4月12日，Gartner發(fā)布了2023年9大主要網(wǎng)絡(luò)安全趨勢，重新關(guān)注人為因素。Gartner提出提出安全和風(fēng)險管理（SRM）領(lǐng)導(dǎo)者在設(shè)計和實施網(wǎng)絡(luò)安全計劃時，必須重新考慮他們在技術(shù)、架構(gòu)和以人為本要素之間的投資平衡。
Gartner 高級總監(jiān)兼分析師Richard Addiscott表示：“以人為本的網(wǎng)絡(luò)安全方法對于減少安全事故至關(guān)重要。關(guān)注安全控制手段設(shè)計和實施人員，以及通過業(yè)務(wù)通信和網(wǎng)絡(luò)安全人才管理，將有助于改善業(yè)務(wù)風(fēng)險決策和網(wǎng)絡(luò)安全員工的穩(wěn)定。”
為解決網(wǎng)絡(luò)安全風(fēng)險并維持有效的網(wǎng)絡(luò)安全計劃，SRM 領(lǐng)導(dǎo)者必須關(guān)注三個關(guān)鍵領(lǐng)域：
（1）人員對于安全計劃的成功和可持續(xù)性的重要作用；
（2）技術(shù)安全能力，在整個組織的數(shù)字生態(tài)系統(tǒng)中提供更大的可見性和響應(yīng)能力；
（3）重組安全功能的運作方式，以在不損害安全性的情況下實現(xiàn)敏捷性。
核心建議
Gartner在報告首頁為SRM領(lǐng)導(dǎo)者提出三點建議：
1）采用攻擊者的思維方式，通過對攻擊面采取端到端的排查來確定網(wǎng)絡(luò)風(fēng)險緩解工作的優(yōu)先級，并在適當(dāng)情況下調(diào)整供應(yīng)商產(chǎn)品組合。
2）通過采用新的安全運營模型和架構(gòu)方法，優(yōu)化網(wǎng)絡(luò)安全能力與新的分布式工作方式的一致性，以提高敏捷性并在設(shè)計時嵌入安全。
3）優(yōu)先考慮并優(yōu)化對員工行為改進(jìn)的投資，以增強(qiáng)和維持企業(yè)安全的有效性。
Gartner將9大安全趨勢分為響應(yīng)性生態(tài)系統(tǒng)、重組途徑以及再平衡措施三類，通過這些趨勢的組合形成可持續(xù)的平衡性的網(wǎng)絡(luò)安全計劃。
重點解讀
1.安全驗證首次作為安全趨勢出現(xiàn)
“到2026年，超過40%的組織（包括三分之二的中型企業(yè)）將依靠整合平臺來運行安全驗證評估。”
對比近幾年Gartner網(wǎng)絡(luò)安全趨勢，安全驗證在2023年的報告中首次出現(xiàn)。
2021年Gartner在安全趨勢中提出入侵和攻擊模擬（BAS），在本次報告中，Gartner將BAS作為一項驗證工具囊括在安全驗證這一整體趨勢下。這與國內(nèi)新興安全驗證廠商塞訊驗證的理念不謀而合，塞訊驗證自2021年就在國內(nèi)率先提出安全驗證理念，前瞻性地將BAS技術(shù)進(jìn)行擴(kuò)展，向安全驗證演進(jìn)。
Gartner定義安全驗證：
安全驗證是技術(shù)、流程和工具的融合，用于驗證潛在攻擊者如何利用已識別的威脅暴露，以及安全防御體系和流程的實際應(yīng)對情況。藍(lán)隊和紅隊工具正朝著高度定制和靈活入侵的方向融合，以更有效地測試企業(yè)的防御能力，包括安全控制手段和監(jiān)控工具的有效性和配置。由此產(chǎn)生的驗證結(jié)果能夠讓跨團(tuán)隊決策更輕松，也幫助組織決策者分配相關(guān)資源。
安全驗證為什么成為最新趨勢？
即使是領(lǐng)導(dǎo)一個有明確安全計劃的安全團(tuán)隊，也必須優(yōu)先處理一長串問題。成熟的組織仍然無法找到一個有效的跨團(tuán)隊協(xié)作方法來補(bǔ)救突出問題。安全驗證則可以評估攻擊者成功的可能性，評估潛在的影響，并確定目標(biāo)響應(yīng)流程是否按照預(yù)期運行。
安全驗證工具正在迅速發(fā)展，實現(xiàn)評估的高度可重復(fù)和可預(yù)測方面的自動化，從而實現(xiàn)攻擊技術(shù)、安全控制手段和流程的一致性，確立常規(guī)標(biāo)準(zhǔn)。
2.持續(xù)威脅暴露管理（CTEM）代替?zhèn)鹘y(tǒng)網(wǎng)絡(luò)安全評估
“到2026年，基于CTEM計劃優(yōu)先進(jìn)行安全投資的組織將減少三分之二的違規(guī)行為。”
現(xiàn)代企業(yè)的攻擊面復(fù)雜而分散，傳統(tǒng)的網(wǎng)絡(luò)安全評估往往聚焦于發(fā)現(xiàn)和修復(fù)漏洞，對人為錯誤、供應(yīng)鏈依賴性（SaaS平臺和第三方應(yīng)用程序）以及安全措施的錯誤配置這類風(fēng)險暴露卻束手無策。
CTEM作為一項務(wù)實有效的系統(tǒng)方法，可以不斷完善網(wǎng)絡(luò)安全優(yōu)化優(yōu)先級。CTEM將傳統(tǒng)的網(wǎng)絡(luò)安全評估擴(kuò)展到以下幾方面：
1）使CTEM迭代的范圍與特定的業(yè)務(wù)風(fēng)險和優(yōu)先級保持一致。
2）解決所有漏洞，無論是否存在補(bǔ)丁。這包括傳統(tǒng)的、可修補(bǔ)的漏洞，但也包括與這些業(yè)務(wù)風(fēng)險和優(yōu)先級相關(guān)的更現(xiàn)代的、不可修補(bǔ)的威脅暴露。
3）通過攻擊者的視角進(jìn)行權(quán)衡來驗證企業(yè)暴露和補(bǔ)救優(yōu)先級。
4）將預(yù)期結(jié)果從戰(zhàn)術(shù)和技術(shù)響應(yīng)轉(zhuǎn)變?yōu)榛谧C據(jù)的安全優(yōu)化，并得到改進(jìn)的跨團(tuán)隊支持。
Gartner將CTEM與安全驗證都劃分在響應(yīng)性生態(tài)系統(tǒng)這一類別中，即認(rèn)為趨勢之間有著一定的共性，共同作用于對威脅的敏捷響應(yīng)。因此可以看到，CTEM也包含了通過攻擊者視角來驗證企業(yè)威脅暴露和補(bǔ)救的優(yōu)先級這一舉措，與安全驗證的理念如出一轍。
3.新的趨勢對CISO提出了新的要求
“CISO必須審查過去的網(wǎng)絡(luò)安全事件、安全控制手段的違規(guī)配置和例外的請求，以確定網(wǎng)絡(luò)安全引發(fā)的摩擦的主要源頭，并確定在哪里可以通過更以人為中心的防御手段的重新設(shè)計來減輕員工的負(fù)擔(dān)，或者取消那些增加摩擦并對顯著降低風(fēng)險的安全控制措施。”
“CISO必須修改其網(wǎng)絡(luò)安全的運營模式，以整合工作的完成方式。”
“為了滿足領(lǐng)導(dǎo)層的期望，網(wǎng)絡(luò)安全運營模式必須轉(zhuǎn)型以支持和加速業(yè)務(wù)成果，并且不給業(yè)務(wù)和IT帶來不必要的網(wǎng)絡(luò)安全風(fēng)險或摩擦”。
SRM領(lǐng)導(dǎo)者必須鼓勵董事會積極參與網(wǎng)絡(luò)安全決策，擔(dān)任戰(zhàn)略顧問，為董事會采取的行動提供建議，包括安全預(yù)算和資源的分配。
Gartner的報告中多次用到了“CISO必須……”之類強(qiáng)調(diào)性的語句，無論是出于“以人為中心的安全設(shè)計”，還是從“轉(zhuǎn)變網(wǎng)絡(luò)安全運營模式以支持價值創(chuàng)造”這一趨勢出發(fā)，亦或是出于董事會對網(wǎng)絡(luò)安全的日益關(guān)注，必須承認(rèn)，組織期望CISO在組織的價值創(chuàng)造中承擔(dān)更艱巨的任務(wù)，甚至已經(jīng)為CISO設(shè)定了一個成功的標(biāo)準(zhǔn)。
這些“必須”既是組織對CISO的期望，也是塞訊驗證的使命所在。塞訊安全度量驗證平臺為CISO提供決策所需的數(shù)據(jù)支撐，提供管理層視角的可視量化數(shù)據(jù)，幫助CISO定位安全防御措施的不足之處，優(yōu)化預(yù)算和資源配置。
Gartner年度安全趨勢作為行業(yè)風(fēng)向標(biāo)，對安全行業(yè)有著重要的指引意義。報告中所提出的多項趨勢，以及Gartner所強(qiáng)調(diào)的“攻擊者視角”、“安全計劃的可持續(xù)性和平衡性”“技術(shù)安全能力提供的可見性和響應(yīng)能力”等關(guān)鍵詞，都與塞訊驗證的理念高度一致。塞訊驗證憑借其前瞻性的視角和業(yè)內(nèi)突出的技術(shù)水平，已經(jīng)為各行業(yè)多家頭部企業(yè)提供了安全驗證解決方案，幫助企業(yè)安全建設(shè)提質(zhì)增效。
（掃碼閱讀完整版報告）
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
