1、白皮书完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告内容3摘要4本次调查的统计方式5找到正确方法应对复杂的威胁环境6网络安全事件频率11推进准备中的竞争性优先事项13合理安排预算,迎接挑战14增加支出并不一定就有更好的结果151718 准备不足的代价建议相关注释3完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告在本次研究中,我们的目标是更好地了解整个亚太地区众多首席信息安全官(CISO)及其团队所面临的威胁形势,以及推动实现积极结果和成果的行动。研究结果发人深省,但也令人堪忧。在争取掌控局面的过程中,我们看到该地区各个行业和各个市场中各种规模的组织都面临着越来越多的网
2、络威胁。我们采访了亚太地区 14 个市场的 4,000 多名网络安全专业人士,其中超过四分之三(78%)的人在过去 12 个月内都至少经历过一次网络安全事件。几乎同等比例(76%)的受访者表示,此类事件的数量有所上升。其中 80%都表示他们经历了 4 次或以上的网络安全事件,一半的受访者甚至经历了 10 次以上。在所调查的市场中,大部分市场面临的头号威胁都是网络攻击,而恶意行为者的主要目标是植入间谍软件。但是,在日益混合化的工作环境中,威胁手段的数量持续地成倍增加。在这种环境下,首席信息安全官及其团队反应迅速,明显加强了准备,近九成受访者表示解决事件的时间缩短了。但是,本次研究发现,人们对网络
3、安全准备的整体认识仍然滞后,只有 38%的受访者表示他们的组织对网络安全事件已有“高度准备”,而用户保护则是准备不足情况最严重的领域。摘要对于很多受访者而言,网络安全架构仍然只是东拼 西凑建立起来的东西,只有一小部分受访者称已经 有了“成熟”的部署,并且许多人认为自己只是“有些准备”来解决网络安全事件。很多人都通过使用更多产品来解决这个问题,结果却不一定尽如人意。事实上,本次研究发现,面对日益增长的威胁,增加解决方案的数量似乎并不是一种有效的应对措施。人才短缺等其他紧迫的挑战对大多数受访者(60%)来说都是非常关键的问题。尽管有迹象表明,高级管理层对这些问题日渐重视正对预算产生积极影响,许多受
4、访者称,未来一年的资金投入将有所增加,但是资金不足仍然还是一个问题。考虑到人才短缺、财务资源和管理一系列解决方案所需的时间,以及“少即是多”的理念,拥有更加简单的安全架构可能会让组织在应对攻击时更敏捷、更有效。为了减少损失,需要更加智能地分配资源。研究结果显示,在过去的 12 个月里,绝大多数受访者的组织都经历了至少 100 万美元的财务损失,以及随之而来的声誉损失。展望更安全的未来之际,我们希望这份报告能为亚太地区的 CISO 和网络安全团队提供有用的信息和启发,帮助他们更好地了解网络安全风险,以及如何为其组织实现更好的结果。此致!Grant Bourzikas高级副总裁兼首席安全官4完善网
5、络风险防范 保障未来发展:亚太地区网络安全形势调查报告本报告基于 2023 年 7 月对 4009 名负责企业网络安全的领导者进行的一项双盲调查的结果,包括负责网络安全事务的执行领导层、安全领导层、安全管理层以及技术领导层。受访者来自亚太地区的 14 个市场:澳大利亚、中国、香港特别行政区、印度、印度尼西亚、日本、马来西亚、新西兰、菲律宾、新加坡、韩国、台湾地区、泰国和越南。受访者根据大致相同比例从不同规模的企业中抽取,分别来自小型(150 至 999 名员工)、中型(1000 至 2500 名员工)和大型(超过 2500 名员工)的企业,涉及多个行业:商业及专业服务;建筑与房地产;教育;能源
6、、公用事业和自然资源;金融服务;游戏;政府;医疗保健;信息技术;制造;媒体与电信;零售;交通运输;旅游、观光和酒店。本次调查的统计方式按国家/地区划分:309302211207203291224426403230303349297228受访者数量澳大利亚香港特别行政区印度尼西亚马来西亚菲律宾韩国泰国中国印度日本新西兰新加坡台湾地区越南5完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告CISO 及其团队的工作环境正变得越来越复杂多变。我们的研究发现,亚太地区网络安全领导者现在面 临的三大挑战是确保混合型员工队伍的安全(51%);防御网络攻击(48%);部署 Zero Trust 架构
7、(42%)。为了建立一个有弹性且符合预期目的的网络安全态势,无数问题亟待解决,这也放大了抵御网络攻击的重要性。47%的受访者认为其网络安全架构的首要问题是存储在公共云中的应用程序和数据的漏洞;44%认为是过度依赖 VPN 来保护应用程序;43%认为是对企业 IT 供应链的监管有限。这些问题凸显了 CISO 所要面临的有趣挑战和企业潜在的头痛问题,因为网络安全正在超越传统范畴,成为一门真正的跨组织学科。找到正确方法应对复杂的威胁环境51%48%42%保护混合办公人员防御网络攻击部署 Zero Trust 架构47%44%43%存储在公共云中的应用程序和数据存在漏洞过度依赖 VPN 保护应用程序对
8、组织 IT 供应链的监督有限现有网络安全架构的首要问题:亚太地区网络安全领导面临的首要挑战:不良行为者都非常清楚,由首席信息官推动的常见 IT 实践会引发漏洞,造成严重且持续的安全问题。这是一个紧迫的问题,不仅是对 CISO 而言,对整个组织亦是如此。6完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告这些挑战在日益高强度的威胁环境中被放大。亚太地区疫情结束一年后,随着疫情后工作模式逐渐更加成熟,本次研究发现,该地区网络安全事件的发生频率继续增长。在过去的 12 个月中,超过四分之三(78%)的受访者都遭遇了某种形式的网络安全事件,其中中型企业的员工最有可能受到影响。各行业之间存在显
9、著差异,我们的调查显示,技术主导型行业(如游戏、媒体和电信)最容易受到网络安全事件的影响,这也是贯穿本报告的一个趋势。网络安全事件频率按行业分类:%的受访者称在过去 12 个月内至少经历过一次网络安全事件零售政府机构游戏、电竞与博彩金融服务能源建筑与房地产医疗保健交通运输制造业87%媒体与电信87%84%84%IT 技术84%76%66%商务及专业服务80%75%60%教育79%70%出行和旅游82%68%按市场:越南澳大利亚印度新西兰马来西亚日本泰国香港特别行政区印度尼西亚中国菲律宾韩国新加坡台湾地区86%94%90%83%81%79%78%77%76%72%70%68%68%61%的受访者
10、称在过去 12 个月内至少经历过一次网络安全事件按企业规模划分:小型企业中型企业大型企业77%81%74%过去 12 个月内报告网络安全事件的百分比78%的受访者表示,过去 12 个月内经历过一次网络安全事件7完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告我们的研究进一步表明,网络安全漏洞并非一次性 事件。在过去一年经历过网络安全事件的受访者组 织中,80%的企业报告了 4 次或以上的网络安全事件,50%的企业报告了 10 次或以上的网络安全事件。小型企业受到影响的可能性略低于大型企业,但正如后文中所述,这可能是由于不太先进的网络安全架构检测攻击的能力较差。新西兰(68%)、香港
11、特别行政区(67%)和越南(64%)的受访者声称在过去 12 个月里经历了 10 次以上的网络事件。预计在 2023 年剩下的时间和 2024 年,这一趋势似乎将持续;超过四分之三(76%)的人表示,在过去的 12 个月中,网络安全事件的数量已有所上升。过去 12 个月内经历的网络安全攻击类型:60%网络攻击50%41%41%网络钓鱼攻击分布式拒绝服务攻击内部威胁或被盗凭据攻击目标:59%间谍软件55%52%52%经济利益数据外泄勒索软件主要目标主要目标所述的行业受影响的主要行业植入间谍软件教育、能源、政府、IT 与 技术、制造业、媒体与电信、零售、旅游与观光媒体与电信(72%)、能源(69%
12、)、旅游和 观光(69%)经济利益商业与专业服务,建筑与 房地产,能源与金融服务能源(69%)、金融服务 (68%)、媒体和电信(67%)勒索软件游戏(电竞和博彩)游戏(65%)、媒体和 电信(63%)、建筑和房地产(57%)数据外泄政府、医疗保健、交通运输医疗保健(64%)、交通运输(62%)、建筑和房地产(57%)76%78%在过去 12 个月内经历的网络安全事件数量有所增加认为他们在未来 12 个月内将会经历网络安全事件企业规模4+次事件10+次事件总数80%50%大型80%51%中型81%54%小型77%46%*政府=间谍软件+数据外泄(联合第一);能源=间谍软件+经济利益(联合第一)
13、。攻击事件日渐增多在网络安全事件的类型方面,网络攻击如今已取代网络钓鱼成为最常见的攻击形式,而在之前的调查中,网络钓鱼还是主要的手段。受访者报告得最多的是网络攻击(60%),其次是网络钓鱼攻击(50%)。对于大多数受访者来说,大部分攻击的目标都是植入间谍软件。在过去的一年中,超过一半(59%)的攻击属于这种情况,毫无疑问,这也是未来的攻击趋势。经济利益(55%)、数据外泄(52%)和勒索软件(52%)则是网络攻击者的另外三个主要目标。8完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告明确表示在过去 12 个月里网络安全事件有所增加的受访者中,新西兰(89%)、泰国(87%)和越南(
14、86%)三国的比例最大。有趣的是,虽然行业之间存在显著差异,但报告网络事件增加的行业与之前的分析有所不同。这可能表明恶意行为者在确定目标时寻求丰厚的 收获从攻击中获得最大回报的机会:越南市场中认为“非常有可能”遭遇攻击的受访者比例达到 75%,远高于地区平均水平的 23%。按行业:按行业:按行业划分的过去 12 个月内报告至少一次网络安全事件的百分比。按行业划分的预计未来 12 个月内会经历至少一次网络安全事件的百分比。82%85%81%84%80%84%78%83%78%82%78%81%77%80%76%80%75%80%75%79%72%76%72%75%70%72%63%66%出行和旅
15、游 零售 IT 技术 商务及专业服务 商务及专业服务 金融服务建筑与房地产医疗保健零售教育 政府机构 制造业 教育 政府机构游戏、电竞与博彩媒体与电信出行和旅游能源交通运输IT 技术金融服务 能源交通运输媒体与电信游戏、电竞与博彩制造业 医疗保健 建筑与房地产展望未来,该地区的首席信息安全官及其团队看到了即将面临的重大挑战,近八成(78%)受访者认为他们的组织将可能在明年经历某种网络安全事件。游戏、媒体和电信等我们已经知晓易受攻击的行业最有可能表达悲观情绪,同时只有三分之二的政府机构受访者认为他们将在未来 12 个月内遭受攻击。大多数受访者担心未来 12 个月受到恶意软件的攻击。这是 37%的
16、受访者最担心的问题,勒索软件和间谍软件是第二大最令人担忧的攻击手段(以 15%的比例排名第一)。尽管网络钓鱼在过去 12 个月的事件数量中排名第二,但在未来 12 个月,这种形式的攻击将是第三大最令人担忧的攻击手段。准备仍然不足 尽管网络安全事件越来越频繁,但只有不足一半(38%)的人认为已“做好充分准备”,而仅有刚刚超过一半的人认为已“有所准备”。9完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告也许是为了应对更大的威胁手段,技术主导型行业的首席信息安全官往往比其他行业的同行准备得更加 充分。在报告已做好充分准备的受访者中,比例最高的行业是零售(44%)、媒体和电信(44%)、I
17、T(40%)和交通运输(40%)。相比之下,医疗保健(16%)、教育(13%)、政府机构(10%)和旅游业(10%)的绝大部分受访者都表示他们“没有准备好”抵御攻击。但是,值得注意的是,这些行业也经常面临预算挑战,或者不得不使用老旧的系统。不同的市场中,报告已做好充分准备的受访者比例差异很大。在韩国、中国大陆和台湾地区,只有 20%、21%和 24%的受访者表示已做好充分准备。尽管之前提到越南受访者报告受到攻击的比例很高,但到目前为止,越南受访者报告已做好充分准备的比例最高(78%),而所有市场的平均水平为 38%。数据安全是重中之重,因此针对此方面准备得最充分,这可能是由于端点安全性低所带来
18、的潜在成本,而围绕用户的准备程度最低。虽然这些水平可能不是每个组织希望自己达到的水平,但是已出现积极的迹象,46%的组织已经开始了他们的进程。正如预期的那样,与小型企业相比,大型企业在网络安全的关键支柱方面准备得更充分。尽管大型组织的运营环境更复杂,这可能导致推出措施的延迟,但是考虑到网络安全预算的相对规模,这种结果并不意外。对于决定优先考虑网络安全的哪个方面,CISO 面临着一项艰巨的任务。他们知道攻击来自于很多方向,但受 预算、专业知识和时间方面的限制,他们需要优化重点方面,而对很多人来说,重点是围绕网络展开行动。90%的受访者称已经围绕这一方面部署了解决方案,明显高于数据(85%)、用户
19、(85%)、设备(84%)和应用程序(83%)方面。不过,医疗疗保健行业有约四分之一的受访者表示,他们没有在这五大网络安全方面部署解决方案,这一比例明显高于其他行业。网络安全防护部署完善程度仍然较低只有不足半数的企业为应对网络安全事件做好了充分准备:38%42%41%40%38%37%网络安全应用程序安全用户安全整体网络安全意识数据安全设备安全42%41%40%已做好充分准备来保护数据安全。(40%的小型企业与 44%的大型企业)38%37%针对设备方面做了充分准备。针对网络方面做了充分准备。针对应用程序方面做了充分准备。针对用户方面做了充分准备。24%23%27%目前没有部署解决方案来保护网
20、络23%28%目前没有部署解决方案来保护应用程序目前没有部署解决方案来保护设备目前没有部署解决方案来保护数据目前没有部署解决方案来保护用户然而,在没有部署解决方案的医疗保健行业受访者中,有超过四分之三计划在未来 12 个月内纠正这一问题。10完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告加强网络安全准备的一个附带影响是,很多受访者报告在过去 12 个月发生的网络安全事件数量有所增加。似乎在做好准备后,网络安全团队往往更有能力检测到入侵,因此报告的事件数量更多。充分准备、有所准备和没有准备的受访者报告的过去的 12 个月中各种攻击的发生率清楚地显示了准备程度与检测之间的联系,特别是
21、在探测 DDoS、内部威胁/被盗凭据和供应链攻击方面:检测到的攻击类型充分准备有所准备毫无准备网络钓鱼50%51%40%网络攻击60%6253分布式拒绝服务(DDoS)45%39%38%内部威胁/被盗凭据46%37%38%面向公众的应用程序40%35%27%零日漏洞利用29%25%20%供应链攻击38%3022%商业电子邮件泄露3229%30%利用已披露的漏洞13%12%11%11完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告对于大多数 CISO 来说,做好充分准备的关键是确保覆盖安全体系结构中的主要漏洞。大约五分之一的受访者表示,他们没有 MFA(19%)、CASB(19%)或
22、浏览器隔离解决方案(19%)。对于许多受访者来说,在准备过程中的一个关键因素是全面实施 SASE,目前这方面进展显著,80%的受访者表示他们处于“开发”或以上的推出阶段,只有一小部分(4%)处于早期阶段,或尚未开始 SASE 进程。这些实施数量也与安全领导者的战略意图保持一致。四分之一(25%)的受访者表示将转向 SASE 架构列为他们的三大优先事项之一。在各种规模的企业中,流程和工具的实施水平非常相似,40%的企业报告已全面实施 Zero Trust、端点保护平台(EPP)和数据加密。值得注意的一个异常情况是扩展检测和响应(XDR),与其他解决方案相比,只有 29%的受访者报告已全面实施。尽
23、管进展喜人,但还是有近一半(49%)的组织还在推出的过程中,不过在一定程度上这也表明此解决方案的采用正日趋成熟。如前所述,Zero Trust 部署是很多组织的关键优先 事项,虽然这是一项新技术,但发展迅速。Zero Trust 网络访问是所有解决方案中部分部署比率最高的,表明部署水平最终将赶上其他解决方案。42%的受访者还将 Zero Trust 部署列为其组织的三大战略优先事项之一。人才短缺但是,宏伟计划的实施可能还是会受到执行方面的挑战及阻碍。对于网络安全准备方面的挑战,60%的受访者都表示是人才短缺。日本(72%)、马来西亚和越南(71%)的受访者比例尤其高。表示人才短缺是主要障碍的受
24、访者也报告称过去 12 个月里的网络安全事件数量也有所增加。推进准备中的竞争性优先事项全面实施部分实施浏览器隔离36%43%云访问安全代理(CASB)38%43%数据加密44%38%端点保护平台(EPP)36%42%扩展检测和响应(XDR)29%49多因素身份验证(MFA)38%43%Zero Trust 网络访问33%48%12完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告显然,网络安全领域的人才争夺战正在产生影响,但却不仅仅只对准备工作产生影响。一旦组织开始增加 其网络安全解决方案,这种人才短缺的情况就会加剧。我们的发现清楚显示,组织在其架构中的解决方案越多,就越有可能遭遇人
25、才短缺。事实上,具有 15 个或更多网络安全解决方案的组织中,有三分之二(65%)可能会报告人才短缺,而少于 15 个网络安全解决方案的组织中,这一比例为五分之三(60%)。情况很清楚 准备程度正在推动结果解决方案的推出也是首席信息安全官准备工作重要的一环,我们的研究清楚地表明,在网络安全的各主要方面,充分准备与更好的安全结果之间存在很强的相关性。对于许多受访者而言,提前做好充分准备确实是非常有效的手段。研究结果表明,充分准备与更强的网络安全事件和攻击检测与管理能力以及更快速解决问题的能力相关。解决事件所需的最长时间57%51%40%充分准备准备程度与检测到的网络安全事件:在过去 12 个月内
26、 检测到了 10 次以上事件有所准备毫无准备60%的受访者认为,缺乏人才是提高网络安全就绪度的一个障碍,并且这与遭遇更多安全事件和快速解决问题的能力不足息息相关。人才短缺人才充足人才短缺在过去 12 个月内发生了 10 次以上事件47%54%能够在 12 小时内解决网络安全事件80%77%检测到的攻击类型充分准备有所准备毫无准备网络钓鱼50%51%40%网络攻击60%62%53%分布式拒绝服务(DDoS)45%39%38%内部威胁/被盗凭据46%37%38%面向公众的应用程序40%35%27%零日漏洞利用29%25%20%供应链攻击38%30%22%商业电子邮件泄露32%29%30%利用已披露
27、的漏洞13%12%11%准备程度与检测到的网络攻击:解决事件所需的最长时间60%52%39%充分准备准备程度与解决事件所需的最长时间:12 小时以内有所准备毫无准备13完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告对于很多受访者而言,准备程度毫无疑问会得益于投资水平。在过去的 12 个月中,超过一半(53%)的组织将其整个 IT 预算的 11%至 20%用于网络安全,另有 28%的企业花费了 21%或以上的 IT 预算。不到五分之一(18%)的组织在网络安全准备方面的预算支出低于 10%。越南和菲律宾(各占 43%)以及日本(40%)的组织表示,他们将超过 21%的 IT 预算用
28、于网络安全。正如本报告的其他部分所述,规模确实很重要,但是网络安全准备并非无关紧要。超过三分之一(35%)的大型组织将超过五分之一的 IT 预算用于网络安全产品、解决方案和人员配置。这比中小型组织高出一个数量级,只有 26%的中小型组织将超过五分之一的 IT 预算用于网络准备。有趣的是,考虑到各行业的准备状态,医疗保健是支出最多的三类组织之一,另外两类是交通运输和金融,这表明预算越高并不一定有更高的准备状态。相比之下,教育、游戏、政府机构和制造业的组织最有可能将 IT 预算的 1%到 10%用于网络安全准备。展望未来,三分之二(67%)的受访者预计未来 12 个月将增加预算,另有五分之一(22
29、%)的受访者预计将维持目前的支出水平。对日常生活至关重要的行业,如金融、医疗保健和交通运输,预计支出上限将提高,而受经济环境负面影响更大的行业,如零售和制造业,则预计会减少预算。对于很多组织来说,未来的预算将大幅增加。在认为未来 12 个月预算会增加的受访者中,有近一半预计将会增长 11%到 20%。正如您所料,来自大型企业的受访者中有 37%认为他们会通因预算增加而获益,但在小型企业中,仅有 27%的受访者这样认为。预算增加的主要因素?五分之三(60%)的受访者表示网络安全事件的发生率是最重要的因素,而 55%的受访者认为是过往网络安全事件的财务影响。排名前三的因素是对当前网络威胁形势的评估
30、结果,这是 45%的受访者考虑的因素。在少数预计会削减预算的组织中,大多数认为削减幅度将在 11%至 20%之间。亚太地区制造业(48%)、零售业(50%)和交通运输业(54%)的组织最有可能遭受最严重的预算削减(超过 20%)。合理安排预算,迎接挑战合理安排预算,迎接挑战$用于网络安全的 IT 预算百分比(%):预测网络安全预算将发生变化的百分比(%):18%0 10%53%11 20%28%超过 20%$22%维持67%增加11%减少14完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告CISO 面临多种挑战导致很多网络安全团队的产品和解决方案五花八门,大多数受访者表示他们现在的
31、架构中有 6 到 15 种产品。然而,大型组织往往拥有更复杂的产品阵列,架构中拥有 20 多种产品的大型组织几乎是中型组织的两倍。有趣的是,与大型企业相比,中型企业不太愿意使用更多产品。我们的研究显示,有超过 2,500 名员工的大型公司拥有 20 多个解决方案的可能性是其他公司的两倍多。这可能源于产品采购的更高预算以及用于雇用团队来实施和管理它们的资源。同时使用多种网络安全解决方案对网络安全效率产生了一定的负面影响,这意味着企业应该寻求更简单的解决方案。购买和管理大量解决方案的成本通常更高。已经面临上述人才短缺问题的组织将更加难以找到员工来管理经常重叠的解决方案。在拥有超过 15 个网络安全
32、解决方案的组织中,65%的组织报告了 人才短缺问题,而在拥有少于 15 个网络安全解决方案的组织中,这一比例为 60%。然而,最近网络安全事件常见的应对手段是增加部署解决方案的数量,这在优先级方面表现不匹配。在过去三个月内经历过安全事件的组织中近三分之一(31%)表示,他们的组织将在未来 12 个月内大幅增加网络安全解决方案的数量,相比之下,整个受访者群体中这一比例为 21%。合理使用预算 无论预算增加与否,这对首席信息安全官来说都是一个挑战。对于许多受访者来说,当他们引入第三方来提供工具或解决方案时,有三个明确的标准。其中,最重要的(59%)是选择与他们已经建立关系或最近建立关系的供应商。自
33、然地,当其有能力选择自己的产品(52%),而不是由组织中的其他人预先选择时,53%的人将同类最佳产品列为首选标准。大型组织的网络安全团队似乎有更大的自由度来选择他们想要的产品,55%的受访者表示,他们要负责选择产品,而一定要选择同类最佳产品。增加支出并不一定就有更好的结果经历了 10 多个网络安全事件过去 12 个月内的财务影响超过 250 万美元事件响应时间在 12 小时内正在经历人才短缺39%15 个解决方案以下80%24%60%部署较多解决方案与较少解决方案的企业在表现方面存在显著的差异。部署较少解决方案的企业表现更好:73%65%48%65%超过 15 个解决方案15完善网络风险防范
34、保障未来发展:亚太地区网络安全形势调查报告美国联邦调查局(FBI)在 2022 年收到了 80 多万份网络安全事件报告,大约每分半钟就有一份1。毫无疑问,网络事件的成本每年都在呈指数级增长,这一事实得到了受访者的认可,63%的受访者表示,在过去的 12 个月里,他们组织遭受的财务损失达到了至少 100 万美元。不仅仅是大型组织会经历这些重大损失。61%的小型企业和 72%的中型企业也因网络事件而遭受至少 100 万美元的损失。在报告过去 12 个月中的财务影响超过 300 万美元的受访者中,香港(91%)、新西兰(83%)和韩国(81%)的受访者比例最高。所有受访者中有大约七分之一(14%)表
35、示遭受了超过 300 万 美元的损失,与中型(14%)和小型(8%)企业相比,大型企业遭受损失的比例自然更高(21%)。虽然财务成本是最直接的影响,但并不是唯一的影响。16%的受访者认为声誉受损是最大的影响,而 21%的受访者认为数据或知识产权(IP)的损失是最严重后果。事实上,在过去的 12个月里,数据丢失是组织网络安全事件中最常见的结果,可能会产生严重的后果。例如,30%的受访者表示,数据丢失导致了被解雇,而 26%的受访者表示遭到了法律起诉。对于数据丢失,监管机构也会涉入。大约三分之一(33%)的受访者表示,他们的组织向相关部门报告了数据泄露事件。超过四分之一(26%)的受访者最终支付了
36、罚款,同样多的受访者遭到法律诉讼。准备不足的代价准备不足的代价按企业规模划分的在过去 12 个月内因网络安全事件而遭受的财务影响:总计*不足 100 万美元*其余受访者表示,不清楚财务影响超过 100 万美元中型小型大型31%39%28%26%63%54%69%65%1 https:/ 保障未来发展:亚太地区网络安全形势调查报告正如我们前文所述,大多数首席信息安全官认为他们至少对网络安全事件已有所准备。这些准备工作缩短了解决时间,近九成(87%)受访者表示,在过去 12 个月中,他们能够更快地处理事件。而响应时间的减少是一系列不同因素共同作用的结果。但是,在事件响应方面也并非全是好消息,值得注
37、意的是,四分之三的受访者表示停留时间有所延长;超过五分之一(22%)的受访者表示,停留时间明显延长。这一点在媒体和电信行业最为明显,88%的组织经历了停留时间的增加,IT 和技术行业紧随其后,为 79%。政府(61%)和零售(66%)行业经历了停留时间增加的组织比例较小。首席信息安全官不仅应该关注停留时间增加的发生率,还应该关注受访者报告的平均停留时间。三分之二的 受访者表示,黑客可以进入他们的系统 12 个小时或更长时间,42%的受访者表示平均停留时间达 24 小时。这导致了很多组织面临了较长的停机时间,83%的受访者报告对他们组织的功能能力的影响超过三个小时。六分之一(17%)的受访者表示
38、,他们的组织受到影响的时间为 9 小时或更长。造成机遇和挑战的因素:60%52%46%55%51%38%合适的人才技术投资更好的监控检测平台更完善的安全文化明确的攻击应对手册加强与利益相关方的协调17完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告1.充分的准备至关重要。组织应该战略性地投资部署统一的解决方案,并通过诸如 Zero Trust 之类的方法来应对日趋复杂的威胁环境。2.就部署的解决方案数量而言,少即是多通过 SASE 简化安全架构,缓解组织面临的行业人员短缺的压力,并改善网络安全成果。3.合理安排时间加强董事会和公司其他部门的安全文化。深入了解和建立安全意识是加强准备
39、时的第一道防线。4.通过建立强大的安全文化,首席信息安全官不再需要事后才来强调加强准备工作,从而能够主动减轻严重财务损失的风险。5.网络安全需要通力合作。高级管理人员应将网络安全视为关键任务,并且组织应采取整体综合方法来确保其员工、供应商和客户遵守最佳实践。建议本次研究显示,亚太地区的很多组织正在面临并将继续面临各种各样的挑战无论是预算限制、人才短缺、日益复杂的网络安全形势,还是伺机而动越来越猖狂的网络罪犯。因此,很多组织已经对其 IT 基础设施进行了投资,然而组织不仅需要保护自身免受不断增加的外部威胁的影响,还要保持生产力并应对远程办公趋势,这意味着很多组织可能会继续加大投资。Cloudfl
40、are 可以帮助各地区的组织应对当今的网络安全挑战,无论组织何时实施网络安全措施或安全团队的准备程度如何。Cloudflare 的平台可以帮助任何规模、任何实施阶段、任何准备程度的组织简化网络安全防护、缓解人才短缺问题,并有力地抵御任何类型的网络威胁。如需了解有关 Cloudflare 解决方案套件的更多信息,并需要销售代表提供演示或POC,请访问:https:/ Cloudflare 如何帮助您从人员、应用程序、设备、网络和数据方面加强网络安全制定行动计划。18完善网络风险防范 保障未来发展:亚太地区网络安全形势调查报告网络安全角色安全领导=参与确定组织的安全态势安全管理=参与安全团队的日常
41、工作技术=在工程、架构、响应和情报等领域提供技术支持实施阶段完全实施=100%高度实施=76-99%发展实施=51-75%部分实施=26-50%早期实施=25%成熟度(Zero Trust 示例)初期=已实施 MFA发展=不再使用 VPN,增强端点保护成熟=网段接入,使用互联网进行分支连接非常成熟=保护应用程序免受第 7 层攻击(DDoS、注入、机器人等)、有专门的 Zero Trust 从业者、CZTO 等相关注释 2023 Cloudflare Inc.保留所有权利。Cloudflare 徽标是 Cloudflare 的商标。所有其他公司和产品名称分别是与其关联的各自公司的商标。REV:BDES-4859.2023AUG22010 8524 1783|C