在过去的的数年里，组织保护自己免遭网络攻击的形式发生了前所未有的巨大改变。混和工作模式、节奏快的信息化及其愈来愈多的勒索病毒事情早已更改了安全性布局，促使网络安全从业人员工作中比之前什么时候都更为繁杂。
这类纷繁复杂的条件必须一种新的思维模式来保卫，以往很有可能创立的事儿现如今很有可能不会再有效。数字证书的期满日期是不是仍可在excel表中做好管理方法?人们真的是最单薄的阶段吗?
海外安全性权威专家衡量了大家最后要在2022 年思索的 22 个网络安全神话传说，神话当然存有十分大可变性，即这里的神话传说是要改正的错误观点或方式。
1. 疯狂购物可以加强网络安全维护
组织深陷的较大圈套之一是预设了一个前提条件，便是必须越来越多的专用工具和服务平台来保护自己。生产商时间给客户的感覺是一旦她们有着这种专用工具，便会觉得这些人是可靠的。组织被诱惑选购“被吹嘘为神丹妙药”的商品，ArcticWolf 的首席技术官 Ian McShane说：“这肯定并不是顺利的重要。”
选购大量专用工具并不一定会提升安全系数，由于许多安全风险通常并不是专用工具问题，反而是实际操作问题。因此，组织应灵活运用目前项目投资费用预算，应当优先选择考虑到安全运营，而不是无节制地反复应用新经销商和新品，安全运营将在以一种达到与众不同要求的方法解决迅速發展的危害局势层面很有协助，让商品的选购更具有科学合理合理化，自然在我国许多企业在许多组织内，连最主要的安全工具也不具有，这种组织或是必须科学规范的购置安全工具的。
2. 网络保险是迁移风险性的解决方法
从理论上讲，网络保险可以让组织防止潜在性黑客攻击的成本费。殊不知，这个问题更为细微。例如，勒索病毒事情的成本费大大超过其立即的会计危害，由于包含顾客的信赖和组织信誉损伤等事儿。
ConquestCyber 首席总裁 Jeffrey J. Engle觉得：[网络保险] 应该是网络安全发展战略的一部分，但并不是互联网延展性发展战略的根基。基准线规定、清除和保险费用已经升高，而覆盖面积已经骤降。
网络保险的定义，前两年在我国也有个人在讨论，在海外早已发展趋势一段时间，并且也是有完善的实例。可是，在中国时下很多人了解不足“网络保险”的功效，而会对于此事有很多误会，如很多人也许会觉得网络保险会负责全部义务，其实不是，网络保险担负的是间接性义务，以工作为驱动器的网络安全，而在我国网络安全经营者尚处于以量化策略的可靠情况，因此不用过于看中网络保险，最少时下不适合太多讨论这个问题。
3. 合规相当于安全性
正如英国特种部队喜爱说的那般，搞好查验提前准备是一回事儿，但搞好战斗准备是另一回事。ABS Group 工业生产网络安全全世界负责人 Ian Bramson 表明：很多企业过度关心达到合规性规定，而对真实的安全系数关心不足。
查验全部合规栏是还不够的，由于合规只代表着达到最低水平。要做到互联网生命周期的高級情况，必须一个更为全方位和人性化的方案。这一点，在中国也是存有同样的问题，许多互联网经营者通常考虑到“过等级保护”，正常情况下何曾有“过等级保护”这一定义呢?如同，查验车辆状况是为交警队查验的吗?过去了交警队那一关，可以过安全性关吗?可以确保人身安全嘛?因此，把合规及其遵循法纪规定，了解相当于安全性是十分不负责任的念头，想逃避责任也是愚昧的念头。
4. 假如全部內容都纪录就合规
很多企业保存日志，但极少有些人恰当剖析他们。Devo Technology 的 CSO Gunter Ollmann 觉得：要是没有积极查询日志并全自动找寻已经知道危害，那麼就没法了解当代网络威胁，你最好打印出出日志并烧毁来加温你的企业办公室。
最好是的日志是简易且结构型的，但有充足的信息内容来协助科学研究人员调查事情。设计方案日志的专业技术人员应当致力于变更和出现异常，而不是纪录宁静的情况查验或系统软件查验。因此，在分配审计员人物角色时，不是说他可以看日志信息内容，反而是可以看懂日志出现异常，相互配合别的人物角色一起审查技术性、管理方法中的系统漏洞，修复修补管理方法和技术性中的系统漏洞，提高网络安全综合能力和水准。
5. 可以应用excel表手动式管理方法布署互联网中的全部数字证书
组织取决于不计其数的数字证书，这种资格证书在一切给指定全是合理的，而手动式追踪他们是不太可能的。这种到期资格证书之一很有可能会造成联级常见故障，例如重要系统软件的终断。
Sectigo 的首席信息官 EdGiaquinto 觉得：不会再很有可能应用excel表和手动式数字证书布署和撤消方式来管理方法、维护和认证这种真实身份，更糟心的是，一个到期的资格证书可以为各种不良行为者给予渗入企业网络并导致严重影响的绝妙机遇。
6. 数据信息云端更安全性
大概一半的企业数据储存在云间，企业很有可能过度信赖其安全系数。很多云服务提供商不确保应用它们的服務的顾客将维护她们的数据信息。
VeritasTechnologies SaaS 维护、节点和备份数据负责人经理 Simon Jelley 觉得：针对云服务提供商来讲，数据信息与制造和依靠数据信息的企业一样珍贵不是对的!实际上，很多人乃至在其条文和标准中选用了义务共担实体模型，这清晰地说明顾客的数据资料是她们维护的义务。
7. 安全性是安全部或安全性精英团队的工作中
OmotolaniOlowosule 博士研究生觉得：每个人有财务尽职调查或义务，以保证她们实践活动符合社会道德的商业运营，应当在全部组织内加强观念和保持良好的安全性个人行为。
非IT单位的观念较差的职工应当接纳合理的学习培训，以保证她们掌握风险性并了解如何解决一些最多见的问题。
8. 每一年次的安全教育培训能为职工给予充足的专业知识
很多企业规定其职工按时参与线上安全教育培训。大家收看一段短视频并回应好多个问题。虽然大家在考题中发挥出色，但这类教学方式不一定合理。
安全性咨询顾问 SarkaPekarova觉得：不给予扣人心弦的內容，这不容易造成她们的留意，让许多人记牢所传授的标准或产生安全事故需要的具体步骤和程序流程。
9. 雇佣大量人将处理网络安全问题
公司应首先考虑到吸引网络安全专业技术人员，而不是找寻优秀人才。应当对这些人完成项目投资，并为这些人给予得到超级技能的机遇。
McShane觉得：最好是有一部分经过训练的 IT 专业技术人员来维护组织免遭网络威胁和进攻，而不是有着一个不具有适度专业技能的差异的大人群，尽管聘请新的队伍组员可能是有利的，但公司花在聘请新员工上的时长和钱财可以更合理地用以加强它们的安全性基础设施建设。
10. 人是最单薄的阶段
大部分进攻都是以人逐渐的，但组织应当终止斥责她们，而应当选用总体方式。她提议旋转这一念头。安全性咨询顾问 Sarka Pekarova 觉得，如果我们为我们给予合理的适用，她们将健康成长并成为了大家互联网中最强有力的桥梁，大家应用“人力资源财产”是有缘由的。假如合理的现行政策和程序流程及时，例如零信任，而且假如大家获得充足的适用，可以提升组织的安全系数。
11. 一切都能够自动化技术
安全性有关步骤的自动化技术好像对组织很有诱惑力，由于可以节约时间和钱财。但是，它应当适当应用。Halborn 创始人兼总裁网络信息安全官 Steven Walbroehl 觉得：“盲目跟风依靠自动化技术事实上会在安全风险评估的品质和精确性层面导致差别，会造成被忽略的系统漏洞，并导致没法意料的安全隐患。一些比较复杂的每日任务最好是交给人们，由于他们必须判断力和本能反应，而设备欠缺这种。我都没见到一种自动化技术设备可以仿真模拟娴熟的网站渗透测试工作人员实施的思想过程，她们尝试破译或运用领域模型或繁杂身份认证中的流程。
12. 解决了全新的进攻就安全性了
企业常常关心近期的进攻，错过了别的有关的事儿，而且沒有创建充分的实力来预防将来的事情。布拉姆森觉得：只关心早已产生的事儿是被下面产生的事儿打中的好方法。危害和进攻是不停变动的。必须有一个应用程序来融入和为不明做好充分的准备。
13. 一季度性变更一次登陆密码将使帐户更安全性
Bishop Fox 的总裁研究者 Dan Petro 觉得：规定客户准时修改密码只有确保她们的登陆密码很槽糕。比让消费者挑选“Winter2022”等简洁明了登陆密码的很好方法。
趋势科技基础设施建设发展战略高级副总裁William Malik 对于此事表明赞成。当攻击者获得一堆登陆密码时，开展登陆密码喷出——比每 90 天一次要经常得多。应用特殊符号不容易使登陆密码更安全性。反过来，应激励客户挑选长登陆密码并开启多要素身份认证。
14. 加密隐秘数据便是可靠的
过多的开发者将加密视作法术仙尘：你将它洒在信息上，它奇妙地越来越安全性。通常，开发者不容易考虑到密匙储存在哪儿或在某种情形下攻击者到底是谁。密码算法是一个比较复杂的主题风格，过多的开发者最后把自己包裹在在一种不正确的归属感中，觉得她们早已“加密”了他俩的数据信息，因而它是可靠的，自然加密的信息更不安全。因此，无论数据信息使用者或是软件开发者，也不应当沉浸在虚报的归属感中。
15. 网址URL边上有一个翠绿色锁网址是可靠的
可能在一二十年前就这样，那时候总流量非常少加密，得到合理 HTTPS 资格证书的费用很高。现如今，互联网犯罪嫌疑人可以免費得到恶意网站的资格证书。诺顿杀毒软件安全性研究者 Dan Demeter提议：最先在最爱的搜索引擎上查询网址，如有疑问，请自始至终手动式键入其 URL，而不是点击连接”。
16. 机构过小不可以变成总体目标
即使在今天，仍有过多企业觉得她们的关联性不能变成互联网攻击的受害人。布拉姆森觉得：假如您有曝出，你就是总体目标......每个人有曝出，互联网攻击者可以针对一家企业，或是她们可以进行一般攻击，看一下谁被他俩的互联网把握住了。无论哪一种方法，你都是会在某一情况下遭到攻击。
客户资料是在暗在网上售卖的珍贵产品，受传染的网址也许会散播恶意程序。中小企业通常欠缺資源来执行和管理方法适度的网络信息安全计划，这使它们非常容易变成猎食。
17. 严重危害是政府机构的义务
在安全防护层面，每一个机构都应当尽自身的一份能量。政府部门没法维护每个人——难以保护自己免遭高級不断危害的绝情攻击。相关法律法规如同汽车召回。为了更好地让政府部门撰写、核查和准许一些物品，随后它就驱使其消退，务必产生许多安全事故。因而，政府部门行为通常是在风险性被普遍意识到以后才采用的行为。
18. 供应链管理攻击可以根据修复全部内部结构第三方硬件软件来阻拦
Armorblox 的创始人兼CEO DJ Sampath 觉得事儿沒有期待就那么简单。尽管手机软件漏洞和未修复漏洞的体系为攻击者给予了一个很好的攻击面，但这些并没有她们可以采用的唯一方式，公司必须全方位详细了解她们的供应商选择，包含商业服务电子邮箱泄漏 (BEC)、帐户接手和经销商自然环境中的横着挪动。
不当作的成本很有可能很高。一个实例例子这类凶险的案例研究是，一名亚美尼亚男人因非法行为 BEC 计划偷盗超出 1.2 亿美金而被判处。
19. 数据信息在企业服务器防火墙后是可靠的
沒有服务器防火墙不是可靠的互联网，可是服务器防火墙后的数据信息并不是真真正正可靠的。混合模式早已让机构摆脱了他俩的舒适圈。伴随着每个人在家办公，企业网络不会再是安全性界限，如今她们务必再次致力于运用零信任技术性，并了解真实身份——无论地方怎样——全是新的安全性界限。
机构已经执行自主创新的公匙基础设施建设(PKI) 解决方法，该解决方案根据资源整合和自动化技术认证机器设备、客户和实体线真实身份的数字证书的布署、发觉、管理方法和升级，在完成零信任自然环境层面充分发挥着主导作用。
20. 普遍的自动化测试可以避免攻击
测试工具一直一个好点子，而且尽力去做会出现协助。但 Virsec 的创始人兼首席技术官 Satya Gupta 表明，攻击者依然可以寻找漏洞。在PrintNightmare这一漏洞中，微软公司在 2021 年 7 月修复了 Windows 2003 的编码。显而易见，微软公司资源优势，但也找不到该漏洞。
近些年，愈来愈多的机构开设了漏洞悬赏金计划来鼓励白帽黑客。假如监管不合理，这种程序流程很有可能会给予不正确的归属感。
21. 载入远程控制不会受到信赖的随意 Java 编码是肯定可靠的
这听起来可能是世界最显著的事儿，但为何好像每一个 Java 程序流程依然那样做呢?或许 2022 年将是 Java 程序流程最后终止有心载入随意远程控制编码的一年，大家可以希望。
网络安全是一个十分综合性管理体系工作，许多网络安全神话传说是由于大家对一些信息的认知不够或了解片面性，如对某些专业知识的缺乏了解，故无有关安全防范意识，有时候对一些信息的了解以偏概全，又觉得某一项安全防范措施可以万无一失。总而言之，在网络安全发展战略中，应当以“中”为度，不可偏废，又必不可少，全部的工作中不能不如，又惟恐物极必反。因此，这一度必须对网络安全及其有关的职责责任有深入全方位的熟悉和了解，才可以最后做的更有效更科学合理。自然，我们是在持续讨论网络安全，沒有肯定的网络安全，自然有体无完支离破碎的网上安全防护。网络安全必须坚持不懈，不断前行发展趋势的，可以说网络安全也归属于生无所息之列。