不可不知：五大風險管理
企業面對資料洩漏事故、日益複雜的攻擊和對其控制的持續監管，現在是時候重新審視其風險管理戰略了。雖然每個企業都是不一樣的，風險管理專家認為有些風險管理辦法值得企業關注。下面我們列出了5個風險管理辦法，風險管理者可以在新的一年利用這些辦法來改善其風險管理：
No.1：改善廠商風險管理
隨著廠商導致的越來越多的資料洩露和安全事故報導，企業和監管機構開始關注供應商及合作夥伴帶來的風險。根據Qualys公司首席安全高層Andrew Wild表示，在今年，廠商風險管理將是IT風險專業人士需要關注的關鍵之一。
對於廠商的日益增長的依賴，企業需要一個成熟的廠商風險管理機制來確保風險得到控制、評估和管理，Andrew Wild在談到美國貨幣監管局針對銀行業金融機構提出新的監管要求時表示，沒有監管或合規要求的企業正面臨著越來越多客戶對廠商風險管理的更嚴格的審查。
No.2：調整風險管理以獲得更大的靈活性和回應度
有針對性的隱形攻擊將繼續推動安全從業人員改變應對攻擊的辦法。Coalfire公司首席網絡保安高層Rich Dakin表示這些有針對性攻擊帶來的傷害將足以讓企業從靜態邊界保護和基於存取控制的安全做法，轉移到動態的做法，即每天分析新的威脅和風險，並進行升級、更新和系統變更。
當然，這意味著風險分析需要超越簡單的年度風險評估，風險管理人員需要作出有意義的計算來推動對IT基礎設施和流程的決策。企業不僅需要尋求更好的辦法來將即時資訊整合到風險評估，而且還需要想辦法來更快地調整現有技術以回應評估結果，而不是簡單地購買新設備。
CyberArk Software公司諮詢服務主管GerrIT Lansing表示企業總是認為他們需要新的控制來解決後續風險，但很多時候，他們可以調整現有控制來解決新的風險。
No.3：使用更多的資料來評估風險
更好的風險評估需要更多的資料。從安全技術和IT基礎設施挖掘出的資料對風險評估非常重要，很多企業沒有利用其環境中存在的事實和資料，Bringa公司首席執行官Amad Fida表示，他們錯過了分析和關聯這些安全資料與他們部署的控制的機會。
No.4：與業務用戶合作，以確保更全面的風險管理
安全從業人員早就強調了IT安全做法和業務之間需要更好地協調。MetricStream公司副總裁Yo Delmar表示，這首先需要企業內部外部的風險管理者與業務用戶之間對風險管理過程更好的協作。
從事實上講，風險、合規和安全功能將涉及防禦前線的業務用戶、供應商等，Delmar表示，並解釋說，這意味著要為這些用戶的廣泛用途提供一個風險管理平臺，風險管理將越來越多地與各管理結合，將成為企業用戶的行動‘點’。例如，如果一家公司正在與高風險供應商合作，企業不僅需要對該供應商定期進行評估，還應該系統地將性能指標和續約談判與該供應商的風險評估緊密結合。”
No.5：平衡預防性控制與檢測控制
大多數企業應該想辦法提高預防性控制和檢測控制之間的平衡。在過去，很多企業幾乎完全依賴於預防性控制，而這不是100%有效的，正因為此，企業應該同時利用檢測控制來發現、控制和修復沒有預防的安全事故。最終，穩定的基於風險管理的安全框架將推動這種平衡。
