聊热点｜走出网络安全迷宫：为企业定义合理标准、网络安全治理与风险管理中的三线模型探析……

在数字时代，追求“合理”的网络安全是一项复杂但必要的工作。什么是“合理”的网络安全？这个问题的答案不仅会影响企业管控风险的方式及企业的安全策略方针，甚至会影响他们面临的监管责任。其中，澳大利亚网络安全中心（ACSC）的“八项基本要素（Essential Eight）”是一种减少网络安全事件的策略，值得推荐给所有企业参考。其中，“八项基本要素”包括四项用于减少有针对性的网络入侵的强制性策略，以及四项用于进一步保护数据和系统的额外策略：应用程序白名单、应用程序补丁、禁用不受信任的宏（macros）、用户应用程序加固、 限制管理权限、操作系统补丁、多因素身份验证、每日备份。

文章报道了美国环保署数据疑似泄露事件，凸显了数据安全保护的紧迫性。黑客利用社会工程学手段窃取大量用户数据，再次敲响了数据安全警钟，无论是政府、企业还是个人，都需加强数据安全防护意识，采取有效手段保障数据安全。电信安全推出电信数盾，从数据合规出发，参考IPDRR安全防护模型，以运营商云网数据为禀赋，通过一系列的安全产品和服务，解决数据全生命周期的安全问题。

上述文章通过调研分析给出了企业对于“三道防线”与扩展的“五道防线”模型进行网络安全风险治理的现状，认为模型并未被严格遵照：多数企业未形成条线清晰的治理结构，第一道防线、第二道防线的典型职责被切割，第三道防线的内部审计不能对网络风险管理有效性进行全面的、及时的评估，因五道防线优化增加的执行管理层和董事会，受限于其认知和专业能力，并未完全融入治理体系中。针对研究强调的模型应用存在的差距，建议组织根据具体的环境评估模型的适用性，形成平衡和敏捷的治理方法，有效应对新兴的网络威胁。