進入新的一年，企業(yè)面對數(shù)據(jù)泄密事故、日益復雜的攻擊和對其控制的持續(xù)監(jiān)管，現(xiàn)在是時候重新審視其風險管理戰(zhàn)略了。雖然每個企業(yè)都是獨特的，風險管理專家認為有些風險管理辦法值得企業(yè)關注。下面我們列出了5個風險管理辦法，風險管理者可以在新的一年利用這些辦法來改善其風險管理：

No.1：改善第三方風險管理

隨著第三方導致的越來越多的數(shù)據(jù)泄露和安全事故見諸報端，企業(yè)和監(jiān)管機構開始關注供應商及合作伙伴帶來的風險。根據(jù)Qualys公司首席安全官Andrew Wild表示，在今年，第三方風險管理將是IT風險專業(yè)人士需要關注的關鍵領域。

“對于第三方的日益增長的依賴，企業(yè)需要一個成熟的第三方風險管理機制來確保風險得到控制、評估和管理，”Wild在談到美國貨幣監(jiān)理局針對銀行業(yè)金融機構提出的新的監(jiān)管要求時表示，“然而，沒有監(jiān)管或合規(guī)要求的企業(yè)正面臨著越來越多客戶對第三方風險管理的更嚴格的審查。”

No.2：調整風險管理以獲得更大的靈活性和響應度

有針對性的隱形攻擊將繼續(xù)推動安全從業(yè)人員改變應對攻擊的辦法。

Coalfire公司首席安全戰(zhàn)略官Rich Dakin表示：“這些有針對性攻擊帶來的傷害將足以讓企業(yè)從靜態(tài)邊界保護和基于訪問控制的安全做法，轉移到動態(tài)的做法，即每天分析新的威脅和風險，并進行升級、更新和系統(tǒng)變更。”

當然，這意味著風險分析需要超越簡單的年度風險評估，風險管理人員需要作出有意義的計算來推動對IT基礎設施和流程的決策。企業(yè)不僅需要尋求更好的辦法來將實時信息整合到風險評估，而且還需要想辦法來更快地調整現(xiàn)有技術以響應評估結果，而不是簡單地購買新設備。

CyberArk Software公司咨詢服務主管Gerrit Lansing表示：“企業(yè)總是認為他們需要新的控制來解決后續(xù)風險，但很多時候，他們可以調整現(xiàn)有控制來解決新的風險。”

No.3：使用更多的數(shù)據(jù)來評估風險

更好的風險評估需要更多的數(shù)據(jù)。從安全技術和IT基礎設施挖掘出的數(shù)據(jù)對風險評估非常重要，“很多企業(yè)沒有利用其環(huán)境中存在的事實和數(shù)據(jù)，”Bringa公司首席執(zhí)行官Amad Fida表示，“他們錯過了分析和關聯(lián)這些安全數(shù)據(jù)與他們部署的控制的機會。”

No.4：與業(yè)務用戶協(xié)作，以確保更全面的風險管理

安全從業(yè)人員早就強調了IT安全做法和業(yè)務之間需要更好地協(xié)調。MetricStream公司副總裁Yo Delmar表示，這首先需要企業(yè)內部外部的風險管理者與業(yè)務用戶之間對風險管理過程更好的協(xié)作。

“從本質上講，風險、合規(guī)和安全功能將涉及防御前線的業(yè)務用戶、供應商、加盟商等，”Delmar表示，并解釋說，這意味著要為這些用戶的廣泛用途提供一個風險管理平臺，“風險管理將越來越多地與績效管理結合，將成為企業(yè)用戶的行動‘點’。例如，如果一家公司正在與高風險供應商合作，企業(yè)不僅需要對該供應商定期進行評估，還應該系統(tǒng)地將性能指標和續(xù)約談判與該供應商的風險評估緊密結合。”

No.5：平衡預防性控制與檢測控制

大多數(shù)企業(yè)應該想辦法提高預防性控制和檢測控制之間的平衡。“在過去，很多企業(yè)幾乎完全依賴于預防性控制，而這不是100%有效的，”他解釋說，“正因為此，企業(yè)應該同時利用檢測控制來發(fā)現(xiàn)、控制和修復沒有預防的安全事故。”

最終，穩(wěn)定的基于風險管理的安全框架將推動這種平衡。