對于現代企業的CISO而言，防范網絡攻擊是他們日常工作中的首要任務。然而，在當今復雜的威脅環境下，做好網絡攻擊防護并不容易。日前，谷歌云CISO辦公室主任Taylor Lehmann發表了一篇署名文章《CISO可以為優化網絡攻擊防護做些什么？》，分享了谷歌公司在應對網絡攻擊方面的理念和經驗。為了幫助企業組織和CISO們更好地做好網絡攻擊防護，安全牛對該文進行了編譯整理：

在當今復雜的威脅形勢下，網絡攻擊不可避免，因為惡意攻擊者變得越來越老練，以牟利為動機的攻擊變得越來越普遍，新的惡意軟件家族層出不窮，因此對各種規模的企業組織而言，提前制定好有效的攻擊防范計劃就顯得尤為重要。

在谷歌公司，我們認為詳細的網絡安全劇本對于有效防護網絡攻擊是必不可少，它可以準確地概述當攻擊發生時，安全團隊在面對樂觀情況和最壞情況時，分別應該具體做什么，這樣安全領導人就可以及時緩解問題，讓業務部門盡快擺脫攻擊的影響。

雖然每次網絡攻擊都很獨特，需要不同的響應程序和恢復計劃，但我們認為，首席信息安全官（CISO）應該與安全團隊和業務負責人一起，從三個階段思考應對策略，并確保本組織做好相應的攻擊響應準備。

階段一、在網絡攻擊之前，與所有利益相關者做好溝通與安全意識宣教

在谷歌， CISO辦公室和安全團隊會定期與各個業務團隊的負責人進行溝通，討論其業務開展中的網絡安全問題，以及如何在網絡攻擊發生前進行最有效的預警和準備。為了避免在安全事件中出現意外情況，對于那些不直接參與日常安全工作的人，如董事會成員，宣傳教育和增強安全意識至關重要。

根據谷歌的實踐，我們認為組織的CISO可以通過以下方式來加強安全意識的宣傳教育：

• 與業務領導人建立牢固的關系
  只有當領導層廣泛了解安全形勢和關鍵風險時，CISO才能夠有效地實施行動計劃。為此，CISO需要與適當的領導人建立持續的合作關系，并進行網絡安全教育，以便他們在發生攻擊時能夠對安全形勢有所了解。
• 建立全面的安全事件響應框架，明確角色和責任
  當網絡攻擊發生時，組織的業務運營情況可能變得混亂，尤其是領導人沒有事先審查和批準攻擊防范計劃時。為了確保在遇到網絡事件時所有人都能按照規定行事，CISO和安全團隊應該制定一個全面的框架，明確安全團隊和整個組織在事件處置時的具體責任。
• 持續測試計劃，主動發現不足并優化調整
  即使制定了安全事件響應計劃，但是在這個框架中仍然可能存在缺陷或需要重新調整的問題，因此團隊經常測試行動計劃極為重要。通過對計劃進行壓力測試，領導層可以發現規程存在的缺陷，并有時間進行相應的更新。組織應該通過每年執行幾次沙盤演練來測試和考驗行動計劃，并向領導層報告結果。通過實施上述措施，當事件確實發生時，CISO可以更容易向利益相關者保證，雙方已經經過同意并測試了攻擊防范計劃的實施情況。

階段二、在網絡攻擊的過程中，要注重高效且充分的溝通

當網絡攻擊確實發生時，組織必須能夠快速組建團隊進行響應，并落實預先確立的角色和責任。最順利、最有效地應對者通常訓練有素且裝備精良，并提前準備好了必要的工具。

領導層在危機期間的溝通方式和語氣對于網絡攻擊后有效的恢復至關重要，應該在溝通中展示同理心，并采取一種能夠重新贏得受影響內外人員信任的策略。

為確保每個人都能保持同步，使用清晰的溝通機制，提高每個安全事件響應團隊成員對自身角色和責任的認識至關重要。當然，有效地溝通也能夠讓安全事件響應計劃能夠順利進行，每個人還必須知道其他人都在做什么，以及誰是每個工作小組的關鍵聯系人。

階段三、在網絡攻擊之后，應該深刻反思，但不隨意地相互指責

在高風險高壓力的網絡安全環境中，組織需要營造一種開放的文化氛圍，鼓勵進行詳盡如實的事后分析。在解決網絡攻擊引起的問題之后，安全團隊應該認真反思事件，并深入總結成功經驗和改進的方向。在這些討論過程中，重要的是確保沒有人受到指責，而是集中關注組織如何進行改進。與利益相關者一起詳細審查網絡安全劇本，以確定是否需要進行調整，以實現更有效的響應。

在谷歌公司，我們奉行一種“不隨意指責個人的網絡攻擊事后分析理念”，這樣有利于營造一種開放的反思環境，鼓勵大家坦率地討論對錯以及從事件中汲取的教訓。

事后總結的最終目標是要避免在網絡事件前后出現意外情況。為此，組織應該在整個網絡攻擊過程中與利益相關者不斷進行溝通和宣傳教育，以加深對事件的理解，避免重蹈覆轍。如果制定一項經常加以測試的行動計劃，明確角色和責任，不斷更新劇本，頻繁溝通，進行事后分析，并在需要時尋求外部幫助，組織就可以更有效地應對網絡攻擊。組織永遠無法完全避免網絡攻擊，但總是可以學習經驗和汲取教訓，更有效地對付網絡攻擊。

參考鏈接：

https://www.darkreading.com/attacks-breaches/steps-cisos-should-take-before-during-after-cyberattack。