Gartner：2019年七大安全和风险趋势

首席信息安全官们应该了解最新的网络安全发展趋势，以及这些趋势可能会对创建一个有弹性且有准备的组织造成的影响。

在一次商业战略会议上，一家国家交通运输系统的首席信息安全官播放了一张幻灯片，内容是该机构的拟定风险偏好（指个体承担风险的基本态度，是个人感知决策情景及制定风险决策的重要前导因素）声明：PHP大马

“公司没有可能导致公众、乘客或工作人员受伤或丧失生命的安全风险敞口。所有安全目标都得到了落实并逐年改善。我们愿意接受可能导致财务损失的风险。公司在运营性能网络的可靠性和能力以及资产状况方面只能容忍低至中度的总体风险敞口。”

首席信息安全官一直致力于阐明基于风险作出决策的重要性，而且他们发现创建风险偏好声明是让企业组织保持IT风险管理与业务目标一致性的最有效工具。通过创建简单、实用和务实的风险偏好说明，就可以帮助首席信息安全官消除网络安全团队与不同业务部门之间的文化脱节现象。Gartner预计，这将是2019年影响首席信息安全官的七大网络安全和风险管理趋势之一。

Gartner分析师副总裁Peter Firstbrook在2019年Gartner安全与风险管理峰会（Gartner Security and Risk Management Summit 2019 inNational Harbor，MD）上表示：

“这些最重要的趋势突显了安全生态系统中正在发生的战略性转变，虽然目前这些转变尚未得到广泛的认可，但预计不久的未来将会产生广泛的行业影响力和巨大的颠覆潜力。如果能够对这些发展趋势做出及时地反应，将会为安全和风险管理领导者（SRM）提供一次有利的发展机会，来提高其抵御能力，更好地支持业务目标并提升自身在企业组织中的地位。”

2019年七大安全和风险趋势

趋势1：领先的安全和风险管理（SRM）领导者正在创建与业务成果相关的务实风险偏好声明，以更有效地吸引利益相关者。

根据Gartner针对其客户的调查结果显示，安全和风险管理领导者所面临的最严峻挑战之一是无法与业务领导者进行有效地沟通。尽管首席信息安全官已经更多地参与到了战略会议中，但业务领导者往往无法判断某项技术或某个项目是否具有过高的风险，或者企业组织是否会因为过度规避风险而错失机会。

风险偏好声明将业务目标和风险处理计划联系起来，以便在承担风险时向利益相关者和合作伙伴传达企业组织的意图。就风险偏好声明来说，必须要明确、一致和具有相关性，并且确保为企业组织选择正确的实现方式。

趋势2：重新关注安全运营中心（SOC）的实施或成熟度，重点聚焦在威胁检测和响应上。

鉴于网络安全攻击的复杂性和影响度正在日益增加，以及网络安全工具产生警报的复杂性也在不断提高，企业组织正期待能够建立或复兴安全运营中心（SOC）或者将这一功能外包出去。到2022年，50%的安全运营中心将转变为具有集成事件响应、威胁情报和威胁捕获能力的现代安全运营中心，这一比例在2015年还不到10%。

企业组织正在投资更敏感的工具，并专注于维持响应和检测与预防之间的平衡。由于更复杂的警报和工具的数量增加已经导致对于运营集中化和优化的需求也在增加，这就意味着安全运营中心现在是一项业务资产。

趋势3：领先的企业组织正在利用数据安全治理框架来确定数据安全投资的优先等级。

数据安全不仅仅是一项技术问题。有效的数据安全可能需要通过数据安全治理框架来提供“以数据为中心”的蓝图，以识别和分类所有企业计算资产中的结构化和非结构化数据集，同时制定数据安全策略。一旦安全和风险管理领导者确认了业务战略和风险承受能力，该框架就可以作为技术投资优先级别指南。

趋势4：受需求和生物识别技术的可用性以及强大的基于硬件认证技术的推动，“无密码”身份认证正在实现自身的市场牵引力。

消除密码一直是一个长期目标，但直到现在才开始实现真正的市场牵引力。密码对于攻击者有致命的吸引力，且是导致数据泄露的关键原因之一，非常容易受到各种攻击，例如社会工程学、网络钓鱼、撞库以及恶意软件等等。

新兴的无密码标准以及兼容无密码身份验证的设备数量日益增加，正在推动无密码认证的加速普及。生物识别技术因具有强大的身份识别能力而成为一项越来越受欢迎的“无密码”技术。其他技术包括硬件令牌（hardware tokens）、电话令牌（phone as a token）、在线快速身份验证（fast IDentity Online）和基于被动行为的分析（analytics based on passive behaviors）。

趋势5：网络安全产品供应商越来越多地提供优质服务，以帮助客户获得更直接的价值并协助客户进行技能培训。

预计到2020年底，全球空缺的网络安全职位将从2018年的100万个增长到150万个。企业组织正在想方设法地填补这种人才缺口，但它们可能会发现，只是单纯地留住现有的员工已经十分困难。与此同时，网络安全软件正在日益扩散和复杂化。一些技术，尤其是那些运用了人工智能（AI）的技术，需要人类安全专家进行持续地监控或调查。

可能在不久之后，就没有足够的技术人员来使用这些产品。因此，供应商们开始越来越多地提供优质服务，将产品与实施、配置和持续运营服务相结合。这就意味着供应商可以帮助客户从工具中获得更直接的价值，同时企业组织也可以借此提升网络管理员的技能水平。

趋势6：由于云已成为主流计算平台，领先的企业组织正在投资并完善其云安全能力。奇热影视​​​​​​​

随着企业组织越来越多地使用基于云的平台，网络安全团队将在云安全性方面看到更多复杂性和多样性。为了应对这种快速变化的环境，领先的企业组织正在建立云卓越技术中心团队，并加大对人员、流程和工具的投资。云访问安全代理（CASB）、云安全状态管理（CSPM）和云工作负载保护平台（CWPP）等工具能够提供多重云安全功能来帮助企业组织应对风险，但组织仍需对人员和流程进行投资，例如采用安全开发运维（SecDevOps）的工作方式等。

趋势7：持续自适应风险与信任评估（CARTA）的战略安全方法开始出现在更传统的网络安全市场中。

持续自适应风险与信任评估（Continuous adaptive risk and trust assessment，简称CARTA）是一种安全策略方法，它承认没有完美的保护方法，因此需要随时随地调整安全策略。传统的局域网（LAN）网络安全和电子邮件安全是两个正在开始采用持续自适应风险与信任评估思维模式的市场，其主要侧重于周界内检测以及检测与响应能力。