目前公司在网络安全上的支出比以往任何时候都多，尽管有大量新的安全系统，但它们仍然容易受到攻击，这些攻击不仅越来越多，而且对组织造成更大的财产和业务损失。

　　我相信，这种情况正在发生，因为公司正在以错误的方式对待网络安全。

　　尽管逻辑表明公司在网络安全系统上的花费越多，它的保护就越好，但这两者之间没有相关性。更重要的是：增加网络安全支出通常会产生一种意外的安全感。

　　为了真正保护自己，组织需要摆脱这样一种观念，即他们花的钱越多，实施的安全系统越多，他们得到的保护就越好。真正的安全来自于像黑客一样看待 IT 系统，并在这些系统的最脆弱点(对渗透者最有吸引力的点)实施严格的保护。通过考虑黑客最有可能使用的策略，组织可以保护他们最重要的资产。

　　对于许多组织而言，这需要调整视角并重新考虑“安全”对他们的意义。这些步骤至关重要：

　　1. 分析和优先考虑数字资产

　　最好的防御始于从业务角度分析组织的资产和攻击的潜在成本。例如，当一个站点从备份中恢复时(并且当客户抱怨缺乏社交媒体访问权限时)，一次攻击会使组织离线数小时，这种攻击是组织需要付出大量努力的一种攻击成预防。同时，对包含未使用或旧应用程序的服务器造成危害的攻击则无需担心。

　　如果一个组织的资源有限，那么应该将这些资源分配到哪里就很清楚了。因此，关于哪些资产应该首先受到保护的决定必须基于它们对业务的重要性和价值。这些是组织的领导者，而不仅仅是他们的 IT 团队需要做出的决定。

　　2.像黑客一样思考

　　了解黑客的心理至关重要。黑客寻找最高质量的资产，以提供最低水平的抵抗力。如果他们在包含客户数据或知识产权的服务器上发现“明显的”错误配置，那么他们将攻击该服务器，并且很可能会成功。

　　为了防止攻击，组织需要将大部分安全工作、资源和预算用于保护该服务器并为访问它设置更多障碍。攻击具有多个防御层的服务器需要更多的工作，因此黑客更有可能将注意力集中在更容易的目标上。组织的首要任务必须是为关键资产设置防御措施，以便黑客将注意力转移到其他地方。

　　3. 不断的检讨和调整

　　“花钱防御”态度的一个弱点是倾向于相信组织花了很多钱的安全系统正在解决问题。但是威胁在不断发展，许多现有的安全系统尚未经过测试以检查它们是否可以击败它们。

　　许多网络安全计划没有考虑到应该进行修改和经常实施更改的事实。一个好的安全计划需要不断地审查和更新。大多数组织计划和执行长期计划，并没有内置应该持续进行更新所需的敏捷性和灵活性。那必须改变。

　　网络攻击的细节和其补救措施可能令人眼花缭乱，鉴于当今 IT 系统的规模和影响范围，即使是最有能力的安全团队也不可能涵盖每个漏洞目标。向问题扔钱并不能解决问题;为了保护自己，公司需要明智地花钱，最大限度地提高网络安全投资的效率，以确保其关键资产得到尽可能好的保护。