Browsing: CISO

    Microsoft 最近低調地完成替換首席信息安全官(CISO)的行動,安全主管 Charlie Bell 撤去原有的首席及副席信息安全官,起用加盟 Microsoft 僅四個月的 Igor Tsyganskiy,Charlie 指新任安全官將會協助公司完成在 11 月初公布的安全未來倡議(Secure Future Initiative),不過,外界就懷疑新的職位調動可能同近年 Microsoft 頻頻發生安全事故有關。 想知最新科技新聞?立即免費訂閱 ! 微軟上月公布安全未來倡議 如果大家有留意安全事故新聞,應該會記得在今年…

    無論問哪個老闆或管理層,都一定會大大聲話網絡安全是重中之重!不過一講到錢就傷感情,有調查報告顯示,在英國的科技公司中,只有 1/3 人事部願意在未來 12 個月出一萬英磅去聘請網絡安全員工,或進行安全培訓。相比起被勒索軟件攻擊後動輒數十萬美元起跳的贖金,看來大家聲稱重視網絡安全,純粹只是口號。 有關網絡安全的話題近年愈來愈普及,原因之一在於新冠疫情期間,企業被逼快速引入各種遙距工作工具及雲端服務,不過由於員工要離開公司內部網絡工作,因此企業管理者都會關注網絡安全問題,以保障公司機密不致外洩。 另一方面,勒索軟件集團亦在這段時間冒起,事關不少企業 IT 管理員仍未熟悉遙距工作工具及雲端應用服務的運作,安全設定出錯令公司中門大開,因此不少國際大企業都在這段期間失守,例如美國燃油公司 Colonial Pipeline、IT 服務管理公司 Kaseya 等等,不單影響巨大,黑客勒索的贖金亦高達數以百萬美元。 早前 IBM 一份調查報告顯示,企業一旦遭受勒索軟件攻擊,損失平均約 500 萬美元!由於勒索軟件集團經常向傳媒報料,因此近年有關網絡攻擊事件便常被廣泛報導,照理說,企業管理者應該會盡量避免成為受害者而加強網絡安全防禦力。 不過,多份調查報告均顯示,企業老闆或管理者不願出資去提升網絡安全,除了上述由科技培訓公司…

    近年零信任策略 (Zero Trust Strategy) 被奉為阻止網絡入侵的金科玉律,不過要真正做到零信任並不容易,因為企業的基建架構有可能要大執,才能支援零信任解決方案的要求。網絡安全顧問及方案供應商 Optiv 早前完成一份有關企業管理層對零信任策略的問卷調查,結果顯示受訪者 100% 認同可有效減少被襲風險,但要落實執行卻有克服三大挑戰 …… 零信任是指一種對任何網絡活動、用家或裝置保持懷疑的安全模型,以帳戶安全為例,即使登入者使用了正確的名稱及密碼,系統還會要求對方提供額外的驗證方式如指紋、硬體安全鑰匙,以減少帳戶被盜用的風險。即使用家成功登入內部網絡或帳戶,系統還會根據其使用權限,限制對方可接觸到的區域或資料。更先進的人工智能技術更會分析及比對登入者的行為,例如對方的登入時間、位置或裝置與過往有否明顯分別等,換句話說,零信任其中一個重要環節是一套嚴格的登入管制策略。 Optiv 這次共向不同行業如政府部門、金融、醫療機構、科技公司的員工,發出 150 份問卷,當中有 43% 受訪者更是規模達 1,000 至 5,000…

    勒索軟件對於網絡犯罪分子而言,是快速搵錢的途徑,相對於企業來說,要堵塞有可能被入侵的漏洞,就是避免損失的最佳法則。根據 Microsoft 的研究,解決勒索軟件帶來的威脅,是一眾資訊安全高層(CISO)當前面對的最大網絡安全挑戰,其次是配置雲端安全和保護混合、多平台的企業環境。 根據調查,勒索軟件是 2021 年最嚴重的網絡安全問題,一眾首席資訊安全人員認為,網絡犯罪分子將繼續嘗試加密網絡作攻擊,藉以要求企業支付數百萬美元的贖金換取解密密鑰,意味勒索軟件的攻擊仍然頻繁。 而勒索軟件即服務(Ransomware-as-a-Service, RaaS)的興起也令威脅擴大,令更多的網絡犯罪分子投入勒索軟件活動,企業成為攻擊的受害者風險隨之增加。Microsoft 負責安全、身份和合規性的副總裁 Vasu Jakkal 表示,個人網絡犯罪分子不再需要開發自己的工具,他們可以透過購買網絡犯罪工具服務,將其納入他們的攻擊中,使普通網絡犯罪分子擁有更好的工具和攻擊趨自動化,實現規模化攻擊之餘,也降低了其成本。她指出,因著成功的勒索軟件攻擊形成了背後的經濟模式,所有類型的攻擊都在增加,推動攻擊快速發展。 除了被視為頭號威脅的勒索軟件,CISO 還面對包括雲端安全的問題:由於混合工作模式的興起,雲端安全已被推到關注點的最前沿。雲端服務一方面提供了機會,但亦帶來了一些需要解決的安全問題,例如員工能夠很方便地遙距存取公司雲端帳戶,但能從任何地方存取公司資料的方式,也同時為網絡犯罪分子提供了額外的途徑滲透網絡,特別是當他們能夠竊取真實用戶的用戶名和密碼的時候。 根據 Microsoft 的調查,CISO 在 2022 年面臨的其他關鍵網絡安全挑戰,還包括招聘安全專業人員,以及在不犧牲安全性的情況下,提高用戶生產力。而雲端安全是今年最需要的投資的項目,其餘包括漏洞管理和應用程式安全等。…

    2020 疫情推動遠程工作,無數用戶使用資安漏洞百出的裝置處理公司機密,低成本低技術門檻的 Old School 網絡攻擊成為散戶式黑客 2020 最常用手段,且收穫甚豐。2021 年則由機構型黑客主宰新聞推送,由 Solarwinds 到最近 Colonial Pipeline,關鍵字係 Ransomeware、Infrastructure、天價贖金。資安團隊很忙,所以時間更加要用得其所,洞察黑客的下一步提早佈局。 3 月 Microsoft 揭露中國黑客組織 Hafnium 透過 4…

    Gartner 調查發現 30% 至 40% 美國打工仔在後疫情時期繼續遙距工作,後續訪問 Chief Information Security Officer 的調查則反映,因應遙距工作新常態,企業有必要重整資安對策與配套,保障企業資訊不被竊取、定期 備份與災後自動復修,而多數意見認為把 End-point Protection Service 設於雲端最為重要。 速度、規模化、敏捷性 保留沿用的 Legacy Software…

    全球知名 IT 研究與顧問諮詢公司 Gartner,在其亞太地區安全與風險管理峰會中,分析師探索 IT 行業趨勢。據Gartner 稱,COVID-19 加速數碼業務轉型,並為傳統的網絡安全模式帶來挑戰,提醒安全和風險管理的領導者必須應對以下八個主要趨勢,以實現企業的快速重塑。 Gartner 研究副總裁 Peter Firstbrook 表示,這些趨勢是對所有組織所面臨的持續全球挑戰的回應。Firstbrook 指出,第一個挑戰是技能差距,80% 的受訪問組織表示,他們難以找到和僱用安全專業人員,而 71% 的組織則表示,這正在影響他們在組織內交付安全項目的能力。2021 年安全和風險領導者面臨的其他主要挑戰,包括複雜的地緣政治形勢、日趨嚴格的全球法規,工作空間和工作負載從傳統網絡遷移,端點多樣性和位置的激增以及攻擊環境的變化,尤其是面對勒索軟件的挑戰和企業電子郵件的傷害。 以下是 Gartner…

    礙於營運成本,中小企業難以投入大量資金聘請安全專家、購置安全工具。有調查報告顯示小企業 CISO 明言無法阻擋入侵,而人手短缺更令安全工具無法被妥善運用。矛盾難解決?答案就是將網絡安全工作外判,或交由託管公司代管 (MSP),便可借助對方的安全專家及先進的安全工具,守護公司。 早前生產力局轄下香港電腦保安事故協調中心(HKCERT)公布2020年網絡保安事故統計數字,指出上年處理了 8,346 宗安全事故,雖然數字上較 2019 年下跌 12%,但由於只是經 HKCERT 處理的個案,未有尋求協助的個案相信還有很多。而 HKCERT 方面亦呼籲企業盡快為新常態和新技術制定網絡保安策略,以應對因新冠疫情而加速的數碼轉型,以及 5G 通訊、物聯網和人工智能技術的廣泛應用。 作為守護公司大門的網絡安全團隊,自然不可能鬆懈,因為網絡攻擊招數層出不窮,加上黑客已不會只針對大企業或金融業發動攻擊,各行各業的中小企亦成為目標,對資源有限、人手緊絀的小團隊來說,難免每日生活在惶恐中。 新公布的一份調查報告《2021 Survery of…