金融机构网络安全（一）：概览

探讨每家银行都应跟踪的可量化、可执行的安全指标，以便向监管机构讲好网络安全故事。

《Modern Bank Heists 4.0》对 126 位金融行业 CISO 的调研显示：电汇欺诈增长 57%、毁灭性攻击增长 118%、跳岛攻击（island hopping）加剧，文章为金融机构提供安全优先级建议。

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。