欢迎来到第 D 部分：网络风险 – 理解威胁

你好！欢迎来到 P3 学习旅程中最相关的章节之一。在当今的数字世界中，网络风险 (Cyber Risk) 不再仅仅是信息技术 (IT) 部门的“技术问题”，而是一项重大策略风险，足以影响企业的声誉、财务，甚至是生存。在本章中，我们将拆解考试中你需要了解的各种网络安全风险。

如果你不是“技术专家”，请放心。CIMA 并不要求你编写代码！你只需要了解这些风险的本质，以便能够进行管理。你可以将其想象成了解“数字盗贼”试图进入你公司大楼的不同手段。

快速回顾：什么是网络风险？
网络风险是指因信息技术系统出现某种故障，而导致组织面临财务损失、运作中断或声誉受损的可能性。


1. 恶意软件 (Malware)： “数字细菌”

恶意软件 (Malware) 是“恶意软件”(malicious software) 的简称。这是一个广义的术语，指任何旨在破坏、损害或获取计算机系统未经授权访问权限的软件。想象一下，有人伪装成速递员，将一个“间谍”或“破坏者”混入了你的办公室。

以下是你需要识别的常见恶意软件类型：

- 病毒 (Viruses)： 它们会附着在合法的程序上。当程序运行时，病毒就会传播。就像生物病毒一样，它需要一个“宿主”才能从一台计算机移动到另一台计算机（例如通过电子邮件附件）。
- 蠕虫 (Worms)： 它们比病毒更狡猾。它们不需要宿主程序；可以自行复制并在网络中传播。它们经常通过耗尽所有带宽来“塞住”系统。
- 特洛伊木马 (Trojans / Trojan Horses)： 得名于历史上著名的木马故事，它们伪装成有用的软件。一旦你安装了它们，它们就会为黑客打开进入你系统的“后门”。
- 勒索软件 (Ransomware)： 这是当今企业面临的重大隐忧。它会加密（锁定）公司的数据，攻击者会要求支付“赎金”（通常以比特币支付）来解锁。想象一下，有人给你的文件柜挂上挂锁，除非你付钱，否则拒绝给你钥匙。

记忆法：V-R-T-W
试想一个 Very Rude Tech Wizard（非常粗鲁的科技魔法师）：Viruses (病毒)、Ransomware (勒索软件)、Trojans (木马)、Worms (蠕虫)。

关键要点： 恶意软件旨在损害系统或窃取数据。防御通常涉及安装防毒软件以及保持系统更新（修补漏洞）。


2. 社交工程 (Social Engineering)： “人为黑客”

你知道吗？大多数网络攻击之所以成功，是因为人为失误，而不是技术缺陷。社交工程是一种操纵人心以获取密码或银行详细资料等机密信息的艺术。

- 网络钓鱼 (Phishing)： 最常见的类型。通常是大量发送看似来自可信来源（如你的银行或微软）的电子邮件，要求你点击链接或登录。这就像是一场数据“钓鱼”行动。
- 鱼叉式网络钓鱼 (Spear Phishing)： 这是钓鱼的针对性版本。攻击者会研究特定人士（例如财务经理），并发送高度个性化的电子邮件。由于它看起来非常真实，因此危险性更高。
- 诱饵 (Baiting)： 利用物品或好处的承诺来引诱受害者。例如，在停车场留下一个贴有“高层薪酬”标签的 USB 闪存盘。有人出于好奇捡起来插入计算机，然后——砰——恶意软件就安装好了。

现实例子： 如果你收到一封邮件写着“紧急：你的 P3 成绩已准备好，请点击此处登录”，但链接指向一个奇怪的网站——这就是一次“网络钓鱼”尝试！

避免常见错误： 不要将网络钓鱼与黑客入侵混淆。网络钓鱼是操纵人类；黑客入侵则是利用技术手段破解系统。


3. 拒绝服务 (DoS) 攻击

拒绝服务 (DoS) 攻击未必是为了窃取数据。相反，其目的是关闭机器或网络，使其预期用户无法存取。

- 运作方式： 攻击者向服务器发送大量“虚假”流量，导致服务器崩溃，或变得极其缓慢，以致合法客户无法使用。
- 分布式拒绝服务 (DDoS)： 这是 DoS 的“大哥哥”。攻击者利用受感染的计算机网络（称为“僵尸网络”或 botnet）同时攻击单一目标。这就像 10,000 人同时试图穿过一扇旋转门——结果就是动弹不得！

关键要点： 这些攻击针对的是可用性 (Availability)。如果客户无法进入网上商店购买产品，公司就会损失收入和声誉。


4. 黑客入侵与未经授权访问

黑客入侵 (Hacking) 是指识别并利用计算机系统或网络中的弱点，以获取数据未经授权访问权限的行为。

- 中间人 (MitM) 攻击： 这是指攻击者在双方通讯之间进行“窃听”。例如，如果你在咖啡店使用不安全的公共 Wi-Fi，黑客可以坐在“中间”，查看你发送给银行网站的所有内容。

如果这听起来很复杂，别担心： 只要记住 MitM 本质上就是数字“窃听”。为了防止这种情况，公司会使用加密（将数据扰乱，使窃听者无法读取）。


5. 内部威胁 (The Insider Threat)

我们通常认为黑客是躲在暗房里的神秘人物，但有时威胁来自办公室内部。内部威胁可分为两类：

1. 恶意内部人员： 不满的员工蓄意窃取数据或破坏系统（例如，销售人员在跳槽到竞争对手前窃取客户名单）。
2. 无意造成的内部人员： 出于好心但犯错的员工。这可能是某人意外地将敏感电子表格电邮给了错误的人，或者丢失了一台没有密码保护的公司笔记本电脑。

你知道吗？ 根据多项研究，由“无意造成的内部人员”导致的数据外泄事件，比真正的黑客还要多！


总结与快速回顾

为了帮助你记住网络风险的类型，让我们看看 CIA 三位一体 (CIA Triad)（一个经典的 P3 概念）以及这些风险如何进行攻击：

- 机密性 (Confidentiality - 保守秘密)： 受到网络钓鱼、黑客入侵和恶意软件（间谍软件）的攻击。
- 完整性 (Integrity - 确保数据准确)： 受到中间人攻击或数据被篡改的未经授权入侵的攻击。
- 可用性 (Availability - 保持系统运行)： 受到 DoS、DDoS 和勒索软件的攻击。

考试关键要点：
- 网络风险是业务风险，而不仅仅是 IT 风险。
- 恶意软件、社交工程和 DoS 是“三大”外部威胁。
- 人（内部人员）通常是安全链中最薄弱的环节。
- 组织必须在“安全性”与“可用性”之间取得平衡。（如果安全措施太严苛，员工就会想办法绕过它！）

你一定没问题的！理解这些风险是评估公司应如何应对的第一步。继续努力！