企业可以采取一些措施来防范在实施数字化转型中经常出现的漏洞。本文介绍了企业在实施数字化转型的过程中可以采取的10大措施，以最大限度地减少网络安全风险。企业需要为每个数字化转型项目进行IT网络安全风险评估。一些数字化转型项目涉及受各种法规约束的流程和数据，企业必须证明符合这些法规。大多数数字化转型项目需要建立和管理最终用户账户和角色，当最终用户被授予的权限和角色超过了他们执行指定职责所需的数据和数据库访问权限时，网络攻击者可以更容易地渗透到企业的IT系统，从而造成严重破坏。

(资料图)

虽然数字化转型增加了网络风险，但这些重要举措将帮助企业的业务保持安全。

企业不想看到他们出现在网络安全漏洞的头条新闻中，也不希望直言不讳的批评者损害他们的声誉，他们希望避免遭遇网络攻击、业务中断和花费大量费用进行恢复。

将网络安全视为事后的想法或认为在数字化转型项目中安全是其他人应该解决的问题总是错误的，它会遗漏一些可以避免的网络安全漏洞，网络攻击者则会利用这些漏洞。

值得庆幸的是，企业可以采取一些措施来防范在实施数字化转型中经常出现的漏洞。以下是企业在实施数字化转型的过程中可以采取的10大措施。

01

进行IT网络安全风险评估

为每个数字化转型项目进行IT网络安全风险评估。项目的特点会影响到最高风险是什么。以下是经常存在的风险：

(1)内部网络安全防御的漏洞。

(2)应用软件或软件即服务(SaaS)供应商的网络安全成熟度不够。

(3)不同供应链供应商网络安全成熟度。

(4)员工和承包商网络安全意识水平参差不齐。

降低网络安全风险的典型应对措施包括：

(1)多因素身份验证(MFA)。

(2)先进的威胁检测解决方案。

(3)更广泛地使用加密技术。

(4)雇员和承包商网络意识教育计划。

02

了解合规义务

一些数字化转型项目涉及受各种法规约束的流程和数据，企业必须证明符合这些法规。关于用户的隐私数据尤其敏感。网络安全组成部分的主要法规示例如下:

(1)美国联邦信息安全管理法案。

(2)欧洲通用数据保护条例(GDPR)。

(3)健康保险携带与责任法案(HIPAA)。

(4)北美电力可靠性公司可靠性标准(NERC-CIP)。

(5)美国国家标准与技术研究所(NIST网络安全框架)。

(6)ISO27001信息安全管理。

(7)ISO27002信息安全、网络安全和隐私保护。

(8)支付卡行业安全委员会的数据安全标准(PCIDSS)。

(9)服务组织控制(SOC 2)类型。

每一项规定都规定了企业必须遵守的要求。相关软件供应商通常会描述有助于数字化转型项目规划的实施和运营策略。

在数字化转型项目的范围内包括实施适用法规的网络安全要求的任务。

03

避免过度授权账户

大多数数字化转型项目需要建立和管理最终用户账户和角色，当最终用户被授予的权限和角色超过了他们执行指定职责所需的数据和数据库访问权限时，网络攻击者可以更容易地渗透到企业的IT系统，从而造成严重破坏。

为了最大限度地降低设计中的网络安全风险，数字化转型团队应该：

(1)设计具有多个角色的软件，以限制任何一个角色的访问。

(2)为SaaS软件的增强支付费用，以增加角色的数量。

大多数数据库管理软件(DBMS)包都包含限制对表和列的访问的功能。对于数据库管理员(DBA)人员来说，使用这一功能管理角色非常繁琐且容易出错，最终它会面临失败。

为了运营数字化转型项目将交付的系统，这一有限访问概念由以下方式实现：

(1)集中管理所有权限。

(2)持续检查权限，以识别错误配置的权限、过度授权的帐户和角色。

(3)考虑实施专门的软件，提出建议，以迅速有效地纠正问题权限。

这些措施共同降低了网络攻击的风险。

04

将网络安全纳入应用软件设计

数字化转型项目通常设计、构建和测试一些应用软件，而仅使用数据集成和应用软件包很难完成数字化转型项目。

通过以下最佳实践，将网络安全功能纳入自定义应用软件设计，其中包括：

(1)维护软件开发环境的安全性。

(2)执行广泛的数据输入验证。

(3)加密应用程序正在创建的数据并实现HTTPS。

(4)包括认证、角色管理和访问控制。

(5)包括审计和日志记录。

(6)遵循配置虚拟服务器的最佳实践。

(7)不要简化质量保证和测试。

(8)随着安全威胁的发展，升级应用软件。

(9)删除不活跃的虚拟服务器和数据库。

当企业的数字化转型应用程序用于常规生产中时，遵循这些最佳实践将显著地降低遭受网络攻击的风险。

05

限制对云管理控制台的访问

具有云计算组件的数字化转型项目将操作一个相关的管理控制台。控制台是网络攻击的热门目标，因为这些控制台控制着企业的云计算资源的所有方面。未经授权使用这些强大的云计算控制台可能会立即造成严重破坏或数据泄露。

对管理控制台风险的最佳响应是将对云计算管理控制台的访问视为特权访问。这一最佳实践由以下人员实施：

(1)要求最终用户证明每次登录的合理性，并跟踪所有登录，以快速识别异常、不适当或欺诈性访问。

(2)授权每个用户ID在指定的时间内只进行特定的、有限的访问，以控制任何泄露的用户ID可能造成的损害。

(3)采用单点登录(SSO)，以便最终用户体验安全且无障碍的登录。

(4)实现多因素身份验证(MFA)，在授权访问云控制台之前添加额外的保护层。

这些特权访问措施一起防止针对云计算管理控制台的网络攻击。

06

确认云计算服务提供商(CSP)的网络安全

防御策略

许多数字化转型项目都包含云组件，该组件可以使用云计算服务提供商(CSP)运营的计算基础设施，也可以使用SaaS提供商运营的云平台。

由于大多数云计算服务提供商(CSP)运营广泛的网络安全防御策略，并将这项工作描述为有价值的客户利益，大多数客户不会在云计算网络安全评估或测试上投入更多精力。

谨慎的做法是花费时间和精力来确认云计算服务提供商(CSP)的网络安全防御策略的全面性。

07

评估SCADA/IIoT集成点

一些数字化转型项目将SCADA/IIoT数据从OT基础设施带入IT系统领域，这两个领域通常由具有不同任务和优先级的不同企业高管管理。

评估数字化转型项目的SCADA/IIoT集成点的网络安全风险，这些集成点通常由管理职责模糊或不明确的服务器或网络设备表示。因此，网络安全防御措施可能参差不齐。

根据集成点评估的结论采取行动，它们通常包括明确角色和职责以及更新设备。

08

测试应用程序编程接口

大多数数字化转型项目开发自定义应用程序编程接口(API)，用于集成数据库或允许外部合作伙伴的软件开发人员访问公司计算环境中的特定应用程序。

当攻击者发现这些API时，他们可以很容易地创建软件来导致数据泄露。应对这一风险的措施是确保以下方面:

(1)彻底测试API软件。

(2)更改授权凭证以定期访问API。

(3)记录API的使用情况，并定期检查日志。

(4)安全地存储API源代码，永远不要在开源存储库中发布它。

(5)限制使用API的开发人员指南的发行量，不要在网上发布。

09

评估技术变化

数字化转型项目通常会对公司运营的信息技术套件进行更改，新技术引入或消除网络安全风险。

当技术发生变化时，公司的项目团队应该更新其IT网络安全风险评估，并根据新发现采取行动。

10

进行OT网络安全风险评估

数字化转型项目有时表明，运营技术(OT)领域并没有像信息技术(IT)那样受到网络安全方面同样的关注。在这种情况下，需要进行OT网络安全风险评估。

国际自动化学会(ISA)标准《工业自动化和控制系统安全：建立工业自动化和系统安全计划》(ISA-62443-2-1)为制定OT网络安全投资的商业理论提供了有价值的指导。

通过将这10项行动纳入数字化转型项目的范围，公司可以大幅降低网络安全风险。

（来源：企业网D1Net）