关键的外卖

• “安全与风险管理人员应该注意三种不同类型的威胁:已知和频繁的威胁;强劲的威胁和新兴的、小众的、不可预测的威胁。”

• 威胁:组织高度意识到的威胁，并由于潜在的变化而年复一年地保持相关。

• 高势头威胁:这些威胁正在增长，但人们对这些威胁的认识还没有达到与顶级威胁相关的水平。

• 新兴的威胁:这些威胁比较罕见，不太明显，但足以引起安全和风险管理领导者的注意。

• “在处理已知的顶级威胁时，要监控微趋势，以便在防御中增加缺口。通过有效沟通已知威胁的微观趋势，确保高管支持对安全控制改进的持续投资。”

• “对于新出现的和势头强劲的威胁，在其安全运营组织内部建立流程，评估其影响。从API、供应链和网络物理系统(CPS)威胁开始，重点关注暴露管理、姿态验证、良好的安全卫生和风险意识。”

• “对于新出现的和未来的威胁，关注网络弹性，并与组织领导人协调安全，以预测由于业务转型而导致的攻击面扩展。”

关键的外卖

• “对于大多数企业来说，他们最大的ESG风险和改进机会都在供应链上。”
  

• “了解你的企业目标、目标和时间表。”

• “确定最重要的问题对形成可持续发展战略至关重要。”

• 大多数企业都有数百家，甚至数千家与之合作的供应商。为了管理ESG和碳风险，企业必须知道并非所有供应商都是平等的，因此需要采取差异化的方法。

• “与他们(供应商)合作，了解他们在做什么，他们是如何应对共同挑战的——把他们当作一个传声板。”

• “进行尽职调查并使用技术。”

关键的外卖

• 企业在2022年应该关注三个领域来推动其安全运营战略:1)如何从威胁情报和威胁搜索中获得价值，2)专注于可视性工作以最大限度地减少风险，3)确定自动化和人工智能对安全运营是否有意义。

• “衡量威胁情报听起来令人生畏，事实也的确如此。但你可以将指标应用到feed中，看看它们提供了多少可操作的指标，还可以衡量应用于真阳性和假阳性事件的情报的有效性。”

• “利用威胁情报来支持狩猎，要么作为起点，要么填补缺失的部分。将狩猎作为你的SecOps项目的核心过程，并在日历上留出时间来实际进行狩猎。”

• “风险暴露管理有三个支柱——攻击面、漏洞和验证。”

• 暴露管理结合了多种方法来优化诊断的范围、自动化和准确性。

• “在购买自动化或人工智能解决方案之前，你必须有一个定义的流程和一些可以衡量的东西，以看到投资的价值。”