技术帮助企业高效运转、发掘增长机会并管理数据。然而，技术也会因产生漏洞而带来风险：过时的软件、松散的访问管理以及不安全的数据存储空间都是黑客眼中诱人的目标。制定技术风险管理套餐是确保企业所依赖的技术高效、安全运行的最有效方式。

什么是技术风险？

技术风险是指由企业技术引起的任何问题，无论是硬件还是软件。这一类别涵盖范围很广，但通常会造成以下一种或多种影响：

  • 业务连续性中断：由于员工无法访问所需的数据或服务，日常业务无法照常进行，造成不必要的停机时间。
  • 安全违反：帐户被黑客入侵或工作笔记本电脑丢失都可能导致数据泄露，影响客户并损害企业声誉。
  • 违反法规：基础设施被黑客攻陷或数据泄露到暗网上，可能导致监管机构处以罚款，甚至面临刑事指控。
  • 财务损失：停机会造成收入损失，但还存在更严重的风险。声誉受损、监管罚款和法律费用可能让企业付出巨额代价，甚至可能导致无法继续运营。

技术风险有哪些例子？

如前文所述，技术风险涵盖的潜在问题范围极广。在本文中，我们将重点讨论以下几类：

  • 软件风险：包括第三方应用和服务，以及企业内部的软件开发。
  • 硬件风险： 包括笔记本电脑、平板电脑和手机等实体设备，以及企业的服务器，还包括安全密钥、U 盘和便携式云端硬盘。
  • 运营风险：包括日常流程的运行方式，例如团队如何使用企业软件，或者数据如何在内部分享。
  • 网络安全风险：包括网络钓鱼、勒索软件和其他类型的恶意软件（新窗口）等潜在威胁，还包括身份和访问管理的强度，例如整个组织中是否部署了 MFA。
  • 合规风险：包括客户数据的存储方式和存储位置，以及企业对当地数据法规的整体合规情况。

企业需要为技术风险做好规划

技术风险并非只影响资源不足或准备不足的企业：它只是使用技术的副产品。任何规模、任何行业的企业，乃至广义上任何使用技术的机构，都可能遭遇技术风险

美国财政部在 2025 年因一款遭到入侵的远程支持工具而遭遇重大网络事件（新窗口）——由于该远程支持工具是财政部访问管理中的单一故障点，中国黑客得以访问相关文档。澳大利亚航空公司 Qantas 遭到黑客群组攻击后，超过 1100 万条客户记录被泄露到暗网上，姓名、地址和电子邮件地址等敏感客户数据均遭泄露。

不要以为自己的组织规模太小而不会成为黑客的目标，也不要以为没有任何技术风险套餐也能正常运营。是时候制定一份套餐了。

创建技术风险管理套餐

技术风险管理套餐将保护企业的日常运营，并确保达到组织安全标准和法规要求。它结合了策略、流程和工具，帮助企业应对内部技术带来的潜在风险。它应是一份动态文档，每当 IT 基础设施发生变化时都应重新审阅，并在业务需求变化时随时修订。

通常，无论创建套餐的企业有何具体需求，IT 风险管理套餐都大致遵循相同的步骤。我们将逐步介绍如何为企业量身定制技术风险管理套餐，帮助您了解如何着手。

开展技术风险评估

一份好的技术风险管理套餐始于风险评估。这是流程中的关键步骤，因为它有助于识别企业中最有价值或风险最大的业务领域和资产。请创建一份清单，列出以下内容：

  • 所有系统中的每一个企业应用
  • 每台企业设备，例如笔记本电脑、手机和平板电脑
  • 每个数据集及其存储位置
  • 根据“自带设备” (BYOD) 套餐访问的每台设备
  • 每台服务器和/或每个数据中心

这项工作的目的是全面掌握企业的整体情况，从而识别漏洞和风险。您还可以在企业内指定相关人员，由其负责各自业务领域的风险评估和管理，通常包括 IT 部门以及财务、法务、合规和领导层。

评估潜在技术风险并确定优先级

识别出所有资产后，即可开始评估潜在风险的影响及其可能对企业造成的影响。请务必留意以下风险：

  • 易受网络钓鱼诈骗、勒索软件和其他恶意软件等安全威胁攻击
  • 过时或旧版系统，以及不再受支持的软件
  • 登录方式不安全，或关键服务缺少双因素身份验证 (2FA)
  • 数据违反

识别出所有潜在风险后，即可据此确定资源分配的优先级。选择额外的网络安全措施来保护最有价值的资产，并确保对网络中存储的最敏感数据采用零知识方案。

开始规划风险缓解

归根结底，您需要为风险真正发生的情况做好准备。制定预防或缓解风险的策略是一种切实可行的做法，对企业只会有益。例如，当团队成员的企业帐户已泄露时，移除用户的访问权限有多容易？

缓解和降低风险的方法因企业需求而异，但可以考虑从基础做起：

  • 创建一份事件响应套餐。它将成为企业应对事件的指南，一旦发生数据违反或黑客攻击，提前准备好这份套餐将带来极大不同。
  • 如果企业将敏感数据存储在多个（且可能不安全的）位置，请减少数据的分散程度。安全的企业密码管理器和云存储空间可以大幅提升企业数据的安全性，同时改善访问管理。
  • 考虑采用既能提升企业网络安全又能提高工作效率的新技术控制措施。例如，SSO 是为 IT 管理员简化访问管理的绝佳方式，让他们能够从一个位置管理用户帐户，并在必要时立即移除访问权限。
  • 考虑升级已变得脆弱或低效的旧版系统，并确保所有企业应用都已部署最新版本。
  • 确保负责风险的相关利益方就技术最佳实践以及如何在各自部门避免风险进行有效沟通。
  • 尽可能定期开展线下和在线培训。与每位团队成员持续保持关于技术风险的会话，使其始终铭记于心。

监控风险

对潜在技术风险的监控投入越多，就能越有效地缓解这些风险。尽早发现潜在的数据违反或网络攻击，有助于企业大幅降低其潜在影响。有鉴于此，暗网监测和使用日志是发现未经授权登录和数据违反的实用工具。设置相应流程来监控网络中的活动，然后随着时间推移评估这些流程的有效性。持续迭代将帮助您的企业找到最适合自身环境和业务需求的有效控制措施。