对于现代企业的CISO而言，防范网络攻击是他们日常工作中的首要任务。然而，在当今复杂的威胁环境下，做好网络攻击防护并不容易。日前，谷歌云CISO办公室主任Taylor Lehmann发表了一篇署名文章《CISO可以为优化网络攻击防护做些什么？》，分享了谷歌公司在应对网络攻击方面的理念和经验。为了帮助企业组织和CISO们更好地做好网络攻击防护，安全牛对该文进行了编译整理：

在当今复杂的威胁形势下，网络攻击不可避免，因为恶意攻击者变得越来越老练，以牟利为动机的攻击变得越来越普遍，新的恶意软件家族层出不穷，因此对各种规模的企业组织而言，提前制定好有效的攻击防范计划就显得尤为重要。

在谷歌公司，我们认为详细的网络安全剧本对于有效防护网络攻击是必不可少，它可以准确地概述当攻击发生时，安全团队在面对乐观情况和最坏情况时，分别应该具体做什么，这样安全领导人就可以及时缓解问题，让业务部门尽快摆脱攻击的影响。

虽然每次网络攻击都很独特，需要不同的响应程序和恢复计划，但我们认为，首席信息安全官（CISO）应该与安全团队和业务负责人一起，从三个阶段思考应对策略，并确保本组织做好相应的攻击响应准备。

阶段一、在网络攻击之前，与所有利益相关者做好沟通与安全意识宣教

在谷歌， CISO办公室和安全团队会定期与各个业务团队的负责人进行沟通，讨论其业务开展中的网络安全问题，以及如何在网络攻击发生前进行最有效的预警和准备。为了避免在安全事件中出现意外情况，对于那些不直接参与日常安全工作的人，如董事会成员，宣传教育和增强安全意识至关重要。

根据谷歌的实践，我们认为组织的CISO可以通过以下方式来加强安全意识的宣传教育：

• 与业务领导人建立牢固的关系只有当领导层广泛了解安全形势和关键风险时，CISO才能够有效地实施行动计划。为此，CISO需要与适当的领导人建立持续的合作关系，并进行网络安全教育，以便他们在发生攻击时能够对安全形势有所了解。
• 建立全面的安全事件响应框架，明确角色和责任当网络攻击发生时，组织的业务运营情况可能变得混乱，尤其是领导人没有事先审查和批准攻击防范计划时。为了确保在遇到网络事件时所有人都能按照规定行事，CISO和安全团队应该制定一个全面的框架，明确安全团队和整个组织在事件处置时的具体责任。
• 持续测试计划，主动发现不足并优化调整即使制定了安全事件响应计划，但是在这个框架中仍然可能存在缺陷或需要重新调整的问题，因此团队经常测试行动计划极为重要。通过对计划进行压力测试，领导层可以发现规程存在的缺陷，并有时间进行相应的更新。组织应该通过每年执行几次沙盘演练来测试和考验行动计划，并向领导层报告结果。通过实施上述措施，当事件确实发生时，CISO可以更容易向利益相关者保证，双方已经经过同意并测试了攻击防范计划的实施情况。

为确保每个人都能保持同步，使用清晰的沟通机制，提高每个安全事件响应团队成员对自身角色和责任的认识至关重要。当然，有效地沟通也能够让安全事件响应计划能够顺利进行，每个人还必须知道其他人都在做什么，以及谁是每个工作小组的关键联系人。

阶段三、在网络攻击之后，应该深刻反思，但不随意地相互指责

参考链接：

https://www.darkreading.com/attacks-breaches/steps-cisos-should-take-before-during-after-cyberattack