大型企業通常會有一個實體安全團隊，以及一個專注於網路安全的獨立IT團隊。兩個團隊都是保護企業的資產與資源，因此，一般自然會認為他們應該成為好朋友。

問題在於，他們保護的資產與資源有所不同。保護是指設置障礙以降低特定的威脅風險。當您不瞭解風險時，執行保護就是一件很麻煩的事情。這個額外的流程會讓你的日常工作變得更加困難，而且還會增加成本。於是，OT（營運技術）與IT（資訊技術）兩個部門之間經常因此而產生矛盾。他們之間的不同在於，OT部門一般優先考慮可用性而非保密性和完整性，而IT部門一般優先考慮保密性。

網路安全可以向實體安全學習什麼

對於大多數人來說，理解實體安全風險比較容易。沒有上鎖的門會增加未經授權的人員進入的風險；顯眼的貴重物品容易被人拿走；錯誤和事故有可能對人身、財產和物品造成損害。

我是一名資深網路安全分析師，我們公司主要開發與IP網路連接的實體安全產品。所以，從我的角度來看，應對實體安全與網路安全的方式大致相同。無論你負責的是企業的實體安全還是網路安全，你都必須採取相同的原則：

• 確定你的資產和資源，並予以分類（保護什麼）
• 確定相關威脅（免受誰的威脅）
• 確定威脅可能利用的相關漏洞（可能性）
• 確定不良事件發生的預期成本（後果）

風險一般等於威脅概率乘以有害結果。在算出答案之後，你必須問問自己願意做些什麼來預防其負面影響。下面我們更加仔細地分析一下每一條原則。

瞭解你的資產及資源

就影像系統而言，顯而易見的資源是來自於攝影機的影像材料。資產則是指影像管理系統中的影像錄影。影像錄影的存取一般透過使用者許可權進行控制。除了影像之外，需要考慮的其他資產還包括：使用者帳號/密碼、配置、作業系統、體體/軟體及連網設備。它們根據重要程度和風險等級進行分類。

瞭解常見的威脅

具有合法存取權限的人故意或意外濫用，是任何系統面臨的最大威脅。系統保護不力有可能導致員工存取他們無權查看的影像，或者試圖“搞事情”，從而導致系統性能下降。

硬體故障也是一種常見的網路安全威脅。不喜歡被監控的人有可能會破壞監控系統。暴露在互聯網上的服務有可能成為惡作劇者操縱電腦系統自娛的犧牲品。恐怖分子和民族國家有可能會嘗試將特定組織網路內的設備武器化。這些威脅與實體威脅沒有什麼區別，因為它們產生的影響是相同的。所以，系統既需要實體保護，也需要網路保護。

瞭解常見的漏洞

在實體安全方面，門窗就是漏洞，因為透過門窗可以進入建築物。防禦設施、圍牆和護欄也是漏洞，因為人們仍然可以強行穿過或越過它們。

軟體也是這種情況。其風險取決於利用特定漏洞的難易程度和可能產生的負面影響。那麼，其保護方案是增加障礙以降低風險（例如：加密），亦或是採取措施降低恢復的成本（例如：資料備份）。

談到網路安全，大多數人會想到他們在媒體上看過的各種複雜攻擊。我遇到的大多數問題都與設備介面的缺陷有關，這主要是因為我們是一家設備製造商。但是，最大的漏洞還是企業缺乏內部認識、政策、流程和程式。這些東西必須到位，並且在評估供應商的產品或服務之前，你還應該審查一下他們的網路成熟度。

瞭解負面影響

影像系統既不處理金融交易，也不保存客戶資料。這意味著影像系統難以讓人獲利，因此對於有組織的網路犯罪分子來說價值有限。

看看其他有關威脅也許可以體會其中的潛在成本。員工有可能未獲授權而存取影像，從而導致系統效能下降。心懷不滿的內部人士和外部活躍分子執行破壞，有可能造成運營中斷。企業影像外流有可能導致失去信任。受損的系統有可能成為其他系統的威脅。估算這個成本十分困難。不幸的是，很多時候企業必須學好這一課。安全保護就像提高品質，有付出才會有收穫。如果企圖省錢，那麼從長遠來看你只會付出更多。

請進一步瞭解安迅士如何提升網路安全。

 

瞭解更多資訊