上周Gartner在“2024年網絡安全六大趨勢”報告中指出，新的一年中改變企業網絡安全市場的六大驅動力和趨勢分別是：
- 生成式人工智能(GenAI)
- 不安全的員工行為
- 第三方風險
- 持續的威脅暴露
- 董事會溝通差距
- 身份優先的安全方法
Gartner的預測，2024年將是企業高度重視安全文化建設的一年，同時也將誕生首個生成式人工智能驅動的安全產品，到2025年，這些工具將帶來真正的風險管理成果。
近日，Gartner高級研究總監分析師Richard Addiscott對“六大趨勢”進行了深入解讀，具體如下：
趨勢一：CISO對生成式人工智能既愛又怕
Addiscott指出，在不久的將來，生成式人工智能可以幫助安全部門提高防御能力，包括漏洞管理、威脅情報和響應等領域。
“生成式人工智能還可以幫助安全團隊提高運營效率，這在當前全球網絡安全人才短缺的情況下，是關鍵的業務驅動因素，”他說。
然而，生成式人工智能的“副作用”也不容忽視。到目前為止的一些案例顯示，部分使用生成式人工智能的員工更容易出現提示疲勞，而不是生產力增長。不過，企業仍應鼓勵內部和外部的安全部門進行試驗并管理期望。
Addiscott表示，盡管許多企業最初持懷疑態度，但對人工智能技術仍抱有"堅定的長期希望"。
趨勢二：安全行為和安全文化在企業落地生根
安全文化對所有網絡安全項目都至關重要。根據Gartner的說法，越來越多的CISO開始接受這一理念，并采用安全行為和文化計劃(SBCP)。
Gartner預測，到2027年，50%的大型企業首席信息安全官將采用以人為中心的安全性實踐。
Addiscott解釋說，"SBCP代表了一種更全面、更綜合的方法，其目的是培養和嵌入更安全的行為和工作實踐，貫穿整個組織。"
這種策略采取了更加全面的視角，涵蓋所有企業角色和職能，而不僅僅關注最終用戶員工的行為。
為了支持企業向這一模式轉變，Gartner開發了PIPE（實踐、影響、平臺、推動因素）框架，指導安全意識項目中并不常用的實踐，例如組織變革管理、以人為本的設計實踐、營銷和公共關系以及安全輔導。
PIPE還鼓勵企業將員工人口統計、企業預算、高管風險文化以及數字和網絡素養納入其網絡安全計劃中。此外，還可以通過整合來自各種安全工具的員工使用數據來個性化這些計劃（生成式人工智能也可以在此發揮作用）。
Addiscott指出，SBCP允許組織深入挖掘數據，以確定哪些員工行為導致了某些安全事件。例如，他們是否泄露了憑證、點擊了不安全鏈接或濫用了電子郵件。然后，他們可以采取更平衡的方法向前發展。
他表示，高層的支持是至關重要的，同時還需要有一個員工可以理解的"良好安全態勢"的愿景。領導者應該意識到安全文化學習沒有"一刀切"的方法，并且還應該定期評估項目效果。
Addiscott承認，"SBCP比傳統的安全意識培訓計劃要大得多，而且并非所有企業都具備擴展到超出當前能力范圍的能力、成熟度或能力，可以循序漸進，量力而行。"
趨勢三：用好的安全指標彌合董事會溝通差距
Gartner強調，隨著全球監管機構尋求加強網絡安全方面的規則，2024年董事會必須更加熟悉組織風險。然而，Addiscott指出，董事會通常缺乏"深入的網絡安全專業知識"。
他指出，以技術為中心、以運營為導向、以及過去導向/滯后的網絡安全績效指標對企業高管來說毫無意義，無法幫助他們真正理解公司面臨的風險以及如何應對風險。
這催生了成果驅動型指標(ODM)，它本質上是將網絡安全投資和它們提供的保護之間直接關聯。安全領導者可以用"可視化"方式展示其安全項目的績效，并根據企業的風險偏好展示所取得的成果。
Gartner表示，"ODM是制定可辯護的網絡安全投資策略的核心，它反映了具有強大性能的商定保護級別，并用非IT高管可以理解的
趨勢四：第三方風險管理至關重要
軟件供應鏈正遭受持續攻擊，第三方發生網絡安全事件只是時間問題。
Addiscott指出，CISO應該更加關注"以彈性為導向的投資"，而不是"前期盡職調查"。
他建議加強對網絡安全風險較高的第三方參與的應急計劃。此外，還要創建針對第三方的事件手冊、進行桌面演練并定義明確的“下車”策略（例如及時撤銷訪問和銷毀數據）。
Addiscott表示，"為企業數字化能力建立強大而有彈性的供應鏈對于更廣泛的組織彈性至關重要"。
趨勢五：面向未來的網絡安全技能再培訓
毫無疑問，網絡安全人才荒并未結束。Gartner報告稱，僅在美國，合格的網絡安全專業人員就只夠滿足當前需求的70%。
云遷移、生成式人工智能應用、運營模式轉型、不斷擴大的威脅環境和供應商整合只會加劇人才短缺趨勢，同時還在不斷產生大量新安全技能需求。
因此，網絡安全領導者需要摒棄傳統的人才招聘篩選規則，例如要求應聘者具備"n"年經驗或特定技能（因為這些技能可以學習）。他們應該著眼于招聘"相關技能"、"軟技能"（例如商業敏銳度、口頭溝通和同理心）以及全新網絡安全角色需要的“新技能”。
Gartner建議企業制定網絡安全勞動力計劃，記錄所需技能并展示角色將如何演變。他們還應該培育學習文化，通過"迭代、短時間的爆發"而不是"瀑布式"的培訓來納入實踐技能開發。
值得注意的是，Gartner強調"要為未來招聘，而不是為過去招聘"。職位描述應該刪除"大牛"要求，即那些幾乎沒有應聘者可以達到的“理想人才標準”。
趨勢六：IAM和持續威脅暴露管理(CTEM)勢頭強勁
近年來，隨著SaaS應用加速、數字供應鏈擴展、遠程工作和其他因素的推動，攻擊面急劇擴大，導致企業留下了許多盲點。他們的可見性有限，并且他們的技術往往是孤立的。
Gartner表示，為了解決這一問題，許多企業正在采用持續威脅暴露管理(CTEM)。CTEM幫助安全團隊持續評估和管理暴露，而不是試圖找到并修補每個漏洞。這使他們能夠根據企業的具體威脅環境進行修復。
Gartner預測，到2026年，優先考慮CTEM的企業的違規事件將減少三分之二。
與此同時，身份訪問管理(IAM)變得越來越重要。Gartner建議企業"加倍努力實施適當的身份衛生措施"。他們還應該擴展身份威脅檢測和響應(IDTR)，實施安全態勢評估，并通過"向身份架構演變"來"重構"身份基礎設施。
總結：給CISO的六大建議
后疫情時代，網絡安全將面臨新的挑戰和機遇。生成式人工智能、安全行為和文化、第三方風險管理、網絡安全技能再培訓、身份管理以及持續威脅暴露管理(CTEM)的興起，都將對網絡安全格局產生重大影響。
針對以上趨勢，Gartner建議CISO在新的一年：
- 積極探索生成式人工智能在網絡安全領域的應用潛力。
- 培育以人為本的安全文化，并通過安全行為和文化計劃(SBCP)提升員工的安全意識。
- 加強對第三方風險的管理，建立強大的供應鏈安全體系。
- 通過再培訓和技能提升，打造一支適應未來需求的網絡安全人才隊伍。
- 不斷完善身份管理體系，以應對日益復雜的威脅環境。
- 積極采用持續威脅暴露管理(CTEM)策略，提升組織的整體安全防護能力。
