越来越多的企业聘请道德黑客测试安全性。5月13日WannaCry全球攻击期间，一名22岁道德黑客虽暂时阻止攻击，但虚拟威胁仍以二次攻击形式重现，善与恶的竞赛持续不断。
荷兰企业同样频遭黑客攻击。2017年第一季度向荷兰数据保护局报告的数据泄露超2300起，其中4%涉及5000人以上受害者，单次最高达68万人。按每条丢失记录造成170欧元成本（含检测、恢复、声誉损害及索赔）估算，财务影响常被低估。
数据显示：企业平均需252天发现入侵，而82%的情况下警报在一分钟内即触发。健康福利部门（27%）、金融服务（21%）和公共管理（20%）为高发领域。今年前三个月曾发生恶意软件感染致30万人数据泄露事件；另有客户门户暴露48万人的姓名、地址、联系方式及公民服务号码。
预防、检测、响应
数据泄露未必源于恶意攻击，但数字表明IT风险管理日益重要。防范依赖道德黑客在三个环节发挥作用：
预防：识别组织漏洞并填补；
检测：及时发现正在进行的攻击；
响应：制定被入侵后的应对策略。
网络攻击证明问题不在于“是否”被黑，而在于“何时”。提前准备可将声誉与财务损失降至最低。例如在入口处阻断加密锁勒索软件，可缩短停机时间，无需恢复备份即可让系统重新正常运行。
企业聘请道德黑客主要有两大原因：
其一，评估现状风险，如客户信息被盗可能性，判断是否成为目标及是否需要采取措施；
其二，验证安全措施有效性。技术迭代使安全配置充满挑战，细节决定成败。道德黑客通过测试IT环境稳健性，定位缺失或不当实施的部分。测试频率与深度取决于环境重要性——含隐私数据的Web应用比离线计算机更需频繁测试。数据越关键，越需持续验证其安全可靠。此外，人为因素不容忽视，近期多起重大攻击均因员工点击钓鱼链接导致。
渗透测试和红队演练
常用两种测试方法：
渗透测试：聚焦限定范围（如网店）内的技术漏洞及利用方式。该术语流行后供应商增多，但质量参差不齐，易给客户虚假安全感。
红队演练：设定特定目标，采用多情景模拟真实攻击。重点考察人为因素与综合攻击路径，行动隐蔽并监控蓝队（企业方）的发现与阻断能力。旨在用最新技术窃取核心资产的同时检验组织检测响应水平——此类成功往往比预期更频繁。
因此红队演练需求增长，从《财富》500强扩展至中小型企业。除发现问题型服务外，组织还应践行“设计即安全”理念，协调各层安全措施并加强监控。Web应用开发中应遵循安全编码原则，参考框架评估安全性。建议每年至少一次安全测试，重大变更时也必须测试。
预算充足的大企业未必更安全：虽拥有先进技术，但因规模与网络复杂难以全局掌控；小企业则常在检测响应上存在短板。
尽管安全至关重要，现实中仍存惊人疏漏。例如某企业服务器从未更新、无防病毒软件，IT环境长期感染病毒；某Web应用两年前已被中国黑客入侵却未被察觉，取证显示所有数据变更均被复制出境；电商网站在线存储客户数据防护薄弱、银行系统可直接访问客户账户信息等案例屡见不鲜。
未测试环境中总能发现严重风险。年度复测通常能修复主要问题，剩余多为中低风险。但这并非绝对规律——新漏洞出现会重塑风险格局，这正是安全领域动态性强、全面掌控极具挑战的原因。
本文与Gerwin Naber合作撰写。