測試企業安全，網絡安全消防演習是否行得通？

我的公司正在考慮開展安全消防演習或者甚至網絡戰遊戲來測試我們的資訊安全計劃，這似乎是一項浩大的工程，那麼，網絡戰遊戲是否對企業有利？

mike o. villegas：測試資訊安全計劃應該是持續進行的工作。例如，在強化裝置後，裝置應該由siem或聯合身份管理工具來監控，當發生任何可能影響企業資訊安全狀态的改變時發出警報。此外，企業應聘請滲透測試人員來驗證控制結構是否有效運作。再有就是事件響應計劃，即在資料洩露或者影響安全的事件發生時，企業需要確定已經做好準備，并知道應該采取哪些步驟以恢複到正常。

而測試事件響應計劃的方法之一是進行桌面事件情景演習，讓所有受影響各方參加。企業還可以考慮偶爾進行社會工程測試，例如發送郵件給員工測試其檢測網絡釣魚電子郵件的能力。

有些企業還會利用網絡戰遊戲；然而，這畢竟是遊戲，通過遊戲來測試資訊安全計劃并沒有太多價值。網絡安全并不是遊戲。企業可通過網絡戰遊戲形式提高員工安全意識例如在企業新聞或内部網絡釋出基于網絡安全的謎題，在午飯時段向員工提供免費網絡安全視訊，還有很多其他富有創新且有趣的活動可幫助提高員工安全意識。但通過網絡戰遊戲可能會邊緣化網絡安全的嚴重性，并可能影響員工的工作效率。

如果網絡戰遊戲的目的是測試資訊安全計劃，我們還有更實際更高效的方法，這包括：漏洞掃描、滲透測試、監控、緩解措施、安全代碼審查、dlp掃描和阻止、fim警報及跟進、siem警報及更新、系統配置認證等。網絡戰遊戲應當被視為安全提示工具，而不是用來測試資訊安全計劃。

====================================分割線================================

本文轉自d1net（轉載）