企業風險管理 (ERM) 日益困難。世界經濟論壇 2018 年《全球風險認知調查》(Global Risks Perception Survey) 顯示，組織今年最可能遭遇的前 5 大風險之中，網路攻擊和資料盜竊分別是第 3 名和第 4 名。這種情況並非出乎預料。2017 年，全球各地的資安長- chief information security officer (CISO)面臨了破壞性的勒索攻擊、大規模的漏洞威脅、削弱企業的商業電子郵件入侵變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）詐騙、遽增的加密貨幣風險、不斷演進的物聯網（IoT ,Internet of Thing）威脅，資料外洩事件更是源源不絕。面對諸多危險，公司應如何自處？而組織在 2018 年，又該如何管理企業風險？
從WannaCry(想哭)勒索蠕蟲到 Petya，勒索病毒 Ransomware (勒索軟體/綁架病毒)攻擊導致許多生產線中斷，受害廠商包括 Honda、Nissan、Renault，甚至 Cadbury。強大的勒索病毒結合 EternalBlue(永恆之藍)漏洞的蠕蟲功能，使得這類攻擊的發生率和影響力增加 10 倍。光是這些攻擊就突顯出，資安長必須重新審視評估營運的風險。我們不能再將這類威脅視為單純的 IT 風險，其影響範圍遍及 IT 和營運技術 (OT) 的領域，可能造成全球數十億美元的損失。
[請參閱：深入瞭解 2017 年的資安威脅如何侵擾企業]
2018 年，組織亟需採用風險導向漏洞管理，因為即使只有少數漏洞曝露，就表示已經成為刺探攻擊的武器，而且還會持續造成後患。特定類型的威脅，如 2017 年發生的 Dirty COW 攻擊，仍對企業帶來嚴重影響。
BEC 攻擊的頻率和規模不斷提高。FBI 的網際網路犯罪舉報中心 (Internet Crime Complaint Center，IC3) 在 2016 年接獲 12,000 件舉報，損失金額多達 3.6 億美元。這種看似簡單的社交工程攻擊，非常擅於刺探利用組織通訊系統中的弱點。資訊安全長必須擴大訓練計畫並提高警覺，從董事會到伺服器機房，整個組織都需要參與，才能減輕威脅。
2017 年，比特幣價格飆漲，因此加密貨幣相關的威脅捲土重來，各種平台和受害者都淪為下手對象。甚至連 IoT 殭屍網路的目標，也從分散式阻斷服務 (DDoS) 的侵擾，轉變為加密貨幣的挖礦行動。資料外洩事件持續衝擊企業營運，未經授權的資訊曝露，會損傷公司的信譽。
在諸多威脅環伺之下，對組織最有利的做法，就是確認各種網路風險的迫切順序。資訊安全長需要更佳的可見度和更強大的多層次互連安全防護，才能有效緩解這些威脅及其在 2018 年的新一波攻勢。這類安全防護必須採用即時掃描、網頁及檔案信譽評等、行為分析、高度擬真機器學習等技術，同時還要能保護端點安全。向主管和員工宣導防範威脅和漏洞 (無論新舊) 的正確觀念，也有利於強化公司安全保障。
[請參閱：深入瞭解如何緩解網路層級風險]
如需全面瞭解 2017 年資安威脅概況，以及資訊安全長如何幫助公司預防類似/新興威脅繼續在 2018 年造成風險，請參閱 2017 年安全威脅概況。
◎原文來源: 2017’s Biggest Threats and What CISOs Can do to Mitigate Risks in 2018
作者:Ed Cabrera (Chief Cybersecurity Officer)