这有点儿类似“制衡”，但是出于企业安全目的。双重管控可以提供足够的安全保障，又不会将所有责任都推给某一个用户或部门。业务网络的使用者和安全负责人不是同一个最好。

引入自动化

企业面临的最大威胁就是人为失误。自动化一些繁琐的重复性任务有助于减少出错的可能性，防止发生数据泄露或者其他安全事件。

制定切合实际的策略

如果制定的策略是公司无法达到的，那内部审计方面就永远差一口气。制定切合实际的策略，具有挑战性但至少可以实现，这样你的OPSEC计划才会取得成功。

重视事件响应和灾难恢复

即便是最成功的OPSEC实施方案有时候也会出现安全问题。但只要有细致的事件响应和灾难恢复计划，就可以有效防止未授权访问和数据渗漏。你计划如何应对威胁？怎么减轻损失？这些问题的答案可以帮助你着手OPSEC计划。