【專家指引】Gartner: 2021 年 10 個最重要資安 Projects
資安需求日益增加，企業資源分配越見重要，尤其疫情之下，Budget 緊絀。剛過去的 Gartner Security ＆ Risk Management Summit 2020 上，其 Senior Director Analyst Brian Reed 指出，很多企業都用過多時間追求不存在的徹底方案，因此忽略基礎工作。綜合與會專家意見，得出以下 10 個重點 Projects，供各資安主管參考，編入 2021 發展計劃書之中。
1. Remote Workforce Security
確認企業所需，理解員工與工作群組接觸數據與應用程式的習慣與之所帶來的風險。遠程工作已經實行了一段時間，該有足夠的 Case Study 與數據作分析與檢討，究竟現行的登入模式是否安全，有沒有額外的安全措拖需要實行。
2. Risk-based Vulnerability Management
完全防禦是神話，更實際的做法是找出罩門，作針對式防禦。這需要準確情報，關注最新的黑客攻擊模式，掌握企業風險漏洞並快速應對。
3. Extended Detection and Response（XDR）
AI支援的端點偵測與反應系統（XDR），全面蒐集資訊並交叉關聯來自電子郵件、端點、伺服器、雲端工作負載以及網路的資料，提供卓越的全面可視性與關聯分析，讓企業在節省資源下，仍可迅速應對各類威脅。
4. Cloud Security Posture Management
不論是 IaaS（Infrastructure as a Service）或 PaaS（Platform as Service），企業都應有統一的自動評估與修正支援，不斷變化的雲端應用則要 DevSecOps（Development，Security，Operation）的保安規格。如果使用第三方雲服務，就要再三確認保安政策與規格。
5. Simplify Cloud Access Controls
雲端防衛主要有 CWPP（Cloud Workload Protection Platforms）、CSPM（Cloud Security Posture Management） 和 CASB（Cloud Access Security Brokers）三類，以 CASB 最常用。CASB 可分析訪問流量是否具威脅性，並根據 Proxy 主動封鎖可疑登入帳戶。
6. Domain-Based Message Authentication, Reporting and Conformance
以電郵為單一認證渠道是很尋常的企業行為，但用戶很難分辨其真偽。DMARC 是 Google、Yahoo!、Microsoft、Linkedin、Facebook、PayPal 等 15 家大型網路服務業者共同協商的標準，它不足以成為全能 Email 資安對策，但其共享黑名單與堵截釣魚郵件資料庫下，可以更有效偵測可疑電郵。
7. Passwordless Authentication
在去密碼認證登場前，防止員工一碼多用（甚至全用）是個 Million Dollar Question。現行普及的技術下，去密碼認證有多種選擇，成本亦壓低至大家可負擔，企業只需加強去密碼化的政策透明度與使用體驗，令員工願意積極轉用。
8. Data Classification and Protection
不同類型資訊帶來不同風險，需要不同保安措施，單一會有盲點，令敏感資訊過份曝露。企業需要按資訊敏感度，訂制不同程度保安措施。
9. Workforce Competencies Assessment
合適的人出任合適崗位聽來諷刺，並非它沒有道理，而是它很難執行。以上每個項目的 Project Manager，需要不同的技能與領導才華。最好為每個項目找最少 5 個候選人，以 Cyber-Range 與 Cyber-Simulation 作技術考核。
10. Automating Security Risk Assessments
有限資源下，一般企業只能有限度或完全跳過風險評估，進行評估有助找尋漏洞，同時協助保安團隊了解日常保安運作、新項目與程式化相關的風險。
