跨国企业手册

解法15联系我们 22企业潜在解决方案 5导言 3目录使用Casa - Adama 20企业网络安全挑战3：9攻击面管理企业网络安全挑战5：14收购企业网络安全挑战2：7缺乏统一战略和政策管理企业外部网络安全的复杂任务4企业网络安全挑战4：11品牌保护企业网络安全挑战 1: 6单队与多队问题 外部风险：跨国企业的风险管理2 导论性评论这就是为什么跨国企业网络安全是一门独特的学科，需要独特的工具和策略。继续阅读，我们将逐一剖析这些组织面临的关键安全挑战，以及网络安全领导者如何实施有效的多租户安全架构来保护庞大的跨国企业。您的企业越大，通常需要保护攻击面的规模就越大。这就是为什么跨国企业通常面临与中小企业不同的一组网络安全优先事项。这些公司比其他类型的商业拥有更复杂的攻击面，并且它们必须应对大多数其他环境中不适用的大型租户安全挑战。此外，跨国企业还面临着独特的品牌保护风险，这些风险源于它们运营的复杂性和多面性。这里有一个不太常被讨论的、可能使安全和风险管理复杂化的因素：您的公司是多实体还是单一实体。运营多个子公司或分支机构的跨国公司——通常在全球范围内分布——不仅要应对影响任何大型企业的标准网络安全挑战，还要应对独特的网络安全风险和威胁。 外部风险：跨国企业的风险管理3 外部风险：跨国企业风险管理指南4从数据暴露和资产重叠及错置等等问题开始..网络安全挑战 3：攻击面管理网络安全挑战2：缺乏统一战略和政策conglomerate 网络安全挑战 5：收购网络安全挑战4：品牌保护如今不仅有一个“2保护”品牌，还有许多品牌；不仅有一个需要保护的标志，还有许多标志。此外，还存在拆除另一家子公司资产的问题。一种方法是为整个公司创建一个团队，并让其管理所有子公司的安全。但这带来了两个重大挑战：人员过度紧张和子公司的专注人员缺乏。而多个团队的方法也不是一帆风顺的。集团倾向于频繁收购较小的公司。这些公司可能没有相同水平的网络安全，每一次收购都会增加攻击面。管理跨国企业的外部网络安全是一项复杂的任务RITY挑战1：一对一团队问题各子公司网络安全团队的代表很少在同一间屋子集合来制定政策，更不用说就组织各个部门在遵守统一安全战略方面可能面临的冲突进行沟通了。 整合团队执行每月同步创建一个有效的多租户安全架构使用多维度风险评估定义警报的服务水平协议一次攻克一个挑战为每个团队分配一个焦点定义政策和子政策潜在解决方案利用赛门铁克公司旗下企业Cyberint，克服跨国企业的网络安全挑战。请分析师审核资产映射、警报等。在母公司层面实施资产发现多年来，我们一直支持着全球跨国企业的网络安全需求，涵盖金融、零售、农业等多个行业——我们深知管理其固有复杂性和保护它们免受外部风险所需的投入。 外部风险：跨国企业风险管理指南 5 人员超负荷:缺乏专注人员外部风险：跨国企业风险管理指南第六版网络安全挑战1：另一方面，“一体化”方法导致以下缺点：一对多团队问题让我们通过探讨跨国公司在选择“多团队”结构时所面临的其他网络安全挑战来深入了解这些问题。为了缓解这些挑战，许多跨国公司选择创建多个网络安全团队，通常为每个子公司创建一个独立的团队。这解决了我们刚刚描述的挑战，但它又创造了其他问题——例如缺乏统一的 security 策略，以及难以 mapping 和防御攻击面。当一个团队负责几十家子公司的一切事务时，将其中的特定风险和资产\"所有权\"分配给特定个人变得具有挑战性。反过来，对于某个特定子公司的某一类问题，通常不清楚应该联系谁，或者由谁来负责响应。试图让一个团队为数十家子公司管理网络安全，是导致员工过度劳累和资源过度紧张的必然结果。他们不可避免地会遗漏某些警报和风险，而且可能无法将应优先处理的问題分配高优先级。这个问题被全球网络安全人才短缺这意味着，即使企业预算足够的资金来雇佣足够的员工，它实际上可能仍然无法雇佣到足够的人手。一种方法是为整个公司创建一个团队，并让它管理所有子公司的安全。这有助于集中运营和可见性。它还确保有一个明确的团队可以就安全问题进行联系，无论这些问题在集团内的哪个地方出现或影响哪些资产。在一个跨国企业中，组织网络安全团队有两种基本方法——而且这两种方法都伴随着巨大的权衡。 12外部风险：跨国企业的风险管理7缺乏一致性领导层与子公司之间的脱节缺乏统一策略和政策网络安全挑战2：这种去中心化安全架构导致了几个独特的挑战。在一个跨国企业中，每个子公司通常依赖自己的网络安全团队使用自己的工具和策略。很少有集中化的团队来监督整个业务的网络安全。资源缺乏、部门壁垒森严以及工具实施不良常常阻碍安全和风险管理（SRM）团队发现和应对威胁。高德纳说。这些挑战在高耸联合企业中尤为突出，因为它们的网络安全运营具有高度部门化的性质。如果一个跨国公司任命CISO或其他领导者来监督公司范围内的安全，那么每个子公司内部的分散团队使得难以始终如一地执行政策。当你需要监督几十个独立团队时，很难确保它们协同行动，并且存在沟通渠道，以使地方团队与全公司的风险优先级保持一致。因此，总部通常对该公司各个子公司所面临的网络安全威胁缺乏了解。它也无法轻易地基于适用于整个业务的优先情报需求（PIRs）来执行统一的安全策略和政策。各个子公司的网络安全团队代表很少在同一个房间里一起制定政策，更不用说就组织各个部分在遵守统一安全策略的能力上可能面临的冲突进行沟通了。当每个子公司以自己的方式管理网络安全时，每个分支机构最终都会在安全方面像一家独立的企业一样有效运作。其结果是，在整个组织中，团队在优先处理和应对威胁方面缺乏一致性。 34接触路径不清晰人员使用效率低下结果是，当中央网络安全人员检测到一个影响子公司的问题时，他们几乎不知道该联系谁。在拥有多个不同安全团队的多国企业中，通常不清楚每个子公司内各自拥有什么，或者应该联系谁来处理威胁或风险。这种情况尤其适用于各个子公司的安全运营被划分为子集的情况——例如网络、品牌保护和欺诈保护。当每个子公司都依赖自己的团队时，这个问题会更加突出，因为业务最终导致每个子公司内的分析师承担重复的职责——与此同时，团队缺乏解决风险所需的整体人员，各个团队最终可能会忽视或未能快速响应警报，因为他们无法有效利用人力资源。网络安全团队往往会因为诸如持续的问题而负担过重网络安全人员短缺。正如黑暗阅读所指出的，有一个重大网络安全人才短缺，需要225,200名更多工人来填补近470,000个职位空缺仅在美国。 外部风险：跨国企业风险管理第八版 12数据泄露网络安全挑战3：资产重叠外部风险：跨国企业的风险管理 9攻击面管理通常，跨国企业的每个子公司都使用自己的供应商和工具，而这些供应商和工具会将子公司的数据暴露于网络风险中。当发生数据暴露时，母公司需要承担责任，但由于该组织的多面性，中央IT领导者有限的能力去迫使子公司遵守一套统一的数据管理政策和程序，以尽量降低数据泄露的风险。当您组织内有多个租户时，自动资产发现流程可能会错误分类资产或重复资产，因为它们在多个租户环境中检测到相同的资产。跨国公司面临着不仅...的挑战需要保护的大攻击面但也以一种独特复杂的方式。因此，该公司在识别需要关注的确切资产以及绘制其攻击面方面面临着更大的挑战。它也可能最终得到包含不准确数据的攻击面映射，直到工程师手动更新它们，以明确哪些资产属于哪些子公司，以及谁管理每一项资产。除此之外，如果中央安全或合规团队确实检测到数据安全风险，将信息传递给相关的子公司团队以缓解问题，通常是一个耗时且效率低下的过程。集中式资产映射和数据监控工具可以生成警报，但它们不能保证子公司团队会迅速响应。这翻译成在定义和保障跨国企业的网络安全攻击面所有方面的过程中将面临更大的困难。 34资产错放理解这种级别的细节需要一种更细致的攻击面管理（ASM）方法，该方法使跨国企业能够区分不同级别的资产所有权，并据此定义安全策略。一个相关的挑战是母公司可能代表一个特定的子公司购买一项资产——因此，尽管资产看似来自母公司，但它实际上并不属于它。通常总部有一个他们需要负责保持低位的网络安全风险评分，但问题是他们的风险评分受到子公司风险评分的影响，因为所有这些都是相互关联的。但是有不同的负责人和不同的政策，所以缺乏控制。他们能做的是告诉另一个负责人，这是你的评分，请妥善管理。 不同的风险评分 外部风险：跨国企业的风险管理10 1品牌保护许可复杂性网络安全挑战4：外部风险：跨国企业风险管理指南 11这使得在母公司检测到品牌威胁，但缺乏证明其确实拥有相关资产的文件的情况下，品牌保护变得具有挑战性。此外，品牌保护规则可能因国家而异，这使得统一的品牌管理更加困难。品牌保护–这意味着保护公司的品牌名称、标志、域名、社交媒体帐户和其他数字表示免遭滥用——对于跨国公司来说，在几个独特方面也尤其具有挑战性。通常，许可证在子公司层面进行管理。这意味着母公司的每个分支机构都维护自己的授权书来记录其品牌资产。 23关联公司降价当企业检测到品牌威胁时，它们可以请求下架为了缓解这些问题。但通常一个子公司会要求删除，而没有意识到该域名/网页/社交媒体资料等属于另一个子公司。这可能导致错误的删除，并且恢复过程可能很漫长。子公司必须相互协调，但在每个子公司各自为政的情况下，这很难实现。这种滥用行为会影响母公司，因为它直接影响了其一个品牌。但它很难被母公司预防，因为母公司并不直接控制其子公司的社交媒体资产。较小的子公司有时缺乏强大的数字足迹，并且常常成为希望损害其品牌的威胁行为者的容易攻击的目标，因为它们缺乏突出的社交媒体存在。因此，恶意行为者可以做一些事情，例如以子公司名义注册虚假的Facebook或X账户，并包含被盗用的标志和其他品牌元素。从那时起，攻击者可以与子公司的客户沟通，并冒充其员工。 社交媒体风险 外部风险：跨国企业的风险管理12 456跨境品牌保护高管假冒多个品牌通常，一家跨国企业必须管理针对其自身品牌名称和标志以及其子公司的威胁。这可能涉及数千个需要追踪的独立标志和其他资产，跨越数十个网站、社交媒体渠道等。在某些情况下，母公司的网络安全团队甚至可能不知道哪些品牌实际上属于其子公司。在一个拥有许多分支的大型公司中，通常有许多高管——每个子公司一套。这使得这些企业成为威胁行为者进行钓鱼攻击时，想要冒充高管的有吸引力目标的诱因。不仅如此，如果一个恶意网站/页面在一个不同的国家设置，它可以在实际子公司存在的国家用于网络钓鱼攻击，从而造成一系列问题。正如我们所提到的，品牌保护法规和执行力度在不同国家可能存在差异。一家企业可能在一个国家购买品牌，但在其他国家不购买其权利。这为威胁行为者提供了在这些其他国家滥用品牌的机会，并使母公司在这些地区实际上并不拥有权利的情况下，几乎没有回旋的余地——尽管客户不会知道这一点，但仍然会对该业务产生负面情绪。 外部风险：跨国企业风险管理指南13 收购网络安全挑战5：外部风险：跨国企业风险管理指南14被收购的公司有时是初创企业或规模较小的企业，缺乏成熟的IT或安全团队，这使得问题更加严重，因为它将缺乏强大网络安全习惯的组织纳入母公司的体系。而且，虽然收购过程中的尽职调查流程从商业风险的角度验证了交易，但这些检查并不总是延伸到网络安全风险。跨国公司倾向于频繁收购较小的公司。这种做法也导致了独特的网络安全挑战，因为每一次收购都会增加母公司的攻击面，同时也使得难以统一执行网络安全政策。 12定义政策和子政策定义警报的服务水平协议以下安全实践可以提供帮助。解答：跨国公司如何应对这些挑战？在大多数情况下，简化自身组织结构并非一种选择。相反，大型、多方面的企业必须投资于允许它们在自身复杂且本质上各自为政的结构下有效管理风险和威胁的策略。创建一个有效的多租户安全架构为了使网络安全风险管理保持一致性，母公司可以制定适用于整个组织的政策，以及为不同子公司的细致需求而设计的子政策。这使公司能够在满足不同地区和地方的法律法规及合规要求的同时，仍然保持跨公司的连贯网络安全策略。政策应包含一个服务级别协议（SLA），用于响应