为什么企业高管和董事会需要了解日益严重的网络威胁，如何为恢复做最好的准备，以及谁应该参与其中......
数据保护和高可用方案厂商Veritas站在勒索软件战的前线。如今，勒索攻击的数量和复杂程度都在增加。Veritas为近90%的财富全球500强公司提供服务，亲眼目睹了攻击者如何使用越来越难以检测和防御的策略。在过去的一年半里，由于多种原因，勒索软件威胁显着增加，这是从IT领导者到高管和董事会必须彻底了解的领域。
Veritas首席执行官Greg Hughes与麦肯锡的高级合伙人 Paul Roche（领导该公司软件业务）和专门从事数字风险和网络安全的合伙人Jim Boehm就勒索软件和数据泄露的威胁进行了对话：为什么防勒索现在需要成为最高管理层和董事会级的优先事项；企业如何开发可靠的备份，做好准备，确保从攻击中顺利恢复。
麦肯锡：过去18个月里，勒索软件已成为网络安全背景下越来越重要的话题。Veritas从客户那里听到了什么，尤其是最近，是不是有很多焦虑和关于它的对话？
Greg Hughes：我花了很多时间与CIO们交谈，当然，这也是工作的一部分。勒索攻击威胁在过去6个月中迅速上升，成为我从他们那里听到的头号问题。2021年5月备受全球关注的Colonial Pipeline网络攻击事件确实只是冰山一角。有许多公司曾因勒索攻击濒临崩溃，毫无疑问，这是个关键话题。
我知道一家拥有350年历史的公司几乎因勒索软件攻击而破产，因为他们不得不停止整个业务运营。它经历了多场战争，幸存下来，但是勒索软件几乎让它破产。可想而知，勒索攻击的威胁有多大。IT周围只有大量的自上而下的压力，CEO们不想醒来就发现他们的整个业务运营刚刚关闭。
麦肯锡：确实，威胁已经从针对大型企业演变为针对中小型企业。例如，我有一个家庭成员经营一家医疗机构，该机构的IT供应商遭到勒索软件攻击。能否谈谈为服务所有这些类型的公司而必须配置的解决方案类型？
Greg Hughes：威胁在企业阶梯上下延伸，并越来越多地针对中小型企业、县级机构，甚至城市机构。当你想到医疗保健中的威胁，尤其是小型医疗保健提供者或医院时，会有一种恐惧感弥漫开来。而在许多情况下，这类型组织是最缺乏准备，也是最脆弱的。
应对动态威胁
麦肯锡：威胁的性质正在演变，包括数据泄露和备份中毒。现在，与攻击者的谈判往往集中在防止已经泄露的数据被释放。当然，还有多维度的攻击会让IT和业务离线。Veritas与客户就威胁的全部范围和他们的担忧进行了什么样的对话？
Greg Hughes：作为备份提供商，我们获取主要数据并将副本移动到辅助存储。这就是备份的根本作用，无论是在公共云中还是在公共云之外。企业会问我们他们应该如何处理其原始数据，实际上，这归结为两件重要的事情：
首先，所有敏感数据都应该加密，没有理由再存在任何明文内容。其次，有数据泄露防护（DLP）工具可以检查边界并指示最敏感的数据（例如机密信息或受监管信息）是否正在离开用户的站点。这些是适当的防数据泄漏计划中最低要求的两个组成部分。
麦肯锡：Veritas真正强调的最佳备份实践有哪些？
Greg Hughes：最重要的一点，很明显——备份就是你的「保险单」。备份数据可以帮助企业恢复主系统，因此，它在应对勒索软件攻击方面发挥着关键作用。
第一步是确保备份应用程序与所有其他应用程序一样升级到最新版本。不要试图用昨天的技术来对抗今天的勒索软件问题。
其次，冗余是很好的保险，而且价格便宜。“3-2-1”法则放之四海皆准，这确实是一个最低标准。现在，存储非常便宜，因此请确保自己有足够的冗余。
第三个组件是不可变存储。企业需要在不可变存储中有一个备份副本，这意味着它是防篡改的，无法更改。现在有很多不同的不可变存储选项，可以在磁盘上，也可以在云中，并且总是有磁带的旧备用，它是不可变的，也可以离线。
最后的原则是确保整个备份解决方案是安全的、端到端严格受保护的，具有零信任访问、入侵检测、入侵防御、双因素身份验证和基于角色的访问控制等特性。同时，企业应确保有限职责和责任的分离，这一点很重要——接触主系统的人不应该接触备份系统。高级异常检测是另外一层安全特性。
云和其他备份“密钥”
麦肯锡：基于云的备份让刚才提到的“3-2-1”法则变得更加适用。为什么将支持云的备份作为整体备份和恢复策略的一部分变得如此重要？
Greg Hughes：云一直是备份创新的主要领域，企业现在可以将云视为另一个备份目标。云中有许多不同的存储类型，包括可用于归档的存储或不可变存储。此外，在灾难恢复的场景下，企业无需使用专用且昂贵的数据中心作为辅助站点，而是可以使用云有效地按需启动数据中心。这是一个强大的概念。
当然，企业需要在云中备份数据。一种常见的误解是云提供商会帮助应对和处理勒索软件威胁。在云服务提供商的使用说明中，会明确地提醒——在云中备份数据是用户的责任。因此，企业需要使用与本地环境相同的技术来保护云中的数据。
麦肯锡：除了技术解决方案，企业还需要做哪些工作来建立良好的备份策略，尤其是在涉及到因勒索软件攻击而导致的备份访问时？
Greg Hughes：关注「运营弹性」是经常与客户对话的关键领域之一。这是一个更广的范畴，而不仅仅是周边安全。威胁无处不在，比如鱼叉式网络钓鱼，它利用人的脆弱性，所以坏人会进入，恶意软件会进入。
大多数先进的企业都在试图弄清楚如何处理最坏的情况——我称之为“网络野火”。这种情况下，数据中心或云中的数据会被摧毁。弹性的关键是多层次的计划，告别单点故障。
NIST网络安全框架的指导意义很强。这是一个五点框架，但其中三个要素与弹性有关：保护、检测、恢复。企业如何保护自己的数据和系统？如何尽快检测到攻击何时发生？如何尽快从攻击中恢复过来？这不仅仅是关于备份，而是整个应对流程。
麦肯锡：从流程的角度来看，企业需要做些什么来确保他们所做的备份确实有用并缓解了问题？
Greg Hughes：“恢复”组件是计划中必不可少的部分，因为重新启动应用程序和业务服务需要在众多不同的利益相关者之间进行数量庞大的协调工作。企业拥有计算、存储、网络和应用程序，IT需要一本数字运行手册，一个协调所有这些部分的勒索软件应对手册。第一步是确保从已知的、良好的备份副本中恢复。这就是使用异常和恶意软件检测功能来帮助企业IT确定最后一个已知良好副本的「用武之地」。
企业还想使用良好的恶意软件扫描程序，在进行数据恢复之前对其进行扫描。同时希望在隔离的恢复环境中拥有完整可用的备份，这样它就不会触及主系统。
未完待续
