关于安全的不变法则

最初不变的安全法则确定了关键的技术事实，打破了当时流行的安全神话。 本着这种精神，我们更新了这些法则，专注于在网络安全风险无处不在的当今世界打破神话。

从最初的不变法则开始，信息安全从一门技术学科发展成为一门网络安全风险管理学科，其中包括云、IoT 和 OT 设备。 现在，安全已成为我们日常生活、商业风险讨论、选举等活动的一部分。

当我们这个行业的许多人沿着这个历程到达更高的抽象层次时，我们看到风险管理层出现了常见的神话、偏见和盲点模式。 我们决定为网络安全风险创建一个新的法则清单，同时保留原有法则 (v2)（只是将“恶意行动者”稍稍改为“不良参与者”，以做到完全正确和包容）。

每组法则都处理网络安全的不同方面 - 设计健全的技术解决方案，以及在不断变化的威胁环境中管理复杂组织的风险状况。 这些法则性质的差异也说明了总体上应对网络安全的困难性；技术要素趋于绝对，而风险则以可能性和确定性来衡量

由于很难做出预测（尤其对于未来），我们怀疑这些法则会随着我们对网络安全风险的理解而演变。

十大网络安全风险法则

1. 安全方面的成功正降低攻击者的 ROI - 我们不可能做到绝对的安全，但可以通过破坏和降低攻击者的投资回报率 (ROI) 来遏止他们的行动。 增加攻击者的成本，减少攻击者对你最重要资产的投资回报。
2. 不跟上就会落后 - 安全是一个持续的历程，你必须不断前进，因为攻击者成功控制你的资产的成本会越来越低。 必须不断更新安全修补程序、安全策略、威胁意识、清单、安全工具、安全卫生、安全监视、权限模型、平台覆盖范围，以及随时间变化的任何其他内容。
3. 高效工作始终优先 – 如果用户不容易实现安全性，就会找到完成工作的工作区。 始终确保解决方案的安全和可用。
4. 攻击者并不在乎你 - 攻击者会使用任何可用的方法来进入你的环境并增加对资产的访问，包括破坏联网打印机、鱼缸温度计、云服务、电脑、服务器、Mac、移动设备、影响或欺骗用户、利用配置错误或不安全的操作过程，或只是请求钓鱼电子邮件中的密码。 你的工作是了解并采取最简单、最便宜以及最有用的选项。 这些方法包括可能导致跨多个系统获得管理权限的任何内容。
5. 无情的优先级是一种生存技能 - 没有人有足够的时间和资源来消除所有资源的全部风险。 始终从组织最重要的资源，以及攻击者最感兴趣的资源入手，并且持续地更新优先顺序。
6. 网络安全需要团队合作 - 没有人是全能的，所以要始终专注于只有你（或你的组织）才能做到的事情，从而保护组织的使命。 把其他工作交给做得更好或者能以更低成本做到的人员（安全供应商、云提供商、社区）来做。
7. 网络不像你认为得那么可靠 - 安全策略依赖于密码，而信任任何内部网设备只比没有任何安全策略好一点点。 攻击者可以轻易绕过这些防范措施，所以所有设备、用户和应用的信任级别必须从零信任级别开始，不断地经过证明和验证。
8. 隔离网络并不总是安全的 - 虽然实体隔离的网络在得到妥善维护的情况下可以提供强有力的安全保护，但成功的例子凤毛麟角，因为每个节点都必须与外部风险完全隔离。 如果确保安全性重要到要将资源放置在隔离的网络，你应该投资于风险缓解措施，通过 USB 媒体（例如安装所需的修补程序）、桥接到内部网络和外部设备（例如生产线上的供应商笔记本电脑）等方法来解决可能存在的连接性问题，并且更好地应对可能绕过所有技术管控措施的内部威胁。
9. 单纯的加密不是数据保护解决方案 - 加密可以防范带外攻击（对网络数据包、文件、存储等的攻击），但数据的安全性取决于解密密钥（密钥强度+防止盗窃/复制）和其他授权访问手段。
10. 技术不能解决人员和流程的问题 - 虽然机器学习、人工智能和其他技术在安全方面带来了惊人的飞跃（如果应用得当），但网络安全是对人的挑战，不能仅靠技术来解决。

参考

关于安全的不变法则（第 2 版）

• 第 1 条法则：如果不良参与者可以说服你在自己的计算机上运行他们的程序，则这台计算机就不再是你一个人的了。
• 第 2 条法则：如果不良参与者可以更改你的计算机上的操作系统，则这台计算机就不再属于你自己了。
• 第 3 条法则：如果不良参与者可以不受限制地以物理方式访问你的计算机，则这台计算机就不再属于你自己了。
• 第 4 条法则：如果允许不良参与者在你的网站中运行活动内容，网站就会易主。
• 第 5 条法则：不管强弱，始终使用密码。
• 第 6 条法则：计算机的安全程度取决于管理员是否值得信赖。
• 第 7 条法则：加密数据的安全程度取决于它的解密密钥。
• 第 8 条法则：过时的反恶意软件扫描程序只比没有扫描程序略好一些。
• 第 9 条法则：无论联机或脱机，绝对的匿名几乎不可能实现。
• 第 10 条法则：技术不是万能药。