Gartner表示，安全和風險管理（SRM）領(lǐng)導(dǎo)者在制定和實施網(wǎng)絡(luò)安全計劃時，必須根據(jù)九大行業(yè)趨勢，重新平衡企業(yè)機構(gòu)在技術(shù)方面和以人為本方面的投入。
Gartner高級研究總監(jiān)Richard Addiscott表示：“以人為本的網(wǎng)絡(luò)安全原則是減少安全故障的關(guān)鍵。在設(shè)計和實施控制措施的過程中堅持人為中心，積極地與業(yè)務(wù)部門溝通并實施網(wǎng)絡(luò)安全人才管理，有助于改進業(yè)務(wù)風險決策，提高網(wǎng)絡(luò)安全人才的留存率。”
為應(yīng)對網(wǎng)絡(luò)安全風險并維持有效的網(wǎng)絡(luò)安全計劃，SRM領(lǐng)導(dǎo)者必須重視以下三個關(guān)鍵領(lǐng)域：（1）發(fā)揮人才對于安全計劃的成功和持續(xù)推進的重要作用；（2）發(fā)展可提高整個企業(yè)機構(gòu)數(shù)字生態(tài)系統(tǒng)可見性與響應(yīng)性的安全技術(shù)能力；（3）重構(gòu)安全職能的運作方式，在不影響安全性的情況下實現(xiàn)敏捷性。
以下九個趨勢將在這三個領(lǐng)域?qū)RM領(lǐng)導(dǎo)者產(chǎn)生廣泛影響：
趨勢1：以人為本的安全設(shè)計
采用以人為本的設(shè)計原則，將員工體驗在整個控制措施管理生命周期中的作用放在第一位。到2027年，50%的大型企業(yè)首席信息安全官（CISO）將采用以人為本的安全設(shè)計原則，以盡量減少網(wǎng)絡(luò)安全運營摩擦，并盡可能推動控制措施的采用。
Addiscott表示：“傳統(tǒng)的安全意識培養(yǎng)計劃未能減少不安全的員工行為。首席信息安全官必須重新審視過去的網(wǎng)絡(luò)安全事件，確定網(wǎng)絡(luò)安全運營摩擦的主要來源，判斷在實施控制措施的同時如何通過更多人文關(guān)懷來減輕員工的負擔，或取消那些增加摩擦卻無法有效降低風險的控制措施。”
趨勢2：改進人才管理，保障安全計劃的可持續(xù)性
以前，網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者始終重視改進安全計劃背后的技術(shù)和流程，很少關(guān)注具體的實施者。為吸引和留住人才，不少首席信息安全官采用以人為本的人才管理方法，推動安全職能和技術(shù)的日益成熟。Gartner預(yù)測，到2026年，為了解決系統(tǒng)性的網(wǎng)絡(luò)安全和招聘難題，60%的企業(yè)機構(gòu)將從對外招聘轉(zhuǎn)向 “悄悄招聘”，在企業(yè)機構(gòu)內(nèi)部物色所需的人才。
趨勢3：轉(zhuǎn)變網(wǎng)絡(luò)安全運營模式，推動價值創(chuàng)造
技術(shù)正在從中央IT部門轉(zhuǎn)移到各業(yè)務(wù)線、職能部門、融合團隊和員工個人。Gartner的一項調(diào)研發(fā)現(xiàn)，41%的員工在從事某種技術(shù)工作，并且該趨勢預(yù)計將在未來五年繼續(xù)加深。
Addiscott表示：“如今企業(yè)領(lǐng)導(dǎo)者普遍認為，網(wǎng)絡(luò)安全風險已成為需認真對待的首要業(yè)務(wù)風險，而不再僅僅是有待解決的技術(shù)問題。支持和加速業(yè)務(wù)成果，既是網(wǎng)絡(luò)安全工作的核心目標，也是一項重大的挑戰(zhàn)。”
首席信息安全官必須調(diào)整網(wǎng)絡(luò)安全的運營模式，通過綜合方法達成工作目標。員工必須了解如何平衡網(wǎng)絡(luò)安全、財務(wù)、聲譽、競爭、法律等諸多方面的風險。還必須將網(wǎng)絡(luò)安全與業(yè)務(wù)價值掛鉤，從業(yè)務(wù)成果和重點目標的角度來衡量和報告項目效果。
趨勢4：威脅暴露面管理
現(xiàn)代企業(yè)面臨的攻擊面十分復(fù)雜，導(dǎo)致安全防護人員身心疲憊。首席信息安全官必須改善評估方法，實施連續(xù)威脅暴露面管理（CTEM）計劃來了解威脅暴露情況。Gartner預(yù)測，到2026年，根據(jù)CTEM計劃確定安全投資優(yōu)先級的企業(yè)機構(gòu)將有能力使安全泄露事件減少三分之二。
Addiscott表示：“首席信息安全官必須不斷完善威脅評估方法，才能與企業(yè)機構(gòu)不斷發(fā)展的工作方法相匹配。CTEM方法不應(yīng)僅僅用于評估技術(shù)漏洞。”
趨勢5：身份編織免疫
身份基礎(chǔ)設(shè)施的脆弱性來自于身份編織中的不完整、配置錯誤或脆弱的要素。到2027年，企業(yè)機構(gòu)將依靠身份編織免疫原則阻止85%的新攻擊，進而將安全泄露所造成的財務(wù)影響減少80%。
Addiscott表示：“身份編織免疫不僅能利用身份威脅檢測和響應(yīng)（ITDR）來保護現(xiàn)有和新增的身份與訪問管理（IAM）組件，而且還通過完善和正確配置來對身份編織進行加固。”
趨勢6：網(wǎng)絡(luò)安全驗證
網(wǎng)絡(luò)安全驗證匯集了多項技術(shù)、流程和工具，旨在對潛在攻擊者利用已知威脅暴露面的方式進行驗證。支持網(wǎng)絡(luò)安全驗證的工具已取得重大進步，已實現(xiàn)可重復(fù)以及可預(yù)測評估環(huán)節(jié)的自動化，支持對于攻擊技術(shù)、安全控制和流程的常規(guī)基準化分析。到2026年，超過40%的企業(yè)機構(gòu)（其中三分之二為中型企業(yè)）將依靠整合平臺來執(zhí)行網(wǎng)絡(luò)安全驗證評估。
趨勢7：網(wǎng)絡(luò)安全平臺整合
由于企業(yè)機構(gòu)希望簡化運營，各廠商正在圍繞一個或多個主要的網(wǎng)絡(luò)安全領(lǐng)域進行平臺整合。例如，通過一個集治理、特許訪問和訪問管理功能于一身的共同平臺提供身份安全服務(wù)。SRM領(lǐng)導(dǎo)者需要持續(xù)盤點安全控制措施，以便了解哪些領(lǐng)域存在功能重疊，并通過整合平臺減少冗余。
趨勢8：組裝式業(yè)務(wù)需要組裝式安全
為應(yīng)對不斷加快的業(yè)務(wù)變化步伐，企業(yè)機構(gòu)必須從擺脫對單體系統(tǒng)的依賴，轉(zhuǎn)而向各類應(yīng)用添加模塊化功能。組裝式安全是指將網(wǎng)絡(luò)安全控制措施整合到架構(gòu)模式中，然后以模塊化方式運用至可組裝技術(shù)中。到2027年，超過50%的核心業(yè)務(wù)應(yīng)用將使用組裝式架構(gòu)，因此需要一種新方法來保護這些應(yīng)用的安全。
Addiscott表示：“組裝式安全專為保護組裝式業(yè)務(wù)而設(shè)計。使用組裝式組件創(chuàng)建應(yīng)用，會引入以往尚未發(fā)現(xiàn)的依賴關(guān)系。這給首席信息安全官帶來重要機遇，可創(chuàng)建基于組件、可重復(fù)使用的安全控制對象，在設(shè)計時提前嵌入隱私和安全措施。”
趨勢9：董事會擴大網(wǎng)絡(luò)安全監(jiān)管權(quán)限
由于網(wǎng)絡(luò)安全責任的歸屬日益明確，而董事會成員在治理活動中的責任也越來越大，因此董事會對網(wǎng)絡(luò)安全更加重視。網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者必須向董事會提供相關(guān)的報告，證明網(wǎng)絡(luò)安全計劃對企業(yè)機構(gòu)短期和長期目標的影響。
Addiscott表示：“SRM領(lǐng)導(dǎo)者必須鼓勵董事會積極參與和介入網(wǎng)絡(luò)安全決策，同時以戰(zhàn)略顧問的身份向董事會提供行動建議，包括安全預(yù)算和資源的分配等。” 
