2024 RSA上网络安全专家谈论的热门趋势

早午餐圆桌会议是 RSA Conference 2024 (RSAC) 期间举行的众多非正式活动之一，会上讨论的话题转向了今年活动中最流行的趋势和主题。出席会议的人们或世博会展厅上的公司所谈论的内容没有任何分歧：RSAC 2024 都是关于人工智能的（或者正如一位 CISO 所说，“这不是 RSAC；这是 RSAI”）。

对于 2023 年参加 RSAC 的任何人来说，围绕人工智能的讨论应该不会感到惊讶。我们今天所知的生成式人工智能当时只有几个月的历史。每个人都想谈论它，但没有人十分确定它会对网络安全产生什么影响。

一年后，仍然存在很多问题，但该行业已将人工智能纳入其工具和解决方案中。迄今为止，这是整个世博会教育课程以及演示和演示中最受欢迎的主题。但这并不是网络安全专业人士考虑的唯一问题。以下是 RSAC 人们谈论的一些最热门的话题。

人工智能不仅仅是生成式人工智能

会议上有 100 多个涉及人工智能的会议。许多与会者最感兴趣的是生成式人工智能的双刃剑：如何将其用作检测和预防网络攻击的工具，以及网络犯罪分子如何利用该技术发起攻击。人工智能在错误信息活动和开发深度伪造品中的作用让许多人担心威胁行为者使用社会工程的方式会发生重大转变。这种担忧只会与安全意识培训无法跟上的担忧更加复杂。

“影子人工智能”一词被多次提及，通常由 CISO 提及，他们担心影子 IT和影子云行为所面临的风险在使用未经授权的人工智能时开始重演。目前，大部分影子人工智能都与使用 ChatGPT 等工具获取研究资源并相信他们收到的信息绝对真实的员工有关。但随着员工在使用人工智能工具方面变得更加熟练，并且生成式人工智能显示出潜在的安全风险，首席信息安全官希望看到采取措施让人工智能政策和批准的工具尽快被组织采用。

然而，网络安全专家很快指出的问题之一是需要将生成式人工智能与其他类型的人工智能分开。由于人工智能在整个会议中占据压倒性的地位，这项技术给人一种新鲜感，就像是去年才推出的东西。许多小组讨论涉及机器学习和大型语言模型，以及如何利用这些技术为网络安全工具带来的预测优势。一位 CISO 表示，人工智能并不新鲜。它以某种形式已经存在了几十年。希望今年的人工智能炒作能够在 RSAC 2025 之前平息下来，并且围绕使用人工智能构建更好的预测模型或更明确地使用该工具进行更多积极的讨论。

数据治理和人工智能

数据治理似乎与人工智能一样频繁出现。有些对话是围绕人工智能在数据治理中的作用，但网络安全专业人士谈到需要了解他们的数据并制定满足不断发展的合规标准的政策。数据治理与美国证券交易委员会网络安全披露规则和其他政府法规一起被广泛提及。正如一位网络安全高管指出的那样，数据治理的斗争归结为来自公司内三个不同领域的偏见：创建数据的工程师；使用数据的最高管理层团队和控制数据及其安全性的 CISO。对于元数据的决定因素尚未达成一致，并且在存在与所有偏见观点一致的治理之前，真正的数据治理即使不是不可能，也将很难实现，这会损害整体安全工作。

缺乏零信任

2023 年，零信任无疑是 RSAC 讨论最多的话题。虽然去年每个人都想谈论生成人工智能，但它通常以零信任架构和原则为中心。今年，零信任被扔进了 RSAC 的垃圾箱。哦，它仍然在那里：八场会议的重点是零信任，并且在不少公司展示中都强调了这一点。但它已经超越了最初的热潮，一位 CISO 表示这并不令人意外。

应用零信任原则非常耗时，而且由于白宫发布网络安全行政命令已经有几年了，许多公司已经步入零信任之旅。可能是因为它不再是“it”流行术语，也可能是因为不需要更多信息，但零信任的光芒已经正式暗淡。

预算或缺乏预算

在前面提到的早午餐圆桌会议上，一位 CISO 表示，他们预计会听到很多有关安全预算的内容，或者更确切地说，听到有关安全预算缺乏的内容。安全资金是一个经常出现的话题，因为许多安全专业人士并不害怕说，他们正在处理预算削减与网络事件成本上升之间的微妙平衡。

IT 和安全部门需要更好地学习企业高管的语言，并解释网络安全如何以及为何融入企业模式和整体业务运营。但如果继续削减安全预算，裁员经验丰富的安全人员，并且无法获得应对最新威胁所需的工具（尤其是围绕人工智能安全模型），公司将遭受网络攻击，成本将更高比预算削减。

从今年的 RSAC 可以清楚地看出，在人工智能进步方面，我们仅处于冰山一角，而且围绕它的炒作似乎不会很快消失。但是，哪些安全问题、新兴技术或新的营销流行语将成为明年 RSAC 与会者的首要考虑因素？

原文始发于微信公众号（河南等级保护测评）：2024 RSA上网络安全专家谈论的热门趋势