趨勢科技發布最新報告，表示全球的「資安風險指標」(Cyber Risk Index，簡稱CRI)分數正逐年下降，2024年的平均分數為38.4分，較2023年下降了6.2分，顯示企業在採用了主動式資安方案後，可看到其量化風險指標呈現下降趨勢。
趨勢科技企業平台長金敬秀表示，趨勢科技客戶正在擁抱主動式資安願景，採用AI驅動的Trend Vision One Cyber Risk Exposure Management主動式資安曝險管理來發掘風險，並判斷其防範優先次序。藉由這項優勢，他們就能建立資安韌性、迅速遏制威脅，而且時間和資源的利用也變得更有效率。只要心態和工具正確，任何企業都能依循這套作法治理資安。
過去一年當中，儘管企業依舊處於「中度風險」區間，但CRI分數每個月都在下降，從2月份的42.5一路下降至12月的36.3，證明了企業的資安風險確實有所改善。而這也點出資安界的一項轉變趨勢：朝著持續性資安評估與風險導向決策發展。
以下是今年報告的重點摘要：
- 最危險的事件：「存取危險的雲端應用程式」排行第一，其次是「閒置的Microsoft Entra ID帳號」，其他前十大風險還有電子郵件、使用者帳號以及登入憑證相關風險等，其大多與組態設定錯誤有關。有超過10億家機構在登入Entra ID帳號時都停用了多重認證，顯然企業需要更有效的自動化身分防護。
- 漏洞平均修補時間(MTTP)：2024年最常偵測到的CVE未修補漏洞為上半年發布的「權限提升」(EoP)漏洞 (高嚴重性)。在所有地區當中，歐洲(23.5天)及日本(27.5天)是漏洞平均修補時間(MTTP)最短的地區，而動作最快的垂直產業則是非營利組織(19天)與科技業(22天)。至於醫療(41.5天)與電信(38天)則是動作最慢的產業。趨勢科技平均可在廠商正式釋出修補更新之前三個月提供虛擬修補來保護客戶。
- 產業狀況：在2024年當中，教育、通訊、能源及農業的CRI最高，顯示它們是曝險程度最高的產業。
- 地區狀況：歐洲是改善幅度最大的地區，CRI降低了7分，這很可能是因為NIS2與DORA所帶來的法規壓力使然。美洲以及亞洲、中東與非洲(AMEA)仍有改善空間，日本則依然保持著平均分數最低(34.3)的優異成績。
- 勒索病毒：LockBit、RansomHub和Play勒索病毒占2024年已通報資安事件的最大宗。根據趨勢科技研究，CRI高於平均值的企業遭遇勒索病毒入侵的機率比低於平均值的企業高了12倍左右。
- AI：根據這份報告指出，AI輔助的深偽(deepfake)網路釣魚、虛擬綁架詐騙以及自動化駭客偵查，是AI最重要的新興威脅。但儘管如此，AI也能讓網路資安人員更有效地預測及防範網路攻擊，例如藉由業界首創的Trend Cybertron資安大型語言模型(LLM)。
為了進一步降低CRI，趨勢科技呼籲全球企業可透過以下方式來擁抱主動式資安方案：
- 資安設定最佳化：徹底發揮產品的功能，設定在發生組態設定錯誤、漏洞及其他風險時收到警報通知。利用原生感測器/第三方來源建立攻擊面的完整可視性。
- 迅速聯絡裝置和/或帳號持有人：當偵測到危險的事件時，利用Vision One Workbench的搜尋功能來跟裝置持有人聯絡以便進一步確認和調查。
- 盤點閒置帳號：將閒置未用的帳號刪除、停用有危險的帳號、重新設定高強度的密碼，並且啟用多重認證(MFA)。
- 套用最新的修補更新：定期套用修補更新或升級應用程式/作業系統版本。