云安全電子郵件提供商Tessian公司在2022年10月進行的一項調(diào)查發(fā)現(xiàn)，20%的首席信息安全官每周加班25小時或更長時間，是2021年每周加班時間的兩倍。首席信息安全官這一角色的要求意味著他們要大量加班——大約每周額外工作兩天。此外，調(diào)查還發(fā)現(xiàn)，首席信息安全官的工作時間比合同規(guī)定的每周工作時間要多16.5小時，與2021年相比增加了11小時。
為什么他們的工作時間會持續(xù)增長?首席信息安全官擔心的一個主要原因是網(wǎng)絡安全威脅顯著增加。此外，凱捷公司在2017年進行的一項調(diào)查表明，27%的企業(yè)高管表示，他們公司的大數(shù)據(jù)計劃是有利可圖的。
然而，大數(shù)據(jù)方面的蓬勃發(fā)展并不足以讓數(shù)據(jù)領導者們安心。當涉及到大數(shù)據(jù)挑戰(zhàn)時，數(shù)據(jù)領導者會擔心數(shù)據(jù)集成、缺乏技術(shù)專業(yè)知識、數(shù)據(jù)孤島的擴散，以及更重要的安全問題。
導致首席信息安全官和安全團隊人員流失的因素
Panzura公司的首席信息安全官KatieMcCullough表示，“網(wǎng)絡安全影響業(yè)務的每個領域。作為如此廣泛的一個主題，它可能會讓企業(yè)不知所措，所以作為首席信息安全官，我們花費一些時間對其他業(yè)務團隊進行教育和通知是很重要的。
我們的方法首先是以降低風險為基礎，識別風險是我們的責任，并且需要與各團隊開展合作，尋找減輕風險的方法。首席信息安全官因此需要進行艱難的對話，尤其是在預算緊張的時候。與此同時，安全團隊的壓力越來越大，但我們也已經(jīng)注意到各行各業(yè)的人員參與網(wǎng)絡安全工作有很多積極因素。
人們越來越理解網(wǎng)絡安全的重要作用，期望將網(wǎng)絡安全融入數(shù)字生命周期，并推動向客戶和潛在客戶溝通安全問題。”
Lumu公司創(chuàng)始人兼首席執(zhí)行官RicardoVilladiego表示，虛假警報不僅占用員工時間，還增加了企業(yè)的開支，是導致員工工作倦怠的一個因素。根據(jù)OrcaSecurity公司發(fā)布的《2022年云安全警報疲勞報告》，59%的網(wǎng)絡安全團隊平均每天收到500多個公有云安全警報。
Villadiego說：“網(wǎng)絡安全運營商認為，大量虛假警報、調(diào)查所有這些警報的負擔，以及警報隨時可能出現(xiàn)的事實，這些都是導致員工工作倦怠的主要原因。”
在收到的警報中，43%的受訪者表示收到的警報中有40%是誤報。根據(jù)Guarrails公司最近進行的調(diào)查，企業(yè)調(diào)查每個可操作的警報平均需要30分鐘，而調(diào)查每個錯誤的線索需要32分鐘。
因此，62%的受訪者表示警報疲勞導致了人員流動，60%的受訪者表示警報疲勞在他們的公司中造成了內(nèi)耗。
Villadiego補充說，“許多網(wǎng)絡安全工具(例如SIEM)需要更加直觀，否則可能會加重日常工作。此外，他們還必須應對隨之而來的恐懼、不確定性和疑慮，因為他們知道，如果錯過了重大的事情，可能會嚴重影響公司業(yè)務或自己的職業(yè)生涯。
從首席信息安全官的角度來看，平衡投資與潛在風險，并向其他企業(yè)高管或董事會成員(他們往往不了解網(wǎng)絡安全的技術(shù)性質(zhì))證明這些投資的合理性，這可能會令人望而生畏。”
首席信息安全官在經(jīng)濟低迷時期如何管理網(wǎng)絡安全預算
Villadiego說，“首席信息安全官正在評估他們的安全堆棧，以確定哪些工具真正實現(xiàn)了他們的承諾。他們再也負擔不起為采用每一個工具而雇傭頂級網(wǎng)絡安全人才，而技術(shù)人才如今更加稀缺。
與其相反，首席信息安全官必須依賴于可以由一級網(wǎng)絡安全分析師操作的工具，同時還要在內(nèi)部培訓網(wǎng)絡安全人才。”
與此同時，McCullough采用了一種更加普遍的方法，其目標或多或少是相同的——適應宏觀經(jīng)濟環(huán)境并接受一定程度的風險。
她說，“第一步必須是降低風險。為了安全而投資安全對任何人都沒有幫助。管理風險需要首席信息安全官和更廣泛的業(yè)務同事學會接受可接受的風險水平。這意味著列出所有風險，確定優(yōu)先級，并分配預算，以首先減輕最大的網(wǎng)絡威脅。
這也意味著要聰明地工作，尤其是在經(jīng)濟低迷時期，因為預算面臨額外壓力，導致風險增加。企業(yè)掌握網(wǎng)絡安全基礎知識變得比以往任何時候都更加重要。建立良好的網(wǎng)絡安全環(huán)境需要投入更多的時間和精力。”
首席信息安全官如何應對未來的安全就業(yè)市場
McCullough分享了她采用的雙管齊下的方法，以確保網(wǎng)絡安全角色的活力。她表示，“對我來說，在整個業(yè)務中培養(yǎng)網(wǎng)絡安全負責人是一種主要策略。我把這種方法應用到我的團隊成員，他們都是我培訓或指導過的員工，然后在其他業(yè)務領域繼續(xù)他們的職業(yè)道路。同樣，我在其他團隊中培養(yǎng)網(wǎng)絡安全意識，因為安全影響到企業(yè)中的每個人。
作為首席信息安全官，我們需要明智地考慮如何加強可用的安全資源。在不同的團隊中擁有了解威脅緩解危機的安全負責人，不僅意味著他們在設計產(chǎn)品和服務時考慮到了安全，還意味著可以更靈活地應對網(wǎng)絡威脅。”
另一方面，Villadiego表示，企業(yè)需要依賴技術(shù)實力，并減少混亂，獲得和建立盡可能多的知識庫，并實現(xiàn)事件響應的自動化。
他說，“首先，需要降低虛假警報的噪音。在這里，與人工智能的協(xié)調(diào)可以幫助確定需要人工分析的事件的優(yōu)先級和審查。
其次，事件調(diào)查至關(guān)重要且耗時，因此首席信息安全官及其團隊需要在一個中心位置擁有盡可能多的信息，以便隨時交叉引用和驗證時間表。
第三，自動化事件響應意味著安全團隊不必全天候待命。如果能夠及早識別出惡意活動，并在網(wǎng)絡安全事件升級之前阻止該活動，那么其余的補救工作就可以在正常工作時間內(nèi)完成。”
