在网络安全盲目投资的企业

F-Securit顾问，F-Secure，F-Secure，F-Secure，F-Secure），许多企业仍然在网络安全产品中盲目地在网络安全产品中投资。

“约有50％的网络安全投资是无效的或不合适的，但大多数组织都不知道50％的想法，这是一个合规驱动的Tickbox方法的结果，而且只是不起作用，”他告诉与会者OfInfosecurity欧洲2019伦敦。

根据Van de Wiele的说法，组织应该首先在他们的关键和敏感数据所在的地方建立，谁拥有并管理它，被允许访问它以及从哪里可以访问，因为许多组织仍然“不知道”。

他说，下一步是看起来，这是为了帮助他们了解他们的网络防御优势和弱点的地方，因为这是响应攻击时“至关重要”。

“使用内部或外部团队的攻击性或红色的合作方式，致力于黑客联盟组织，以假设他们将被违反，然后了解他们最有价值的数据可能被瞄准的各种方式，”梵德Wiele。

这反过来使组织能够预测攻击者的攻击者以及他们将采取的路径，以便他们可以识别他们需要投资新的或额外的安全控制。他说，它还突出了他们可能忽视的任何领域，他们经常包括物理安全。

“许多组织 - 特别是在英国 - 不要将物理安全视为网络安全策略的一部分，但这是一个错误，因为对IT系统的物理访问可能对攻击者非常宝贵，并使他们的工作更容易，” van de wiele。

他补充说，红色合作的另一个有价值的方面是它使组织能够确定他们是否能够看到红色的团队活动，检测到它们需要多长时间，以及现有的安全控制如何有效地使攻击者难以实现困难实现他们的目标。

“它还可以帮助组织了解攻击者可以利用与外界的每一个互动，”他说，并指出通常远远超过许多组织的地表。

“一旦理解，组织可以查看减少该攻击表面的方法，这可以包括减少员工在LinkedIn等社交媒体上提供的信息量，这可以为安全技术公司提供攻击者线索。

“通过帮助员工了解他们是安全进程的一部分，只是如何有用的信息在线发布的信息可以是攻击者，它可以帮助鼓励员工改变自己的行为，”他说。

Van de Wiele表示，总体目标是风险管理和网络弹性。“这不是让坏人的出局 - 因为他们会进入 - 但是关于能够快速检测到它们，有效地响应，”他说。

他说，随着每个调整组织对其网络安全防御，红组织练习可以帮助评估这些变化的有效性。

“通过创建这些反馈循环，组织可以让董事会通知差距和改进，以赢得未来的预算拨款，并不断改善他们的防御，以减少网络风险，并变得更加成熟和弹性，”他补充说。