关于安全的不变法则
最初不变的安全法则确定了关键的技术事实，打破了当时流行的安全神话。 本着这种精神，我们将发布一套新的补充性法则，重点是打破当今网络安全风险无处不在的世界中普遍存在的神话。
自最初的一成不变的法则以来，信息安全已经从一门技术学科发展成为包括云、IoT 和 OT 设备在内的网络安全风险管理学科。 现在，安全性已成为我们的日常生活、商业风险讨论和选举的一部分。
当我们这个行业的许多人沿着这个旅程到达更高的抽象层次时，我们看到风险管理层出现了常见神话、偏见和不确定性的模式。 我们决定创建一个新的网络安全风险法则清单，同时保留原始法则 (v2)（将“不良行为人”稍微进行了更改，更改为“不良行动者”，以确保内容完全正确且具有包容性）。
每套法则都涉及网络安全的不同方面，有的是设计完善的技术解决方案，有的是在不断变化的威胁环境中管理复杂组织的风险状况。 这些法则的性质差异也说明了总体上应对网络安全的困难性。 技术要素趋于绝对，而风险则以可能性和确定性来衡量。
由于很难做出预测，尤其是对未来的预测，因此我们估计这些法则可能会随着我们对网络安全风险的理解而改变。
网络安全风险十项法则
- 安全性的成功正在降低攻击者的 ROI - 安全性无法实现完美的安全状态，因此要通过破坏和降低投资回报率 (ROI) 来阻止攻击者。 增加攻击者的成本并减少攻击者在攻击最重要资产时获得的回报。
- 不跟上就是落后 - 安全性是一个持续的过程。 你必须持续前进，因为攻击者成功控制你的资产的成本会不断降低。 你必须不断更新安全补丁、策略、威胁感知、清单、工具、监视、权限模型、平台覆盖范围以及随时间变化的任何其他内容。
- 最后胜出的总是生产力 – 如果用户不容易实现安全性，可以设法绕过它来完成工作。 始终确保解决方案的安全和可用。
- 攻击者会无所顾忌 – 攻击者会使用任何可用的方法进入你的环境并访问你的资产，其中包括联网打印机、鱼缸温度计、云服务、电脑、服务器、Mac 或移动设备。 他们会影响或欺骗用户，利用配置错误或不安全的操作流程，或者直接在网络钓鱼电子邮件中索要密码。 你的工作是了解并采用最简单、最便宜且最有用的选项，例如任何可以跨系统获得管理权限的选项。
- 严格区分优先级是一项生存技能 - 没有人有足够的时间和资源来消除所有资源的所有风险。 始终从对组织最重要或攻击者最感兴趣的东西开始，不断更新此优先级。
- 网络安全需要团队合作 - 没有人是全能的，所以要始终专注于只有你（或你的组织）才能做到的事情，从而保护组织的使命。 如果安全供应商、云提供商或社区可以做得更好或以更低的成本来做，那就让他们去做。
- 你的网络并不像你想象的那么值得信赖 – 使用依赖密码并信任任何 Intranet 设备的安全策略仅比缺乏安全策略稍好一些。 攻击者很容易避开这些防御，因此必须从零信任级别开始，持续证明和验证每个设备、用户和应用程序的信任级别。
- 隔离网络并不自动确保安全 – 虽然气隙网络在正确维护的情况下可以提供强大的安全性，但成功的例子极其罕见，因为每个节点都必须与外部风险隔离。 如果安全性足够重要，需要将资源放置在隔离的网络上，则应投资缓解措施，通过 USB 介质（例如补丁所需的介质）、Intranet 网络和外部设备（例如，生产线上的供应商笔记本电脑）之间的网桥以及可能规避所有技术控制的内部威胁等方法来解决潜在的连接性问题。
- 单纯加密并不是一种数据保护解决方案 – 加密可以防止带外攻击（例如网络数据包、文件和存储），但数据的安全性取决于解密密钥（密钥强度 + 防止盗窃/复制）以及其他经过授权的访问方式。
- 技术不能解决人员和流程问题 – 虽然机器学习、人工智能和其他技术在安全方面带来了惊人的飞跃（前提是应用得当），但网络安全是人的挑战，永远也不能仅靠技术就解决问题。
参考
关于安全的不变法则（第 2 版）
- 第 1 条法则：如果不良参与者可以说服你在自己的计算机上运行他们的程序，则这台计算机就不再是你一个人的了。
- 第 2 条法则：如果不良参与者可以更改你的计算机上的操作系统，则这台计算机就不再属于你自己了。
- 第 3 条法则：如果不良参与者可以不受限制地以物理方式访问你的计算机，则这台计算机就不再属于你自己了。
- 第 4 条法则：如果允许不良参与者在你的网站中运行活动内容，网站就会易主。
- 第 5 条法则：不管强弱，始终使用密码。
- 第 6 条法则：计算机的安全程度取决于管理员是否值得信赖。
- 第 7 条法则：加密数据的安全程度取决于它的解密密钥。
- 第 8 条法则：过时的反恶意软件扫描程序只比没有扫描程序略好一些。
- 法则 9：无论是联机还是脱机，绝对匿名实际上不可能实现。
- 第 10 条法则：技术不是万能药。