2023年網絡安全趨勢是什么？產品做減法，治理需前置

來源：博觀科技日期：2023-08-09 15:17:03

從物聯網、工業4.0，直至現在IoT萬物互聯的概念被提出之后,網絡安全的覆蓋范圍隨之擴大，在整體上對信息安全從業者的要求有了很大的變化，以前靠傳統硬件堆疊就能解決大多數問題的時代，一去不復返。

反觀現狀，網絡安全產品與功能的高速發展，響應與治理的分割，運營與處置的矛盾，都讓安全領域亟待提升強化。而這種強化，并不是單純追求技術能力的提升，而是要求企業先要從安全理念上突破和改變。

近來，“在安全上做減法，降低復雜性”，以及“‘前置安全’，加強管理手段”的相關安全理念在業界被反復提及。

物聯網對網絡安全的需求不斷增長。

近年來，物聯網越來越受歡迎，目前有數百萬設備連接到互聯網。然而，物聯網的擴展帶來了新的網絡安全挑戰。

物聯網中的“物”是指計算機、電話和服務器以外的設備，是連接到互聯網并交換數據的物理對象。物聯網設備包括可穿戴健身追蹤器、智能手表和谷歌主頁等語音助手。

物聯網的一個主要問題是，大多數設備的安全功能都很低，容易受到攻擊。此外，大量物聯網連接設備形成了一個難以防御的重要攻擊面。

為了應對這一風險，各企業應實施強有力的身份驗證，和加密措施以及強大的監控和響應系統。此外，在發生安全漏洞時，需要制定一個協調一致、行之有效的應對計劃，因為這可以減少攻擊的影響，降低數據丟失的風險。

一味堆疊產品弊病凸顯，網絡安全亟需做減法。

近年來，數字化轉型升級讓大量的企業都開始使用公有云、遠程辦公來提高效率，從而導致風險暴露面的擴大，再加上合規建設等要求，企業們紛紛加大了對終端安全的投入。

不過，久而久之，這體現在行動上，則成了一味堆疊產品。

“終端安全產品堆疊是企業普遍存在的弊病?！蹦尘W絡安全廠商對鈦媒體App表示。鈦媒體App也了解到，在終端安全中一味堆疊產品并不能擁有1+1>2的效果，相反，有時還會出現小于2的情形。

終端瘋狂堆砌安全產品的另一面，是企業會打包不同網絡安全廠商產品一起使用，這也產生了兩方面的不利影響：一方面，大量產品堆疊讓使用體驗惱于卡頓；另一方面，出現問題時各家廠商互相推諉扯皮的現象時有發生。

總體來說“理想豐滿，現實骨感”，一味堆疊終端安全產品，也對業務產生了一些負面影響。這表現在運維上，則是繁多的產品讓終端運維變得繁雜、低效，加大了終端運維工作人員的負擔。

數字化辦公環境下，終端已經成為員工訪問企業數字化系統最重要的工具，每當終端出現問題之后，不論問題大小，大家都會條件反射地對接運維人員，導致運維人員的工作量成倍擴增。但終端承載的業務、功能多元化，導致終端管理本身就比較困難；加之終端安全方面缺乏類似可度量的指標，無法持續對終端的整體安全情況進行檢測，壓垮終端運維的稻草一直在持續疊加。

除了內憂，還有黑客帶來的外患。黑客組織專業化、體系化情況下，割裂的產品則容易導致攻防不對稱，防護效果大打折扣。尤其現在人工智能攻防呈現對抗發展的演化，黑客基于人工智能的攻擊越來越隱蔽化，又加大了應對難度。

不過，最近風向好像變了，在認識到產品堆疊的一系列問題之后，一些網絡安全廠商開始強調產品要走向輕量化，減少產品堆疊，強調以提升效率為主?！熬W絡安全最小化，網絡安全要打合成仗”的口號也在業內形成了此起彼伏的聲浪。

隨著技術的革命、技術的迭代，終端安全也需要做減法，變得更加簡潔、有序和有防御性。

安全治理開始前置，向管理角度傾斜。

終端安全與業務的關聯示例一方面明示了安全治理要做減法的思路，另一方面，也隱含了安全理念急需加強的潛在問題。

此前，騰訊安全聯合安在，先后對1500余位企業CSO，50多位企業家及行業專家進行了調研，調研發現，發展驅動成為大家的普遍共識，即基于“治已病”發展為“治未病”的前置安全的觀念。

騰訊集團副總裁、騰訊安全總裁丁珂認為，安全建設的范式正在從被動安全逐步演變為主動防御，是這個階段企業建設安全的核心考量。他還表示：“企業家的整體安全思維要進行變革：用主動的方式建立具有彈性、自適應、可擴展的數字安全免疫系統?！?/span>

但現實問題恰恰就在于，企業家的思維變革并不容易。類似“先天性數字安全免疫力”，即企業的安全文化和意識的推進也并不輕松。

對于上述問題，施耐德電器的管理經驗是，通過識別、評估、分類分級流程后建立的風險注冊表，將可能發生的風險因素與高管們每個人的職責相綁定，提高企業高層們對安全風險的預警意識，認識到自己并不是游離在安全之外的因素。而通過風險注冊表，不僅能將安全責任落實到整個體系中，也能通過定期、持續的評估來了解企業是進步還是退步。

安全的保障一定是技術和組織的雙輪驅動。中國人民大學商學院教授、國際信息系統學會中國分會（CNAIS）主席（理事長）毛基業表示：“我們當年講ERP是組織變革，是三分技術、七分管理，今天講數字經濟、數字化轉型還是講三分技術、七分組織。最主要的是生產力的解放，要靠生產關系靠組織變革來完成。雙輪驅動，除了有技術，還要有管理層面最深層的治理關系，所有制、責權利相符?！?/span>

將安全前置，以管理視角優先，多層面地提高安全風險意識，接下來還需要企業在喊口號之外，再多走兩步。

另外，以下九個趨勢將在這三個領域對SRM領導者產生廣泛影響：

趨勢1：以人為本的安全設計

采用以人為本的設計原則，將員工體驗在整個控制措施管理生命周期中的作用放在第一位。到2027年，50%的大型企業首席信息安全官（CISO）將采用以人為本的安全設計原則，以盡量減少網絡安全運營摩擦，并盡可能推動控制措施的采用。

Gartner高級研究總監Richard Addiscott表示：“傳統的安全意識培養計劃未能減少不安全的員工行為。首席信息安全官必須重新審視過去的網絡安全事件，確定網絡安全運營摩擦的主要來源，判斷在實施控制措施的同時如何通過更多人文關懷來減輕員工的負擔，或取消那些增加摩擦卻無法有效降低風險的控制措施?！?/span>

趨勢2：改進人才管理，保障安全計劃的可持續性

以前，網絡安全領導者始終重視改進安全計劃背后的技術和流程，很少關注具體的實施者。為吸引和留住人才，不少首席信息安全官采用以人為本的人才管理方法，推動安全職能和技術的日益成熟。Gartner預測，到2026年，為了解決系統性的網絡安全和招聘難題，60%的企業機構將從對外招聘轉向 “悄悄招聘”，在企業機構內部物色所需的人才。

趨勢3：轉變網絡安全運營模式，推動價值創造

技術正在從中央IT部門轉移到各業務線、職能部門、融合團隊和員工個人。Gartner的一項調研發現，41%的員工在從事某種技術工作，并且該趨勢預計將在未來五年繼續加深。

Addiscott表示：“如今企業領導者普遍認為，網絡安全風險已成為需認真對待的首要業務風險，而不再僅僅是有待解決的技術問題。支持和加速業務成果，既是網絡安全工作的核心目標，也是一項重大的挑戰?！?/span>

首席信息安全官必須調整網絡安全的運營模式，通過綜合方法達成工作目標。員工必須了解如何平衡網絡安全、財務、聲譽、競爭、法律等諸多方面的風險。還必須將網絡安全與業務價值掛鉤，從業務成果和重點目標的角度來衡量和報告項目效果。

趨勢4：威脅暴露面管理

現代企業面臨的攻擊面十分復雜，導致安全防護人員身心疲憊。首席信息安全官必須改善評估方法，實施連續威脅暴露面管理（CTEM）計劃來了解威脅暴露情況。Gartner預測，到2026年，根據CTEM計劃確定安全投資優先級的企業機構將有能力使安全泄露事件減少三分之二。

趨勢5：身份編織免疫

身份基礎設施的脆弱性來自于身份編織中的不完整、配置錯誤或脆弱的要素。到2027年，企業機構將依靠身份編織免疫原則阻止85%的新攻擊，進而將安全泄露所造成的財務影響減少80%。

趨勢6：網絡安全驗證

網絡安全驗證匯集了多項技術、流程和工具，旨在對潛在攻擊者利用已知威脅暴露面的方式進行驗證。支持網絡安全驗證的工具已取得重大進步，已實現可重復以及可預測評估環節的自動化，支持對于攻擊技術、安全控制和流程的常規基準化分析。到2026年，超過40%的企業機構（其中三分之二為中型企業）將依靠整合平臺來執行網絡安全驗證評估。

趨勢7：網絡安全平臺整合

由于企業機構希望簡化運營，各廠商正在圍繞一個或多個主要的網絡安全領域進行平臺整合。例如，通過一個集治理、特許訪問和訪問管理功能于一身的共同平臺提供身份安全服務。SRM領導者需要持續盤點安全控制措施，以便了解哪些領域存在功能重疊，并通過整合平臺減少冗余。

趨勢8：組裝式業務需要組裝式安全

為應對不斷加快的業務變化步伐，企業機構必須從擺脫對單體系統的依賴，轉而向各類應用添加模塊化功能。組裝式安全是指將網絡安全控制措施整合到架構模式中，然后以模塊化方式運用至可組裝技術中。到2027年，超過50%的核心業務應用將使用組裝式架構，因此需要一種新方法來保護這些應用的安全。

趨勢9：董事會擴大網絡安全監管權限

由于網絡安全責任的歸屬日益明確，而董事會成員在治理活動中的責任也越來越大，因此董事會對網絡安全更加重視。網絡安全領導者必須向董事會提供相關的報告，證明網絡安全計劃對企業機構短期和長期目標的影響。

鄭州博觀電子科技有限公司是一家提供科技類物聯網開發軟硬件定制化方案服務商、也是中原地區領先的物聯網終端設備解決方案提供商。致力共享換電柜、智能充電樁、共享洗車機、物聯網軟硬件等服務平臺的方案開發與運維?？偛课挥诤幽鲜∴嵵菔懈咝聟^，已取得國家高新技術企業認證證書。經過10多年的業務開拓，公司已經形成了以中原地區為中心、業務遍布全國的經營格局。