根據美國網絡安全公司Cybersecurity Ventures最近的分析結果，全球每年因網絡威脅、數據洩漏而產生的成本，及至2021年預計將飆升至 6萬億美元，網絡安全所構成的財務影響實在不容小覷。網絡攻擊只要成功一次，即可使公司蒙受巨大損失。據了解，於2018年，萬豪酒店發現資料庫被黑客入侵長達四年之久，涉及500萬客戶資料外洩，最終更因違反歐盟的通用數據保障條例(GDPR)而遭罰款近1億英鎊。無獨有偶，華住酒店集團同年受到網絡攻擊導致數據外洩，約 5 億項顧客的個人資料及入住紀錄在網上被公開兜售，最後中國政府高度介入調查。網絡攻擊日益猖獗，造成的損失愈見驚人，時刻考驗企業所建立的安全管治系統是否妥善。本文將透過事故分析，探討企業應如何使用信息安全管理防範網絡威脅。
環顧現時較普及的網絡標準，不論是美國的國家標準技術研究所(NIST) 所發佈的網絡安全框架 (Cybersecurity Framework)，還是ISO/IEC 27001，不少專家先後提出單憑預防式管控實不足以應付網絡威脅。筆者曾跟一位在國內金融機構任職的資訊安全人員傾談，他對如何設計多重防火牆、安全設施充滿信心，但被問到如何準確偵測未知的網絡攻擊時，卻顯出一臉無奈的神情。誠然，檢測未發現的網絡攻擊，許多中小企均大感苦惱。首先，企業需增撥資源檢測網絡攻擊，即使撇開這一點，單單討論應投放更多資源於防範管制還是檢測管制上，已是一個爭論不休的議題。我們或可藉著以下個案， 嘗試找出一些啟示。
在這宗事故中，我們看到 Equifax在防範管制上出現很多問題，包括帳戶密碼管理、漏洞管理等範疇。其實，假如公司擁有全面的信息安全管理系統 (Information Security Management System)，前述兩個範疇本可得到恰當處理。例如: 企業應可所有IT資產進行慣常庫存管理，而自動漏洞掃描工具應每週甚至更頻繁掃描網絡上的所有系統，以識別不同系統上所有潛在漏洞。此外，系統應配備自動化更新工具，確保最新安全補丁得以成功更新。
其實，大多數金融機構或公司均設有多重網絡安全管制，但由於沒有信息安全管理系統，管制往往會出現混亂和脫節情況，甚至流於局部管理，有欠周全。近年雲端技術發展迅速，很多企業願意採用軟件即服務(Software-as-a-Service) 方案，交由第三方以一站式管理伺服器、網絡及系統，大勢所趨，企業今後務必更加留意第三方的網絡安全成效，信息安全管理系統健全與否將更顯重要。