【2025年4月7日香港訊】全球網絡保安方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）發表最新報告，指出全球的「資訊保安風險指標」（Cyber Risk Index，簡稱 CRI）^註一正逐年下降，2024 年的平均指數為 38.4，較 2023 年下降了 6.2，顯示企業在採用了主動式資訊保安方案後，可看到其量化風險指標呈現下降趨勢。

參考「趨勢科技 2024 年資訊保安風險報告」：

https://www.trendmicro.com/vinfo/hk/security/news/threat-landscape/trend-2025-cyber-risk-report

趨勢科技企業平台長金敬秀表示：「趨勢科技客戶正抱擁我們的主動式資訊保安願景，採用人工智能驅動的 Trend Vision One^TM Cyber Risk Exposure Management 主動式資訊保安風險曝險管理來發掘風險，並判斷其防範優先次序。透過這優勢，他們就能建立資訊保安韌性、迅速遏制威脅，更有效率運用時間和資源。只要心態和工具正確，任何企業都能依循這套方法治理資訊保安。」

在過去一年，儘管企業依舊處於「中度風險」區間，但CRI 指標每個月都在下降，從 2 月份的 42.5 一直下降至 12 月的 36.3，證明了企業的資訊保安風險確實有所改善。而這也反映資訊保安界的一項趨勢，就是朝著持續性資訊保安評估與風險導向決策發展。

以下是本報告的重點摘要：

• 最危險的事件：「存取危險的雲端應用程式」排行第一，其次是「閒置的 Microsoft Entra ID 帳號」，其他十大風險還有電郵、用戶帳號及登入憑證相關風險等，大多與配置錯誤有關。有超過 10 億家企業機構在使用 Entra ID 帳號時都停用了多重認證，顯示企業需要更有效的自動化身份防護。
• 漏洞平均修補時間（MTTP）：2024 年最常偵測到的 CVE 未修補漏洞為上半年發佈的「高嚴重性」權限提升（EoP）漏洞。在所有地區中，歐洲（23.5 天）及日本（27.5 天）是漏洞平均修補時間最短的地區，而動作最快的產業則是非牟利組織（19 天）與科技界（22 天）。至於醫療（41.5 天）與電訊（38 天）則是動作最慢的產業。趨勢科技平均可在廠商正式釋出修補更新之前三個月提供虛擬修補來保護客戶。
• 產業狀況：在 2024 年，教育、通訊、能源及農業的 CRI 最高，顯示它們是曝險程度最高的產業。
• 地區狀況：歐洲是改善幅度最大的地區，CRI 降低了 7 點，這很可能是因為 NIS2 與 DORA 所帶來的合規壓力使然。美洲及亞洲、中東與非洲仍有改善空間，日本則依然保持著平均指標最低（34.3）的優異成績。
• 勒索程式：LockBit、RansomHub 和 Play 勒索程式佔 2024 年已通報資訊保安事件的最多宗數。根據趨勢科技研究，CRI 高於平均值的企業遭遇勒索程式入侵的機率比低於平均值的企業高了 12 倍左右。
• 人工智能：報告指出，人工智能輔助的深偽（deepfake）網絡釣魚、虛擬綁架詐騙及自動化偵察，是人工智能最重要的新興威脅。但儘管如此，人工智能也能讓資訊保安人員更有效地預測及防範網絡攻擊，例如透過業界首創的 Trend Cybertron 資訊保安大型語言模型。

為了進一步降低 CRI，趨勢科技呼籲全球企業可透過以下方式來抱擁主動式資訊保安方案：

• 資訊保安設定最佳化：徹底發揮產品的功能，設定在發生配置錯誤、漏洞及其他風險時收到警示。利用原生感測器/第三方來源建立受攻擊面的完整可視性。
• 迅速聯絡裝置和/或帳號持有人：當偵測到危險事件時，利用 Vision One Workbench 的搜尋功能來跟裝置持有人聯絡，以便進一步確認和調查。
• 盤點閒置帳號：將閒置未用的帳號刪除、停用有危險的帳號、重新設定高強度密碼，並且啟用多重認證。
• 套用最新的修補更新：定期套用修補更新或升級應用程式/作業系統版本。

註一：Trend Vision One Cyber Risk Exposure Management 資訊保安風險曝險管理採用風險事件目錄來計算每種資產類型的風險評分，以及企業的風險指標。計算方式是將資產的攻擊、曝險與資訊保安配置乘上資產的關鍵性。計算結果會是一個介於 0 至 100 的整數，並分成三個等級區間：低度風險 (0-30)、中度風險 (31-69) 以及高度風險 (70-100)。