网络安全重要性

几个月前，出现了一篇题为“网络安全不是很重要”的文章 。 这篇文章写得很好，很有趣，但是我想反对它的要点。

这实际上很难–这篇文章有很多优点，尽管它具有逆势感觉，但实际上并没有说出任何令人毛骨悚然的内容。 但是我仍然不同意这个结论。 我建议先阅读（或略读），然后再继续此处，尽管本文通常是自给自足的。

我同意本文中的许多内容，最重要的是，没有100％的保护，而这全是为了最大程度地降低风险。 我也同意，网络安全是一套复杂的措施，不仅适用于数字世界，还适用于物理领​​域。 我同意，即使在观看了DEF CON，BlackHat或CCC的一些视频后，人们仍然认为一切都已被破坏，并且要在山上生活是生存即将到来的数字启示的唯一明智的策略，但事实并非如此。 –对于数字世界中更重要的部分，我们的保护水平还可以。 当然是可以利用的，但并非轻而易举。

但是，我要解决一些主要问题：

• 没有发生任何灾难性的网络安全事件-作者声称没有数字珍珠港或9/11的事实表明我们在网络安全方面投入了适当的努力。 我认为这不是一个公平的比较。 诸如此类的灾难性事件直接导致了人身伤害。 任何数字事件都不会立即造成人员生命损失。 但是，它可能导致间接生命损失，而且它可能已经-在婚外恋约会网站上发生了著名的数据泄露事件-我们是否知道由于暴露了不忠（或同性恋）而在巴基斯坦或沙特阿拉伯杀害了多少人？ 有多少人因医院成为勒索软件的受害者而死亡？ 乌克兰电网遭到袭击时，有多少人丧生，使基辅20％的人口没有电力，因此没有热，光或紧急救护？ 破坏沙特阿拉伯一家石油化工厂并引起爆炸的尝试（幸运的是失败了）怎么办？ 这些事件还有很多 ，它们已经成为现实。 目前还没有可见的爆炸，这将使其更容易与珍珠港或9/11进行比较，但它们是严重且致命的。 尽管自然灾害，道路事故和其他问题使更多的受害者受害，但没有一种简单的方法来计算“投资生命的回报”。 在第三世界国家改善飓风保护的安全慈善组织难道不比被黑其所有资金被盗的慈善组织还好吗？
• 人们没有采取简单的安全措施，因为它们带来的不便是小事，例如，两因素身份验证已经存在了很长时间，但是直到最近我们才开始使用它。 当然，这是对的，但是这样做的原因可能不是因为到目前为止没有2FA基本上是可以的，但是社会尚未意识到这一风险。 人类很难凭直觉来判断风险，尤其是当他们没有足够的信息时。 现在我们有了更多的信息，我们可以更好地估计一下，是的，添加第二个因素对于某些系统很重要。 当我们意识到风险时，不仅在存在更多风险时，都会采取安全措施。 人们没有采取网络安全措施的另一个原因是他们不知道这些措施。 因为该地区是相对较新的地区，所以专业知识很少。 信息技术无处不在和缺乏技术专长（更不用说安全专长）之间的这种差异长期以来一直是一个问题。
• 当我们以事物为视角时，数字世界在我们的世界中所扮演的角色太小了–如果您以足够大的视角来思考它们，人类在世界中所扮演的角色就很小，这并不意味着我们并不重要。 数字世界在我们的世界中扮演着越来越重要的角色–我们不能轻易地继续声称网络安全并不重要。 总的来说，到目前为止，一切都（几乎）顺风顺水的说法不能转化为将要保持不变的论点，只有随着时间的推移逐步改进。 如果IT扮演着越来越重要的角色（ 确实如此 ），那么我们对信息安全的关注就不会线性增长。 我知道您不能在没有愚蠢的情况下在图表上绘制这些东西，但是您会发现要点。
• 我们已经设法在没有过多关注网络安全的情况下陷入困境–是的，我们有。 但是我们会发现这样做越来越困难。 另外，由于做错了事，我们成功地混入了人类历史的许多时代（例如，玛雅文明部分崩溃是因为他们对环境的错误处理 ）。 通常，没有发生严重错误的事实是一个不好的论据，认为我们做得很好。 在表面上，系统性问题变得更加根深蒂固，看起来我们已经成功地解决了。 我并不是说网络安全肯定是这种情况，但很可能是这样。

尽管论点作者的观点是一项有趣的任务，但它并不能直接证明网络安全确实非常重要。

首先，相对于其他领域，我们对网络安全投资的成本（对经济和人类生命）的估算没有很好的比较，因此我认为我们不能声称网络安全并不重要。 例如，对数据泄露的成本有估算，平均为数百万美元。 如果您直接或间接损失几百万美元，可能性为30％（根据多个报告），我想您应该投资数十万美元。

其次，与物理世界相比，更难以内部化数字世界中事件的风险。 尽管通常不擅长评估风险 ，但我认为数字世界带来的间接影响对我们做出基于风险的决策的能力产生了负面影响。 软件的复杂性使事情更加复杂-甚至技术人员也无法总是想象他们正在使用的系统的整体复杂性。 因此，即使事实和数据表明并非如此，我们可能也不会认为网络安全很重要。

但是对我而言，网络安全重要性的最重要原因是，我们目前正在为未来世界打下坚实的基础。 遗留软件，遗留协议和遗留标准一旦普遍存在，就很难摆脱。 而且，如果它们在设计上不安全，因为它们在构建时并未考虑到安全性，那么依靠它们的软件就不可能安全。

如果我们不能马上获得网络安全，那么依赖我们今天建立的基础的一切都将被破坏。 不，您不能简单地用新的，更安全的系统替换当前的系统集。 组织受困于旧系统，不是因为他们不想获得新的更好的系统，而是因为很难做到这一点–它涉及迁移，用户培训，确保涵盖所有边缘情况，通知客户等。标准甚至很难更改-例如，查看TLS 1.3花费了多长时间。 但是，网络标准仍然存在一些漏洞，不能很好地缓解（或直到最近才发现 ）–在移动网络上遭受SS7攻击，ARP欺骗或BGP劫持。

如果我们不同意网络安全非常重要，则未来的技术将基于不安全的层，它将尝试使用笨拙的抽象来解决。 然后在某个时候，当我们如此依赖时，一切都可能崩溃，以至崩溃将是人类运作方式的重大破坏。 这听起来可能是未来派的，但是有了技术，您别无选择，只能做到未来派。 今天，我们必须构建能够经受时间考验的系统。 这已经非常困难–也许是因为我们认为网络安全不够重要。

我并不是说我们应该从明天开始向网络安全领域投入数百万美元。 但是，我很高兴看到与技术合作的每个人以及做出涉及技术的决策的每个人的安全意识。 不是偏执狂，而是安全意识。 不是“ 100％安全或破坏”，而是采取所有已知的保护措施。

网络安全很重要。 在接下来的几十年中，这一点将更加重要。