2023年4月18日 – Gartner近日公布的網(wǎng)絡(luò)安全重要趨勢預(yù)測顯示，半數(shù)首席信息安全官（CISO）將采取以人為本的設(shè)計，旨在減少網(wǎng)絡(luò)安全運(yùn)營中的摩擦；大型企業(yè)將重點(diǎn)執(zhí)行零信任計劃；半數(shù)網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者將嘗試使用網(wǎng)絡(luò)風(fēng)險量化機(jī)制來推動決策，但會以失敗告終。

在近日召開的Gartner安全與風(fēng)險管理峰會的開幕主旨演講中，Gartner高級研究總監(jiān)Richard Addiscott和咨詢部門高級總監(jiān)Lisa Neubauer探討了Gartner網(wǎng)絡(luò)安全專家提出的重要趨勢預(yù)測，這些預(yù)測可幫助安全與風(fēng)險管理領(lǐng)導(dǎo)者在數(shù)字時代取得成功。

Addiscott表示：“雖然首席信息安全官及其團(tuán)隊(duì)必須高度關(guān)注當(dāng)前發(fā)生的事件，才能最大程度地保證其企業(yè)機(jī)構(gòu)的安全，但在關(guān)注日常挑戰(zhàn)的同時，也應(yīng)抽出時間進(jìn)行遠(yuǎn)景展望，把握未來幾年將影響企業(yè)機(jī)構(gòu)安全計劃實(shí)施的趨勢?！?/p>

“這些預(yù)測代表著我們看到的一些新趨勢，任何希望制定有效、可持續(xù)的網(wǎng)絡(luò)安全計劃的首席信息安全官都應(yīng)給予重視?！?/p>

Gartner建議，網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者應(yīng)把握以下幾項(xiàng)戰(zhàn)略規(guī)劃假設(shè)，合理制定未來兩年的安全戰(zhàn)略。

到2027年，50%的首席信息安全官將正式在其網(wǎng)絡(luò)安全計劃中采用以人為本的設(shè)計原則，希望借此將安全運(yùn)營摩擦降至最低，并盡可能采用控制措施。

Gartner調(diào)研表明，在承認(rèn)曾在工作中采取不安全行為的員工中，超過90%的人雖然意識到自身行為會增加企業(yè)機(jī)構(gòu)的風(fēng)險，但依然選擇這么做。以人為本的安全設(shè)計將人本身（而非技術(shù)、威脅或位置）作為設(shè)計和落實(shí)控制措施的核心，以便盡量減少摩擦。 

到2024年，現(xiàn)代隱私法規(guī)將覆蓋大多數(shù)消費(fèi)者數(shù)據(jù)，但只有不到10%的企業(yè)機(jī)構(gòu)能夠成功地將隱私保護(hù)轉(zhuǎn)化為競爭優(yōu)勢。

企業(yè)機(jī)構(gòu)開始認(rèn)識到，在隱私保護(hù)計劃的支持下，他們將可以把數(shù)據(jù)用于更廣泛的用途、實(shí)現(xiàn)與競爭對手的差異化，并獲取客戶、合作伙伴、投資者和監(jiān)管機(jī)構(gòu)的信任。Gartner建議，安全領(lǐng)導(dǎo)者應(yīng)執(zhí)行符合《通用數(shù)據(jù)保護(hù)條例》（GDPR）的全方位隱私標(biāo)準(zhǔn)，以便在日益激烈的市場競爭中脫穎而出并順利發(fā)展。

到2026年，10%的大型企業(yè)將執(zhí)行一項(xiàng)全面、成熟、可衡量的零信任計劃，而目前這一比例還不到1%。

執(zhí)行成熟、大范圍的零信任計劃需要整合并配置多個不同的系統(tǒng)組件，這可能會增加技術(shù)難度和復(fù)雜性。計劃實(shí)施能否成功，在很大程度上取決于能否創(chuàng)造業(yè)務(wù)價值。秉持不斷完善的思路并從細(xì)微處入手，將使企業(yè)機(jī)構(gòu)更容易從零信任計劃中獲益，并逐步處理一些復(fù)雜的問題。 

到2027年，75%的員工將在IT部門之外獨(dú)立地獲取、修改或創(chuàng)建技術(shù)，2022年的這一比例為41%。

首席信息安全官的角色和責(zé)任范圍正在從負(fù)責(zé)控制措施轉(zhuǎn)變?yōu)榇龠M(jìn)風(fēng)險決策。應(yīng)對即將到來的變化，關(guān)鍵在于重新構(gòu)建網(wǎng)絡(luò)安全運(yùn)營模式。Gartner建議，不應(yīng)僅從技術(shù)和自動化的角度思考問題，而應(yīng)通過與員工深入交流來影響決策，并確保員工掌握必要的知識以作出明智決策。 

到2025年，50%的網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者將嘗試使用網(wǎng)絡(luò)風(fēng)險量化機(jī)制來推動企業(yè)決策，但會以失敗告終。

Gartner調(diào)研表明，62%的網(wǎng)絡(luò)風(fēng)險量化機(jī)制采用者提到了增加信譽(yù)和提高網(wǎng)絡(luò)風(fēng)險意識等軟性收益，但只有36%通過行動取得了預(yù)期成果，包括降低風(fēng)險、節(jié)約成本或切實(shí)影響決策。安全領(lǐng)導(dǎo)者應(yīng)集中精力實(shí)施決策者所需的量化分析，而不是進(jìn)行自我導(dǎo)向的分析并試圖說服業(yè)務(wù)部門給予認(rèn)同。 

到2025年，近半數(shù)網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者將更換崗位，25%的人將難以承受多重工作所帶來的壓力，徹底轉(zhuǎn)到其他崗位。

在疫情影響以及全行業(yè)人員短缺的推動下，網(wǎng)絡(luò)安全專業(yè)人員的工作壓力正在不斷上升，并變得無法承受。Gartner建議，雖然完全杜絕壓力不切實(shí)際，但如果通過企業(yè)文化獲得支持，人們將有能力完成棘手、壓力較大的工作。通過改變工作參與規(guī)則來推動企業(yè)文化變革，將對此有所助益。 

到2026年，70%的董事會將增加一名通曉網(wǎng)絡(luò)安全專業(yè)知識的董事。

網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者若想被業(yè)務(wù)部門視為合作伙伴，就需要了解董事會和企業(yè)的風(fēng)險偏好。這意味著，他們不僅需要展示如何利用網(wǎng)絡(luò)安全計劃防止不利事情的發(fā)生，還要證明此類計劃可有效地幫助企業(yè)提高風(fēng)險承受能力。Gartner建議，首席信息安全官應(yīng)積極地引領(lǐng)變革，向董事會闡明網(wǎng)絡(luò)安全措施的價值并提供實(shí)施支持，同時通過增進(jìn)與利益相關(guān)者的聯(lián)系來獲得更大的信任和支持。 

到2026年，超過60%的威脅檢測、調(diào)查和響應(yīng)（TDIR）解決方案將利用暴露面管理數(shù)據(jù)來驗(yàn)證和優(yōu)先處理被檢測到的威脅，而目前這一比例還不到5%。

隨著連接數(shù)量的增加以及SaaS和云應(yīng)用的普及，企業(yè)機(jī)構(gòu)面對的攻擊面正在不斷擴(kuò)大，因此需要提高可見性和打造中心化平臺，持續(xù)地監(jiān)測各類威脅與暴露面情況。TDIR能力提供了一個可以管理檢測、調(diào)查和響應(yīng)的統(tǒng)一平臺或平臺生態(tài)系統(tǒng)，使安全運(yùn)營團(tuán)隊(duì)能夠全面地掌控風(fēng)險和潛在影響。

 下載免費(fèi)Gartner電子書《2023年安全與風(fēng)險管理領(lǐng)導(dǎo)者的領(lǐng)導(dǎo)力愿景》，進(jìn)一步了解2023年安全與風(fēng)險領(lǐng)導(dǎo)者的首要任務(wù)。