1. NIST 网络安全框架提供全面的指导和最佳实践
深入探索NIST网络安全框架：全面的指南与最佳实践
NIST网络安全框架（NIST CSF），作为由美国国家标准与技术研究所（NIST）精心构建的权威框架，已经成为全球网络安全领域的瑰宝。它的初衷是为那些寻求强化网络安全防护的机构提供清晰的指导，旨在通过其精心设计的IPDRR能力模型，帮助企业全方位地应对安全挑战。
经典IPDRR模型：网络安全的盾牌
NIST CSF的核心在于风险识别（Identify）、保护（Protect）、检测（Detect）、响应（Response）和恢复（Recovery）五个关键能力。它如同一个盾牌，从风险识别的源头开始，帮助企业主动识别并管理资产，通过保护功能实施安全措施，确保在事件发生时能迅速检测并响应，最后在恢复阶段制定持久的复原计划。这个框架覆盖了网络安全的全生命周期，确保“预防、应对、恢复”三位一体的策略得以实施。
历史的里程碑
2013年，美国政府发布了第13636号行政命令，推动NIST与私营部门合作，共同构建了NIST网络安全框架的雏形V1.0。随着2014年《网络安全增强法案》的出台，NIST CSF的影响力进一步扩大，成为了美国乃至全球广泛应用的安全框架之一，见证了网络安全意识的提升与实践的迭代。
框架的架构：细致入微的指导
NIST网络安全框架以功能、类别、子类和参考资料的形式构建，层次分明。功能部分阐述了最佳实践的安全策略，强调的是持续执行和动态风险管理。类别和子类则提供了针对组织内部特定部门或流程的细化操作指南，例如：
- 识别功能，如资产管理、风险评估，要求网络安全团队深入了解组织的核心资产和潜在威胁。
- 保护功能涵盖身份管理、物理安全，确保关键基础设施的保护措施到位。
- 检测功能通过异常检测和持续监控，确保对潜在攻击及时做出反应。
- 响应功能则涵盖规划、通信和缓解策略，确保在危机中的快速响应。
- 恢复功能则确保在遭受攻击后，有明确的恢复计划以维持业务连续性。
总的来说，NIST网络安全框架不仅是一个全面的指导工具，更是推动组织提升网络安全水平的重要指南，为全球企业在日益复杂的网络环境中保驾护航。
2. 导致阿里云被暂停合作的漏洞 究竟是什么
新京报贝壳 财经 讯（记者 罗亦丹）因发现安全漏洞后的处理问题，近日阿里云引发了一波舆论。
据媒体报道，11月24日，阿里云安全团队向美国开源社区Apache（阿帕奇）报告了其所开发的组件存在安全漏洞。12月22日，因发现Apache Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，阿里云被暂停作为工信部网络安全威胁信息共享平台合作单位6个月。
12月23日，阿里云在官方微信公号表示，其一名研发工程师发现Log4j2 组件的一个安全bug，遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助，“随后，该漏洞被外界证实为一个全球性的重大漏洞。阿里云因在早期未意识到该漏洞的严重性，未及时共享漏洞信息。”
“之前发现这样的漏洞都是直接通知软件开发方，这确实属于行业惯例，但是《网络产品安全漏洞管理规定》出台后，要求漏洞要同时通报给国家主管部门。由于上述法案颁布的时间不是很长，我觉得漏洞的发现者，最开始也未必能评估到漏洞影响的范围这么大。所以严格来说，这个处理不算冤，但处罚其实也没有那么严格，一不罚钱，二不影响做业务。””某安全公司技术总监郑陆（化名）告诉贝壳 财经 记者。
漏洞影响有多大？
那么，如何理解Log4j2漏洞的严重程度呢？
安全公司奇安信将Apache Log4j2漏洞的CERT风险等级定为“高危”，奇安信描述称，Apache Log4j 是 Apache 的一个开源项目，通过定义每一条日志信息的级别，能够更加细致地控制日志生成过程，“Log4j2中存在JNDI注入漏洞，当程序将用户输入的数据进行日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。”
安域云防护的监测数据显示，截至12月10日中午12点，已发现近1万次利用该漏洞的攻击行为。据了解，该漏洞影响范围大，利用方式简单，攻击者仅需向目标输入一段代码，不需要用户执行任何多余操作即可触发该漏洞，使攻击者可以远程控制受害者服务器，90%以上基于java开发的应用平台都会受到影响。
“Apache Log4j RCE 漏洞之所以能够引起安全圈的极大关注，不仅在于其易于利用，更在于它巨大的潜在危害性。当前几乎所有的技术巨头都在使用该开源组件，它所带来的危害就像多米诺骨牌一样，影响深远。”奇安信安全专家对贝壳 财经 记者表示。
“这个漏洞严重性在于两点，一是log4j作为java日志的基础组件使用相当广泛，Apache和90%以上的java应用受到影响。二是这个漏洞的利用入口非常多，几乎达到了（只要）是这个漏洞影响的范围，只要有输入的地方就受到影响。用户或者攻击者直接可以输入的地方比如登录用户名、查询信息、设备名称等等，以及一些其他来源的被攻击者污染的数据来源比如网上一些页面等等。”从事多年漏洞挖掘的安全行业老兵，网友“yuange1975”在微博发文称。
“简而言之，该漏洞算是这几年来最大的漏洞了。”郑陆表示。
在“yuange1975”看来，该漏洞出来后，因为影响太广泛，IT圈都在加班加点修补漏洞。不过，一些圈子里发文章为了说明这个漏洞的严重性，又有点用了过高评价这个漏洞的词语，“我不否认这个漏洞很严重，肯定是排名很靠前的漏洞，但是要说是有史以来最大的网络漏洞，就是说目前所有已经发现公布的漏洞里排第一，这显然有点夸大了。”
“log4j漏洞发现者恐怕发现漏洞时对这个漏洞认识不足，这个应用的范围以及漏洞触发路径，我相信一直到阿里云上报完漏洞，恐怕漏洞发现者都没完全明白这个漏洞的真正严重性，有可能当成了Apache下一个普通插件的一个漏洞。”yuange1975表示。
9月1日起施行新规 专家：对于维护国家网络安全具有重大意义
据了解，业界的开源条例遵循的是《负责任的安全漏洞披露流程》，这份文件将漏洞披露分为5个阶段，依次是发现、通告、确认、修复和发布。发现漏洞并上报给原厂商，是业内常见的程序漏洞披露的做法。
贝壳 财经 记者观察到，白帽黑客建立漏洞发现与收集的平台并告知企业的做法一度在圈内流行。根据《 财经 天下》的报道，把漏洞报给原厂商而不是平台方，也会有潜在的好处。包括微软、苹果和谷歌在内的厂商对报告漏洞的人往往会有奖励，“最高的能给到十几万美元”。更重要的是名誉奖励。几乎每一家厂商对第一个报告漏洞的人或者集体，都会公开致谢。“对于安全研究人员而言，这种名声也会让他们非常在意。
不过，今年9月1日后，这一行业“常见程序”就要发生变化。
7月13日，工信部、国家网信办、公安部印发《网络产品安全漏洞管理规定》，要求任何组织或者个人设立的网络产品安全漏洞收集平台，应当在两日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。该规定自2021年9月1日起施行。
值得注意的是，《规定》中也有漏洞发现者需要向产品相关提供者通报的条款。如《规定》第七条第一款显示，发现或者获知所提供网络产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。第七条第七款则表示，不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
奇安信集团副总裁、补天漏洞响应平台主任张卓在接受新京报贝壳 财经 记者采访时表示，《网络产品安全漏洞管理规定》释放了一个重要信号：我国将首次以产品视角来管理漏洞，通过对网络产品漏洞的收集、研判、追踪、溯源，立足于供应链全链条，对网络产品进行全周期的漏洞风险跟踪，实现对我国各行各业网络安全的有效防护。在供应链安全威胁日益严重的全球形势下，《规定》对于维护国家网络安全，保护网络产品和重要网络系统的安全稳定运行，具有重大意义。
张卓表示，《规定》第十条指出，任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。同时在第六条中指出，鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞，还“鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。”这两条规定规范了漏洞收集平台和白帽子的行为，有利于让白帽子在合法合规的条件下发挥更大的 社会 价值。
3. 奥巴马关于互联网安全说过的话
《华尔街日报》指出，白宫为网络安全问题密集造势，目的是推出一个应对种种网络攻击威胁的全方位战略。这个战略涉及立法、企业、社会、教育、资金等多个层面。
第一，推动出台《消费者隐私权益法案》。该法案可以更好地保护民众权益和个人隐私。奥巴马12日指出：“互联网创造了巨大的机会，却也给国家﹑经济、家庭及个人带来了安全漏洞。”根据白宫草拟的这部新法案，一旦消费者的个人信息安全出现漏洞，银行和信用卡公司必须在30天内通知消费者；现有法律漏洞将被补上，以利于依法惩处那些躲在境外从事窃取和销售消费者个人信息的犯罪嫌疑人；保护儿童和学生在使用短信、网络时的隐私等。
第二，促使企业与政府共享网络安全信息。根据奥巴马13日提出的新立法建议，美国将鼓励大银行、信用卡公司向政府相关部门提供配合，使消费者可以免费查询本人信用评分。全国通信与网络安全控制联合协调中心是国土安全部的网络安全中枢部门，该中心将与其他联邦机构实现近乎实时的信息共享，以使提供信息的公司及时得到有针对性的网络安全保护。
第三，举办网络安全与消费者保护专题峰会。根据计划，白宫将于2月13日在斯坦福大学举办网络安全与消费者保护峰会。据此间媒体透露，此次峰会将邀请金融﹑科技﹑通信以及计算机安全软件公司等各界代表参加，讨论如何有效应对越来越多的针对消费者和商界的网络攻击。
最后，政府提供专项资金支持网络安全教育培训。14日，奥巴马在考察爱荷华州时，鼓励美国公民使用高速宽频。副总统拜登15日将在弗吉尼亚州诺福克发表演说，宣布美国政府将建立网络安全职业培训项目，新筹资金用于网络安全职业培训。美国政府还将对传统上非裔学生居多的美国学校提供教育资金，以强化网络安全教育。
4. 中国版萨班斯SOX法案对数据安全市场的影响
2002年，美国国会以一项里程碑式的法案——Sarbanes-Oxley Act（SOX法案），全面重塑了上市公司的财务和公司治理标准。这部法案犹如一股巨浪，冲击着全球商业格局，尤其对在美国上市的公司，包括本土与国际企业，带来了深远的影响，涉及范围从公司治理、内部控制、财务报告到信息系统、法律责任，无一不受到严格的规范。
SOX法案的核心理念在于强化数据安全，确保财务和客户信息的保护。它强制要求上市公司必须实施严格的内控，包括保护财务数据、维护系统安全以及防止客户信息被盗取和破坏，以提升披露的准确性和透明度。对于中国企业，尤其是那些在美国上市的，如中国移动和深圳过人通信，这个法案犹如一道紧箍咒，推动他们进行公司治理改革，引入新技术和工具，提升管理流程的透明度，强化内部控制，确保信息系统的稳健运行。
2008年，中国紧随美国之后，推出了自己的“中国版萨班斯法案”——《企业内部控制基本规范》。这一法规在2009年起在上市公司中施行，并逐渐推广至非上市企业。其中，第四十一条明确规定企业需利用信息技术加强信息安全，对信息系统的开发、维护、数据处理和存储等环节进行严密控制，确保数据的安全、保密和完整性，这无疑对中国数据安全市场带来了深远影响。
中国拥有近2000家上市公司，这一法规的实施将催生一个庞大的数据安全市场。以每家公司150万元的初步投入计算，市场规模可达到300亿。在这个背景下，数据泄露防护（DLP）解决方案的需求日益凸显。国际DLP巨头如Reconnex（被McAfee收购）、Verdasys等虽有强大实力，但中国市场的特殊性——如基于主机的HDLP解决方案更符合国内企业的实际需求，以及加密产品的资质要求，为国内厂商如北京亿赛通提供了独特的竞争优势。
面对这个新市场，国外DLP厂商的网络型产品可能面临挑战，因为中国的信息化环境和法规要求使得基于主机的解决方案更受青睐。同时，只有具备国家法定资质的国内厂商才能提供完整的加密功能，这无疑为国内DLP市场，特别是北京亿赛通等厂商，提供了前所未有的机遇。随着中国企业在数据安全意识的提升和技术能力的进步，国内DLP市场将迎来快速发展，展现出中国企业在这一领域强大的创新力和竞争力。
5. 数据安全有哪些案例
“大数据时代，在充分挖掘和发挥大数据价值同时，解决好数据安全与个人信息保护等问题刻不容缓。”中国互联网协会副秘书长石现升在贵阳参会时指出。
员工监守自盗数亿条用户信息
今年初，公安部破获了一起特大窃取贩卖公民个人信息案。
被窃取的用户信息主要涉及交通、物流、医疗、社交和银行等领域数亿条，随后这些用户个人信息被通过各种方式在网络黑市进行贩卖。警方发现，幕后主要犯罪嫌疑人是发生信息泄漏的这家公司员工。
业内数据安全专家评价称，这起案件泄露数亿条公民个人信息，其中主要问题，就在于内部数据安全管理缺陷。
国外情况也不容乐观。2016年9月22日，全球互联网巨头雅虎证实，在2014年至少有5亿用户的账户信息被人窃取。窃取的内容涉及用户姓名、电子邮箱、电话号码、出生日期和部分登陆密码。
企业数据信息泄露后，很容易被不法分子用于网络黑灰产运作牟利，内中危害轻则窃财重则取命，去年8月，山东高考生徐玉玉被电信诈骗9900元学费致死案等数据安全事件，就可见一斑。
去年7月，微软Window10也因未遵守欧盟“安全港”法规，过度搜集用户数据而遭到法国数据保护监管机构CNIL的发函警告。
上海社会科学院互联网研究中心发布的《报告》指出，随着数据资源商业价值凸显，针对数据的攻击、窃取、滥用和劫持等活动持续泛滥，并呈现出产业化、高科技化和跨国化等特性，对国家和数据生态治理水平，以及组织的数据安全能力都提出了全新挑战。
当前，重要商业网站海量用户数据是企业核心资产，也是民间黑客甚至国家级攻击的重要对象，重点企业数据安全管理更是面临严峻压力。
企业、组织机构等如何提升自身数据安全能力？
企业机构亟待提升数据安全管理能力
“大数据安全威胁渗透在数据生产、流通和消费等大数据产业的各个环节，包括数据源、大数据加工平台和大数据分析服务等环节的各类主体都是威胁源。”上海社科院信息所主任惠志斌向记者分析称，大数据安全事件风险成因复杂交织，既有外部攻击，也有内部泄密，既有技术漏洞，也有管理缺陷，既有新技术新模式触发的新风险，也有传统安全问题的持续触发。
5月27日，中国互联网协会副秘书长石现升称，互联网日益成为经济社会运行基础，网络数据安全意识、能力和保护手段正面临新挑战。
今年6月1日即将施行的《网络安全法》针对企业机构泄露数据的相关问题，重点做了强调。法案要求各类组织应切实承担保障数据安全的责任，即保密性、完整性和可用性。另外需保障个人对其个人信息的安全可控。
石现升介绍，实际早在2015年国务院就发布过《促进大数据发展行动纲要》，就明确要“健全大数据安全保障体系”、“强化安全支撑，提升基础设施关键设备安全可靠水平”。
“目前，很多企业和机构还并不知道该如何提升自己的数据安全管理能力，也不知道依据什么标准作为衡量。”一位业内人士分析称，问题的症结在于国内数据安全管理尚处起步阶段，很多企业机构都没有设立数据安全评估体系，或者没有完整的评估参考标准。
“大数据安全能力成熟度模型”已提国标申请
数博会期间，记者从“大数据安全产业实践高峰论坛”上了解到，为解决此问题，全国信息安全标准化技术委员会等职能部门与数据安全领域的标准化专家学者和产业代表企业协同，着手制定一套用于组织机构数据安全能力的评估标准——《大数据安全能力成熟度模型》，该标准是基于阿里巴巴提出的数据安全成熟度模型（Data Security Maturity Model, DSMM）进行制订。
阿里巴巴集团安全部总监郑斌介绍DSMM。
作为此标准项目的牵头起草方，阿里巴巴集团安全部总监郑斌介绍说，该标准是阿里巴巴基于自身数据安全管理实践经验成果DSMM拟定初稿，旨在与同行业分享阿里经验，提升行业整体安全能力。
“互联网用户的信息安全从来都不是某一家公司企业的事。”郑斌称，《大数据安全能力成熟度模型》的制订还由中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心、公安三所、清华大学和阿里云计算有限公司等业内权威数据安全机构、学术单位企业等共同合作提出意见。
6. 为什么网络安全很重要
现在的网络犯罪分子可以找到很多漏洞，并对内部系统造成损害。这样的事件将导致资金，机密信息和客户数据的丢失，并且还会破坏业务在市场上的声誉。2020年3月，Mariott International遭受了重大数据泄露，其中520万客人的信息被访问，使用特许经营物业的两名员工的登录凭据。大流行和远程工作甚至没有放过Twitter。2020年6月，几位知名人士的帐户通过电话网络钓鱼被劫持。强大的网络安全技术是企业生存的现代必需品，但更重要的是，网络卫生意识也已成为当务之急。在当今的业务基础架构中，网络安全不仅限于 IT 专业人员和与之相关的公司。网络安全适合所有人，律师，室内装饰师，音乐家，投资银行家等，都会发现网络安全系统对他们的工作和业务有益。通过泰科云Techcloudpro实施和学习网络安全，小型企业将使其员工更加负责任，律师事务所将有动力保护其数据，室内设计师将找到更有效的方法来控制其繁重的文件。