Gartner对企业网络安全建设和发展的8个预测

日前，在Gartner年度网络安全和风险管理峰会上，Gartner高级总监分析师Richard Addiscott和高级顾问总监Lisa Neubauer，给出了对未来2-5年全球企业组织数字化风险发展和网络安全建设的主要趋势预测。Addiscott表示：企业的CISO及其团队必须在专注于当前建设工作的同时，抽出时间来关注未来，看看今后几年可能会影响组织网络安全计划的变革因素会有哪些。以下预测是Gartner数字化研究团队在目前看到的一些主要趋势，我们建议企业管理者在制定新的网络安全发展战略时，应充分考虑并适应这些趋势。

企业需要认识到，制定隐私保护计划不仅是为了法律合规，同时也可以让组织更广泛、更安全地使用数据，从而在商业情报分析中领先于竞争对手，并且赢得客户、合作伙伴以及投资者的信任。Gartner建议企业管理者要执行符合法规要求的全面隐私保护计划，突破传统增长阻碍因素，在竞争日益激烈的市场中脱颖而出。

Gartner的调查数据显示，62%的网络风险量化采用者都认为这种方法会带来收益，但只有36%的采用者实际取得了基于行动的收益结果，包括降低风险、节省资金或获得实际的决策影响力。因此，企业安全领导者应该把精力集中在企业董事会要求的风险量化指标上，而不只是生成用于说服董事会的风险分析结果。

由于新冠疫情和整个行业的人员短缺，网络安全专业人员的工作压力在持续加大，而且会让很多人觉得难以承受。Gartner表示，虽然完全消除安全管理者和分析师的工作压力不切实际，但他们迫切需要在一个能够理解和支持自己的企业文化中开展工作。改变网络安全处置规则以促进整体的网络安全意识形成，对提升安全团队的工作效率会有积极帮助。

要想让数字化转型稳定开展，就需要将网络安全建设被视为数字化业务发展的伙伴，并得到董事会的认可。这也意味着，制定网络安全计划不仅仅是为了防止各种网络安全攻击事件发生，更是为了提高企业有效承担数字化发展风险的能力。因此，Gartner建议CISO们需要走在这种变化发展的最前端，向董事会充分宣讲保障数字化系统安全的重要性，并建立一种更紧密的沟通关系，以加强对网络安全工作的信任和支持。

由于连接性增加、SaaS和云应用程序得到广泛使用，企业组织的安全攻击面持续变大，公司需要更广泛的可见性和统一策略来持续监控威胁和风险暴露情况。为了加强对威胁的检测和应对能力，企业组织需要一个统一的防护平台或生态系统，可以体系化的开展并管理对威胁的检测、调查和响应工作，让安全运营团队全面了解风险和潜在影响。

实施成熟的、全面的、有效的零信任安全计划需要集成和配置多个不同的能力组件，这可能在技术实现上会很复杂。只有能够帮助企业带来更大的商业价值，零信任计划的应用才会成功。因此，企业组织应遵循从小处入手、循序渐进的零信任建设与应用理念，这样更容易感受到零信任计划的价值和帮助，并逐步解决其中的建设复杂性。

Gartner的研究显示，超过90%的受访人员承认，在明知自己的操作会增加组织的网络安全风险情况下，还是采取过一系列不安全的应用操作。因此，以人为本的网络安全规划设计要求将人（而不是技术、威胁或位置）作为实施安全控制措施的重心，这样才能最大化减小安全运营工作的阻力。

研究人员认为，随着企业数字化转型的深入发展，组织CISO的角色和职责范围正从网络安全控制措施的所有者变成应对数字化发展风险的决策参与者和推动者。能够及时调整传统的网络安全运营模式将是应对这种变化的关键。Gartner建议，CISO不能只从技术和自动化的角度思考问题，应与各部门员工深度接触交流，以影响决策制定，并确保每个员工都能够掌握适当的信息，在保障安全的前提下开展数字化工作。

https://www.gartner.com/en/newsroom/press-releases/2023-03-28-gartner-unveils-top-8-cybersecurity-predictions-for-2023-2024