一家银行发现连接到其分行网络的楼宇控制器存在漏洞。安全团队识别了风险，但设施部门管理设备，外部承包商维护其固件，IT 部门控制网络访问。每个团队都只掌握问题的一部分，没有任何一方能单独解决它。

随着金融机构扩展数字基础设施，并依赖更多互联系统和服​​务提供商，这些归属缺口正变得日益重要。

安全与运营之间的盲区

金融机构依赖的联网技术远超传统 IT 系统。监控摄像头、门禁读卡器、环境控制设备和供应商管理的设备支撑着日常运营，而这些设备往往处于不同的管理流程之下。

这种碎片化使网络安全资产管理变得复杂。一个资产可能出现在网络监控中，却缺失于配置管理数据库。另一个资产可能有技术记录，却没有明确的运营负责人。结果可能是：漏洞已知，却没有清晰的修复路径。

The 纽约州金融服务部23 NYCRR 第 500 部分网络安全法规 说明了监管期望如何与这一挑战相交。其信息系统定义涵盖工业控制、电话交换和环境控制。第 500.13 条要求受涵盖实体维护资产清单政策和程序，处理归属、位置和支持到期问题。

尽管 NYDFS 第 500 部分适用于受纽约监管的受涵盖实体，但底层挑战与 金融服务组织 更广泛地相关。资产可见性必须与问责机制相连接。

从发现到可问责的行动

以存在漏洞的分行控制器为例。在建议修复方案之前，安全团队需要了解它与哪些设备通信、其漏洞是否可被利用，以及限制措施可能如何影响楼宇运营。

持续、情报驱动的评估帮助团队识别受管和非受管资产中的暴露情况，同时减少对定期扫描的依赖，因为定期扫描可能留下盲区或干扰敏感系统。

被动资产发现和有针对性的协议感知查询有助于识别专用设备并确定其特征。漏洞情报和通信映射为评估暴露情况提供上下文。

但仅靠优先级排序无法解决问题。

发现结果必须传达给负责评估和实施控制的设施部门、IT 部门或服务提供商。丰富的资产信息可以支持 CMDB 记录和修复工作流，将技术评估与可问责的团队连接起来。

例如，IT 部门可以限制不必要的网络通信，同时设施部门协调经供应商批准的固件更新。安全团队可以验证已实施的控制措施，并继续跟踪剩余的漏洞。

目标是形成有记录的决策和可执行的计划，而不是又一个悬而未决的发现。

更好的可见性改变决策质量

即使是网络安全投入巨大的组织，也可能低估其联网环境的规模。

在 ServiceNow 旗下 Armis 客户案例研究中，一家全球金融服务组织在为期两周的评估期间发现，其资产数量约为现有 CMDB 所反映的 三到四倍 。扩展后的可见性帮助识别了安全覆盖缺口，并改进了漏洞优先级排序。

这个例子说明了为什么准确的资产情报是有效风险管理的基础。如果没有关于环境的可靠信息，团队可能难以确定控制措施是否覆盖了他们意图保护的系统。

NYDFS 第 500.5 条涉及基于风险的漏洞修复，而第 500.17 条为适用的年度网络安全认证确立了文档期望。

可辩护的风险管理流程应确立哪些资产在覆盖范围内、谁负责未解决的发现、授权了哪些纠正措施，以及这些措施是否已完成。

弥合知与行之间的差距

随着金融机构扩展其数字基础设施和第三方关系，安全团队需要的不仅仅是持续的漏洞检测。他们需要一种可靠的方式，将暴露情况与负责解决问题的人员连接起来，即使这些资产位于传统 IT 归属之外。

这正是 Armis Centrix™ 与 ServiceNow 的安全和运营工作流 相结合的价值所在。ServiceNow 旗下 Armis 提供持续的资产情报、漏洞上下文和威胁知情优先级排序。连接的 ServiceNow 工作流随后可以帮助将发现结果路由到负责团队、协调修复，并维护决策和进展记录。

对一家银行而言，这可能意味着发现一个暴露的楼宇控制器，确定负责它的团队，与 IT 和设施部门协调网络限制，并跟踪经供应商批准的固件更新直至完成。结果是，从技术发现到可问责的风险降低决策有了更清晰的路径。

这也是 Shift Zero的实用价值所在，这是 ServiceNow 预防优先的安全方法。通过将资产情报与协调行动连接起来，组织可以努力更早地减少暴露，在它们成为事件之前。

对银行领导者而言，这意味着更清晰的归属、更可辩护的修复决策，以及应对网络风险的更有力进展证据。

知道什么暴露了是起点。知道谁能行动，并证明行动已经发生，才是关键所在。