全球網路資安領導廠商趨勢科技(東京證券交易所股票代碼：4704)發布最新報告，表示全球的「資安風險指標」(Cyber Risk Index，簡稱CRI)分數註一正逐年下降，2024年的平均分數為38.4分，較2023年下降了6.2分，顯示企業在採用了主動式資安方案後，可看到其量化風險指標呈現下降趨勢。
請點選以下連結來閱讀這份「趨勢科技2025年資安風險報告」：
趨勢科技企業平台長金敬秀表示：「趨勢科技客戶正在擁抱我們的主動式資安願景，採用AI驅動的Trend Vision OneTM Cyber Risk Exposure Management主動式資安曝險管理來發掘風險，並判斷其防範優先次序。藉由這項優勢，他們就能建立資安韌性、迅速遏制威脅，而且時間和資源的利用也變得更有效率。只要心態和工具正確，任何企業都能依循這套作法治理資安。」
過去一年當中，儘管企業依舊處於「中度風險」區間，但CRI分數每個月都在下降，從2月份的42.5一路下降至12月的36.3，證明了企業的資安風險確實有所改善。而這也點出資安界的一項轉變趨勢：朝著持續性資安評估與風險導向決策發展。
以下是今年報告的重點摘要：
-
最危險的事件：「存取危險的雲端應用程式」排行第一，其次是「閒置的Microsoft Entra ID帳號」，其他前十大風險還有電子郵件、使用者帳號以及登入憑證相關風險等，其大多與組態設定錯誤有關。有超過10億家機構在登入Entra ID帳號時都停用了多重認證，顯然企業需要更有效的自動化身分防護。
-
漏洞平均修補時間(MTTP)：2024年最常偵測到的CVE未修補漏洞為上半年發布的「權限提升」(EoP)漏洞 (高嚴重性)。在所有地區當中，歐洲(23.5天)及日本(27.5天)是漏洞平均修補時間(MTTP)最短的地區，而動作最快的垂直產業則是非營利組織(19天)與科技業(22天)。至於醫療(41.5天)與電信(38天)則是動作最慢的產業。趨勢科技平均可在廠商正式釋出修補更新之前三個月提供虛擬修補來保護客戶。
-
產業狀況：在2024年當中，教育、通訊、能源及農業的CRI最高，顯示它們是曝險程度最高的產業。
-
地區狀況：歐洲是改善幅度最大的地區，CRI降低了7分，這很可能是因為NIS2與DORA所帶來的法規壓力使然。美洲以及亞洲、中東與非洲(AMEA)仍有改善空間，日本則依然保持著平均分數最低(34.3)的優異成績。
-
勒索病毒：LockBit、RansomHub和Play勒索病毒占2024年已通報資安事件的最大宗。根據趨勢科技研究，CRI高於平均值的企業遭遇勒索病毒入侵的機率比低於平均值的企業高了12倍左右。
-
AI：根據這份報告指出，AI輔助的深偽(deepfake)網路釣魚、虛擬綁架詐騙以及自動化駭客偵查，是AI最重要的新興威脅。但儘管如此，AI也能讓網路資安人員更有效地預測及防範網路攻擊，例如藉由業界首創的Trend Cybertron資安大型語言模型(LLM)。
為了進一步降低CRI，趨勢科技呼籲全球企業可透過以下方式來擁抱主動式資安方案：
-
資安設定最佳化：徹底發揮產品的功能，設定在發生組態設定錯誤、漏洞及其他風險時收到警報通知。利用原生感測器/第三方來源建立攻擊面的完整可視性。
-
迅速聯絡裝置和/或帳號持有人：當偵測到危險的事件時，利用Vision One Workbench的搜尋功能來跟裝置持有人聯絡以便進一步確認和調查。
-
盤點閒置帳號：將閒置未用的帳號刪除、停用有危險的帳號、重新設定高強度的密碼，並且啟用多重認證(MFA)。
-
套用最新的修補更新：定期套用修補更新或升級應用程式/作業系統版本。
註一： Trend Vision One Cyber Risk Exposure Management資安曝險管理採用其風險事件目錄來計算每一種資產類型的風險評分，以及企業的風險指標分數。計算方式是將資產的攻擊、曝險與資安組態設定，乘上資產的關鍵性。計算結果會是一個介於0至100的整數，並分成三個等級區間：低度風險(0-30)、中度風險(31-69)以及高度風險(70-100)。
關於趨勢科技
趨勢科技為全球網路資安領導廠商，致力建立一個安全的資訊交換世界。憑藉著數十年的資安專業、全球威脅研究以及持續不斷的創新，趨勢科技跨雲端、網路、裝置及端點透過人工智慧驅動的網路資安平台隨時守護著全球數十萬家企業機構及數百萬一般使用者。趨勢科技身為雲端及企業網路資安領導廠商，我們的平台專為如 AWS、Microsoft 及 Google 的環境提供最佳化的各種強大進階威脅防禦技術，並具更好可視性可更快更有效的偵測及回應威脅。趨勢科技共有 7000 多名員工，遍布全球 65 國，協助企業機構保護其連網世界。如需更多資訊，請至：www.trendmicro.com。
