• 53% 的中型市場企業曾出現安全漏洞

• 高達5000資安警示平均數量

• 中型市場公司調查 55.6%的資安警示

29% 的中型市場公司表示，安全漏洞對他們造成的損失低於 10 萬美元。20% 表示損失在 1,000,000至 2,499,999 美元之間

許多中小型市場企業渴望與大型企業一樣，擁有更有效的網路安全措施。SMB 充滿活力，是創新的支柱和勤奮的典範。他們的執行速度更快，並且比企業同行更加勤奮。他們面臨相同的網路威脅。

在現今網路威脅的態勢中，無論規模大小，所有的組織都面臨遭受攻擊的風險。只不過小型企業/中型市場企業已逐漸淪為攻擊的焦點，並且通常被當成大型攻擊行動的跳板或管道。惡意人士將小型企業/中型市場企業視為容易得手的目標，其資安基礎設施和安全措施不夠複雜，訓練有素的人員數量亦不足以管理及回應威脅。

許多小型企業/中型市場企業才剛開始意識到自身對網路罪犯極具吸引力。只不過，這種認識往往來得太晚：是在攻擊之後。視攻擊行動的性質和範圍而定，這些企業要從網路攻擊中復原可能並不容易，且需要高昂成本（甚至不可能復原）。本報告將協助您瞭解小型企業面臨的風險以及在安全性方面如何勝過同行，並針對 2018 年及之後的注意事項分享一些指引。

根據《思科 2018 年資安能力基準研究》的發現指出，半數以上 (54%) 網路攻擊事件所導致的財務損失超過 500,000 美元，包括但不限於收入、客戶、商機及現金支出成本方面的損失。這個金額足以讓一個毫無準備的小型企業/中型市場企業永久停止營運。

商業促進局 (BBB) 最近一項研究2 有助於突顯小型企業/中型市場企業在財務上可能難以承受嚴重的網路攻擊。BBB 詢問北美的小型企業業主：「一旦您永久失去了對基本資料的存取權限，您的企業還能保持獲利多久？」只有大約三分之一 (35%) 表示，他們可以保持獲利超過三個月。報告中有一半以上的受訪者表示，他們會在一個月內就停止獲利。

值得一提的是，我們認為SMB 是指員工人數未達 250人的公司，並將其定義為員工人數介於 250-499 人的公司。此報告同時採用上述二種定義。我們在《思科 2018 年資安能力基準研究》中分析了 SMB受訪者的調查結果，我們僅將其稱為基準研究。該研究針對目前使用的安全措施提供深入分析，並將此完整結果與過去三年進行比較。我們有關 SMB/中型市場的資料包括 26 個國家/地區的1816 名受訪者。

同事之間一天內會失去多少業務？從沒有任何 IT 管理員說過這個。系統停機會破壞生產力

和獲利能力，對於甫遭受網路攻擊的企業來說是一大問題。根據《基準研究》的研究發現，有 40％ 的受訪者（250-499 名員工）因為過去一年嚴重的安全漏洞而經歷八小時或更久的系統停機（圖 1）。

思科對研究樣本（擁有 500 名或更多員工的企業）中的大型企業也發現類似的結果。但不同的是，大型企業往往在攻擊後較小型企業/中型市場企業更有彈性，因為他們擁有較多的資源可用於回應和復原。此外，39% 的受訪者表示，本身至少有一半的系統受到嚴重資安漏洞的影響（圖 2）。

小型企業不太可能擁有多個據點或業務部門，而且其核心系統之間的相互連結通常更加緊密。在這些企業遭受攻擊時，威脅可以輕易地透過網路快速散佈到其他系統。

令人徹夜難眠的資安問題在問及最大的資安挑戰時，受訪者最關心的是以下三件事：

- 針對員工的鎖定攻擊（想想精心設計的網路釣魚）

- 進階持續性威脅（前所未見的進階惡意軟體）

- 勒索軟體

勒索軟體（有意思的是，勒索軟體並未名列大型企業最受關切的「前 3 名」）是一種加密資料的惡意軟體，而且如您所知，通常會影響使用者直到其支付贖金為止；也會造成小型企業/中型市場企業嚴重的營運中斷和系統停機時間。對於這些企業而言，儘管方式不同，勒索軟體也同樣代價高昂：思科資安專家解釋，小型企業/中型市場企業通常更傾向於支付贖金給歹徒，以便迅速恢復正常運作。他們根本無法承受的停機時間以及無法存取重要資料（包括客戶資料）的損失。（請參閱圖 3）。

SMB 無法忽視的其他威脅

思科安全專家表示，儘管擔心勒索軟體，然而其所造成的威脅正逐漸減弱，因為有愈來愈多的攻擊者將注意力轉移到非法的加密貨幣採礦（「cryptomining」）。這項犯罪活動的吸引力有三：不法利益豐厚、款項無法追蹤，而且攻擊者不必太擔心他們的行為遭到追究刑事責任的可能性（例如，由於勒索軟體只會鎖定醫院的系統和基本資料，因此患者不會有被剝奪重症監護的風險）攻擊者還可以透過各種方法提供採礦軟（「採礦工具」），包括透過電子郵件傳送的垃圾郵件攻擊行動和攻擊套件。

思科威脅研究人員解釋，使用新型非法加密商業模式的惡意人士「不再採用誘騙受害者打開附件或執行惡意程式碼的方式，將系統扣為人質藉此懲罰被害者，然後要求贖金。現在，[他們] 會積極利用受感染系統資源。」對於無意中幫助非法加密操作的小型/中型市場企業而言，系統效能變慢可能是遭到入侵的唯一警訊 - 除非他們擁有合適的技術可以偵測加密貨幣採礦活動的存在。

0.5% 的內部人員威脅：100% 太高了

隨著受訪公司將更多資料和處理程序移至雲端，他們還必須採取措施來管理另一項潛在威脅：惡意內部人員。如果沒有可以偵測可疑活動（例如下載敏感的客戶資訊）的工具，他們就會承受透過企業雲端系統失去智慧財產權、敏感的財務和用戶端資料的風險。

思科威脅研究人員最近的一項調查突顯了這項風險：2017 年 1 月至 6 月期間，他們運用機器學習來分析 34 個國家/地區中150,000 名使用雲端的使用者，藉此來檢驗資料外洩趨勢。超過 1.5 個月，研究人員發現0.5％ 的使用者下載了可疑內容。0.5％ 算嚴重嗎？換句話說，這意味著 400 名員工的公司中就有兩個人是內部威脅。這個百分比絕對是太高了。具體來說，這些使用者總計從企業雲端系統下載了超過 390 萬份文件。換算成 1.5 月內，平均每位使用者下載了 5200 份文件。

挑戰

防範上述威脅的最佳防禦措施，需要對 IT 資源進行協調與配合。這些資源通常是企業可積累以遏止攻擊的人員、流程與技術。然而，相較於其同行大型企業，小型企業面臨的挑戰是如何協調這些資源，從而產生對威脅的洞察力，並在這些攻擊行動造成損害之前遏止或減緩攻擊。長期缺乏影響企業的安全性人才，對於同行的小型企業的影響更大。

SMB 資安技術趨勢

展望未來，小型企業確實會尋求透過新工具來阻止威脅，以因應威脅其企業的網路安全挑戰。

《基準研究》的受訪者表示，如果有可用的人力資源，他們更有可能會：

- 將其端點安全性升級到更複雜的進階惡意軟體防護/EDR（最常見的回應為 19％）。

- 考慮以更優異的 Web 應用程式安全措施來防範 Web 攻擊 (18％)

- 部署入侵防護，這向來被視為遏止網路攻擊和企圖攻擊的重要技術 (17％)。（詳見圖 5）。

在企業考慮新技術的同時必須面臨另一項挑戰，就是判斷其產品是否能有效地搭配運作以防護業務；而不應低估透過多個主控台來合併回應威脅或安全事件的管理負擔。位於喬治亞州格里芬的思科合作夥伴 Liberty Technology 執行長 Ben M. Johnson 表示：「許多人認為，如果他們採用多家廠商的業界最佳方法，就能提供更周全的防護，但我們看到的是，管理更加困難、成本更高、整體安全效率降低。」機器學習：提供安全協助，或只是一時炒作

拜最近的宣傳熱潮所賜，我們都聽說過機器學習。事實證明，中型市場企業與其大型同行企業同樣依賴能夠有效偵測攻擊的行為分析解決方案。與擁有超過 1000 名員工的企業相比，中型市場企業對於運用機器學習和自動化的解決方案的依賴程度稍微較低（圖 4）。

若為已部署產品提供額外一層偵測功能，而不是購買單獨的產品以「進行機器學習」，則機器學習最為有效。透過這種方式，團隊可以獲得採用機器學習以機器速度偵測異常和威脅的好處，卻不會給團隊增加任何新的負擔。行動化的中型市場企業企業也體認到，他們的安全措施必須符合現代工作環境的需求，尤其是轉向行動化和採用行動裝置。56% 的受訪者表示，防禦網路攻擊的行動裝置有其難度或極具有挑戰性。中型市場及雲端體認到安全挑戰後，許多受訪者都期望可以在不增加人員或耗盡現有資源的情況下，透過雲端來強化防禦機制。問題是，將安全機制移至雲端的策略是否足以抵禦眾多的攻擊。此外，企業不能只是透過將資料遷移到雲端來卸除其安全責任：他們仍然必須了解雲端供應商實施的安全控制措施以及雲端中潛在的漏洞會如何影響內部部署的資源。根據思科的研究顯示，中型市場企業採用雲端服務的比例顯然正持續攀升。在 2014 年，55％ 的企業表示他們透過雲端的形式託管了部分的網路；到了 2017 年，這個數字已經提高到 70％（圖 5）。

許多受訪者認為雲端有助於彌補防禦上的一些差距，並解決基礎設施和員工能力上的不足。事實上，根據思科研究指出，中型市場企業在雲端中託管網路的首要原因，是相信雲端可以提供更妥善的資料安全性 (68%)；第二個最熱門的原因，是企業缺乏足夠的內部 IT 員工 (49%)（請參閱圖 6）。

中型市場企業也偏好採用雲端，因為其具有可擴充性，亦即減少企業對內部資源的依賴以及靈活調度營運支出，從而節省資本支出（圖 6）。

人員：尋找強化安全性的工作人員

好消息是《基準研究》顯示，有 92％ 的中型市場企業設有負責資安的高階主管（請參閱圖 7）。

有鑑於人力資源充足，中型市場企業將會願意添購更多安全工具，例如進階的端點防護或 Web 應用程式防火牆。中型市場企業與較大型同行企業的共同點在於：IT 人員的短缺阻礙其建立防禦機制的能力。根據思科的研究顯示，根本沒有足夠的內部在職人員來管理可以提高安全性的工具。因此，許多小型企業/中型市場企業希望透過外包方式協助獲得所需的人才，以便增加他們對威脅的瞭解、節省成本以及對安全漏洞更迅速做出回應。希望能獲得更公正的深入分析是中型市場企業將資安事務外包的最常見原因（圖 8），其次是成本效益和及時回應資安事件的需求。委外服務的協助是企業充分運用有限資源的理想方式。但是，如果這些公司認為外包供應商或雲端合作夥伴就能提供內部在職人員所缺乏的所有功能，那麼他們可能就會遭遇麻煩。位於密西根州卡拉馬朱市的思科合作夥伴 NuWave Technology Partners 執行長 Chad Paalman 發現，許多小型企業/中型市場企業對於外包安全供應商究竟能提供多少的分析和監控並沒有概念。

「許多企業領導人都對他們的網路認識不足。他們會假設：如果有防火牆，就好像門上裝了掛鎖，沒有人可以出入。還會假設：如果他們的安全防護已經外包給託管服務供應商 (MSP)，就會享有日誌監控或是包括了入侵偵測在內的服務。」

其實最重要的是，小型企業/中型市場企業仰賴外包合作夥伴來提供：

- 外包建議和諮詢服務 (57%)，

- 事件回應 (54%)，

- 安全監控 (51%)。

他們反而不太可能委外處理威脅情報之類的工作 (39%)（請參閱圖 9）。

好消息是，中型市場企業似乎預留了一些有限的資源，以便瞭解威脅並做出回應，例如支援威脅情報和事件回應。程序：定期檢查以管理安全性全面的定期安全性流程（例如對高價值資產的控制以及對安

全措施的審查），可協助企業找出其安全防禦機制中的弱點。小型企業/中型市場企業可能因為缺乏人力配置，而無法普遍採用他們其實應該採用的這些程序。例如，根據《思科 2018 年資安能力基準研究》，相較於大型企業，中型市場企業較不可能贊成他們定期審查安全措施、擁有審查安全功能的工具，以及定期調查資安事件（圖 10）。

往好的方面想，91％ 的中型市場企業表示他們每年至少進行一次演習，以測試他們的事件回應計劃。但是，正如同他們對雲端和外包合作夥伴的依賴，真正的問題在於此類事件回應計劃是否足以遏止日益複雜的攻擊。連接人員、程序及技術：協調程序的挑戰如果小型企業/中型市場企業將更多安全產品和廠商加進其防禦機制中，並將 IT 資源轉移去管理這些產品，他們的企業是否能因此而更加有效管理資訊安全？反之亦然，至少在瞭解和協調安全警示方面也是如此。如今，大多數小型企業/中型市場企業均體認到，隨著他們建立更複雜的產品和供應商環境，他們的責任也會增加。舉例來說，有77% 的中型市場企業認為，從這些解決方

案中協調警示具有一定的難度或極具挑戰性（圖 11）。

當企業嘗試分析這些警示時，同時面對人員、程序和技術的挑戰，可能會造成許多警示未經調查，與《基準研究》的調查結果不謀而合（圖 12）：

對未來的建議

科技

當組織考慮使用新工具時，理想情況是他們可以不必新增多家供應商以及產生更多的警示。考慮到這一點之後，接著要問的是產品是否以開放性為建置基礎？如何在共用資料和威脅情報方面與其他人整合？是否有整合管理主控台。如果廠商表示產品的建置旨在與其他產品搭配使用和協同運作，這是指開箱即用還是買家必須進行大量的 API 整合。機器學習，儘管不無炒作之嫌，但在資安方面還是佔有一席之地。不過，將機

器學習做為已部署產品內部的偵測層，而不是從另一家廠商添購來進行管理的獨立產品。

人員和程序

簡而言之，就是擬訂改善網路安全的策略。根據企業領導人的資源中心Vistage 研究中心的研究，只有 38％ 的小型企業/中型市場企業已經擬定積極的網路風險策略。

您的計劃是否包括接受適當培訓的使用者？您的保單是否涵蓋因網路攻擊所蒙受的業務損失？如何建立業務持續性和危機溝通計劃，以便縮短復原時間，並協助防止商譽受損。

此外，IT 主管必須明確說明企業管理階層對於資料外洩真正想知道的事項：

- 對企業的影響為何

- 資安團隊採取了哪些措施來遏制和調查威脅。需要多久的時間才能恢復正常營運。

結論

小型企業/中型市場企業推動網路安全改善措施的最後一點建議是，體認到漸進式改變優於不改變。簡而言之，他們不應該讓對「完美」安全措施的追求阻礙「變更好」。總的來說，完美並不存在。

小型企業/中型市場企業也必須明白，世上沒有「萬靈丹」技術解決方案，可以解決所有網路安全挑戰。因為威脅態勢過於複

雜和變化多端，所以攻擊面總是不斷擴大和改變。而且，為了回應，資安技術與策略也必須持續演變。