【动画】带你了解，何为网络安全“攻击面管理”******

　　【2022年国家网络宣传周系列科普】

　　近年来，新兴技术迅速发展带动了网络资产边界快速拓展，也增加了企业资产暴露面，而基于供应链的新型攻击则大大降低了攻击成本。在多重因素的驱动下，网络安全防御策略也在与时俱进，攻击面管理也开始被行业所关注。让我们一起了解一下攻击面管理的小知识吧。

　　什么是攻击面？

　　近日发布的《中国攻击面管理市场研究报告》（以下简称研究报告）指出，攻击面是指未经授权即能访问和利用企业数字资产的所有潜在入口的总和。

　　其中，包括未经授权的可访问的硬件、软件、云资产和数据资产等，同样也包括人员管理、技术管理、业务流程存在的安全弱点和缺陷等，即存在可能会被攻击者利用并造成损失的潜在风险。

　　但不是所有资产暴露面都可以成为攻击面，只有可利用暴露面叠加攻击向量才形成了攻击面。

　　什么是攻击面管理？

　　攻击面管理是一种从攻击者的角度对企业数字资产攻击面进行检测发现、分析研判、情报预警、响应处置和持续监控的资产安全性管理方法，其最大特性就是以外部攻击者视角来审视企业所有资产可被利用的攻击可能性。

　　主要包含外部攻击面管理（EASM）、网络资产攻击面管理（CAASM）、数字风险保护服务（DRPS）等内容。

　　什么是攻击面管理框架体系？

　　攻击面管理框架体系自下向上分别为基础技术、安全能力和应用场景。基础技术为支撑攻击面管理的技术能力集合，多种技术组合形成攻击面管理的能力体系，根据不同的业务场景需求采用不同的能力组合，形成不同的应用场景下的攻击面管理解决方案，为用户提供有针对性的攻击面闭环管理能力。

　　什么是攻击面管理成熟度模型？

　　研究报告中还提到了建立攻击面管理的成熟度模型，主要是工具阶段的被动防御、平台阶段的主动防御、流程化阶段的对抗防御、先知阶段的优先防御四个层级；提出了暴露面获取、脆弱点发现、攻击面挖掘、情报获取能力等攻击面管理要具备的12个能力域，从检测发现、分析研判、情报预警、响应运营的闭环管控过程分解了响应的29个能力子项，从子能力的具备和完善情况来评价攻击面管理的有效性。

　　发展前景怎么看？

　　目前，国内外厂商如华云安、360政企安全、Mandiant、CyCoginito、等一大批传统网络安全团队，正在进入攻击面管理创新领域。未来攻击面管理将从传统场景扩展到新兴技术场景，并提供跨领域、跨技术平台的数字资产及其攻击面管理能力，更关注企业内部业务风险和第三方风险的管理，为用户提供统一的攻击面管理入口，并提供一致的安全运营体验。

　　光明网、华云安 联合出品

　　监制：张宁、李政葳策划：孔繁鑫制作/配音：雷渺鑫

上班第一天就摔伤，没有签订劳动合同公司要不要赔？******

　　上班第一天摔伤 公司赔了10万元

　　阅读提示

　　记者调查发现，近年来，类似案例和判决并不鲜见。“试工期”“试岗期”以及“未建立劳动关系”“未转正”等，不是逃避工伤赔偿责任的借口。建议用人单位在“社保空档期”购买雇主责任险以分散用工风险。

　　没有签订劳动合同，上班第一天就摔伤，公司要不要赔？这是前不久发生在湖南湘阴的真实案例。最终，湘阴法院判决公司对摔伤的员工赔偿10万余元。

　　在这起劳动争议纠纷案件中，用人单位到底冤不冤枉？

　　记者调查发现，近年来，类似案例和判决并不鲜见。综合来看，在“倾斜保护原则”下，我国的劳动法更倾向于保护弱势劳动者利益，兼顾用人单位利益。

　　上班第一天摔成八级伤残

　　事情发生在2021年6月9日。老杨应邀前往当地一家建设公司从事装模工作。他和公司提前约定，工资按天发放。没想到上班第一天，他就因施工过程中脚下打滑，不慎摔伤了右手。后经工伤鉴定，伤情构成八级伤残。

　　赖以生存的右手致残，老杨觉得很倒霉。事发后，老杨与公司就赔偿事宜沟通，但未达成一致。向仲裁委提出劳动仲裁申请后，仲裁委裁决公司赔偿老杨107498元。老杨不服裁决，诉至法院。

　　湘阴法院审理认为，用人单位自用工之日起即与劳动者建立劳动关系。老杨虽未签订书面劳动合同，但并不影响双方劳动关系的认定。

　　而在各项工伤赔偿标准的确认上，法院认为，因老杨是临时工，又在上班第一天受伤，不能举证证明受伤前12个月平均工资。因此，仲裁委以该公司缴纳工伤保险的基数4931元，作为杨某工资计算工伤赔偿数额，符合相关规定，应予认可。

　　法院最终判决该公司向老杨支付工伤待遇费用共计107498元。记者了解到，目前该判决已生效，公司已向老杨赔付全部金额。

　　“在工作时间工作场所内因工作原因受到的事故伤害，理应被认定为工伤，并依法享受工伤待遇。”办案法官表示。

　　类似案例和判决并不鲜见

　　记者调查发现，在面对类似老杨这样的劳动者的不幸遭遇时，法院往往会在贯彻公平、公正原则前提下，对劳动者依法予以倾斜保护。

　　同样事发湖南，同样是上班第一天受伤。在长沙天心区从事外墙灯具安装工作的刘某，工作时不慎从高处跌落受伤，鉴定为九级伤残。

　　公司认为刘某刚上班第一天，双方还未签订劳动合同，也无法购买工伤保险，其与刘某之间不存在劳动关系。但法院审理后认为，公司作为用人单位，为员工缴纳工伤保险是法定义务。刘某虽仅工作一天，但不影响对双方劳动关系的认定。最终判决公司赔偿刘某18万多元。

　　即使上班第一天路上出了意外，也属工伤。2017年，小陈成功应聘昆山某电子厂。去厂里报到的路上发生交通事故。

　　电子厂认为，出事当天小陈并未到厂里办理入职手续，也未签订劳动合同，双方尚未建立劳动关系，自然就没工伤一说；公司并非不给小陈缴纳工伤保险，而是因为他没来报到，双方还未建立劳动关系，厂里没有义务帮他缴。

　　但法院最终认定，因电子厂未为小陈缴纳社保，小陈发生工伤，相应的工伤保险待遇应当由电子厂承担给付责任。最终判该厂赔偿小陈11万多元。

　　如果入职第一天就离职，且回家途中死亡，算不算工伤？答案是：也算。同样是2017年的事：王某与悦某公司签订劳动合同后，被派遣至另一家公司工作。入职第一天，王某提出辞职，并办理了离职手续。不料当天下午，王某骑电动自行车被货车撞倒，经抢救无效于当日死亡。

　　王某被人社部门认定为工伤。两家公司不服提起上诉。法院审理认为，劳动者离职当日完成的交接工作等也是其工作组成部分，其离开公司回家的行为应视为下班。且员工向用工单位申请辞职不等于与用人单位解除劳动关系。

　　及时为员工缴纳社保是关键

　　“这些案例有两个常见的争议点：一是双方劳动关系的确立，二是各项工伤赔偿标准的确认。”湖南天地人律师事务所律师吕帅分析。

　　吕帅告诉记者，无论劳动者是“上班第一天”或是“未转正”，只要符合劳动关系建立的特征，那么自劳动者为用人单位提供劳动开始，二者之间的劳动关系即已建立。

　　实践中，为了相互了解、选择，有的企业会为新员工设置“培训期”“试工期”“试岗期”等期限。但也有不合规企业借此推卸劳动用工的法律责任，不缴纳社会保险。一旦员工在此期间发生工伤，企业便以“未建立劳动关系”“未转正”为由，试图逃避工伤赔偿责任。“其实试用期对劳动者的影响仅表现在解除劳动合同和工资待遇方面，对工伤待遇没影响。”

　　此外，很多企业会选择在员工转正后缴纳社会保险，或当月入职、下月办理社保登记。吕帅认为这种做法不但不能为企业省多少钱，还可能带来无法预期的后果。

　　“社会保险法规定，用人单位应当自用工之日起30日内为其职工向社会保险经办机构申请办理社会保险登记。转正后缴纳社保的操作显然违法；当月入职、下月办社保的操作看似不违反法定时限要求，但殊不知，30天之限是法律给予用人单位的最长宽限期，并非不缴纳社保的免责期限。”吕帅举了一个现实案例：2020年10月，上海某公司因工期紧张，加急招聘了操作工李某，当晚李某办好手续后正式入职到岗，不料工作两个小时后猝死。事后，家属要求公司给予一次性补偿140万元。

　　“这就是一起典型的反映‘社保空档期’的事件。”吕帅建议，在“社保空档期”，企业可以购买雇主责任险以分散风险。他同时提醒劳动者，若用人单位未依法缴纳工伤保险，并以双方劳动关系存在争议为由拒付工伤保险待遇，劳动者应准备工伤认定书、劳动能力鉴定结果、医药费发票及证明双方存在用工事实的相关证据，向劳动仲裁委员会申请仲裁。对仲裁裁决不服可以向法院提起诉讼。