本文来自微信公众号“安全牛”。
3月18日，2024年度Gartner网络安全风险管理峰会在澳大利亚悉尼开幕。在本次会议中，Gartner提出了对未来2-5年全球企业组织数字化风险发展和网络安全建设的8个趋势预测。其中，生成式人工智能（GenAI）的采用成为了最受业界关注的预测方向之一，被认为将显著缩小企业组织的网络安全技能差距，并减少由欺诈驱动的网络安全攻击事件。
Gartner首席分析师Deepti Gopal表示：“随着深入挖掘GenAI带来的应用价值，我们认为其有望解决一些长期困扰网络安全行业发展的难题，比如专业人才短缺和不安全的内部人员行为等。Gartner今年所提出的8点预测，并不侧重在网络安全技术层面，而是重点关注了行业发展中人的因素。我们建议首席信息安全官（CISO）在制定高效且可持续的网络安全计划时，能够充分考虑并适应这些趋势，并把它们列为最优先的工作事项。”
预测1、到2028年，GenAI技术的采用将显著缩小企业组织的网络安全技能缺口，50%的入门级网络安全岗位不再需要专业安全人员。
正如我们所看到的广泛宣传一样，GenAI技术将改变企业雇用和培养网络安全人员的方式。主流的AI技术平台已经提供了会话增强功能，并且会不断优化完善。因此，Gartner建议网络安全团队应致力于支持用户工作的内部GenAI用例，并且与人力资源合作伙伴保持沟通，将人才招聘的重点转向那些更重要的高级网络安全岗位。
预测2、到2026年，通过将GenAI与组织的安全行为与文化计划（SBCP）相互集成，企业将减少40%由内部员工引发的网络安全事件。
企业越来越关注安全意识培训时的个性化参与，并将其视为有效SBCP的重要组成部分。GenAI有望生成高度个性化的内容和培训材料，充分考虑到每一个员工的独特属性。在Gartner研究人员看来，这将显著增加员工在日常工作中采取更安全行为的主动性，从而减少内部威胁风险和安全事件。
Gopal表示，还没有采用GenAI功能的企业应该立刻评估当前的安全意识培养模式和服务合作伙伴，以判断如何利用GenAI作为下一步解决方案路线图的关键部分。
预测3、到2026年，75%的企业组织将把本地化系统、遗留系统和非托管系统排除在零信任策略之外。
按照零信任策略，用户和端点应该只被赋予其完成工作所需要的最低访问权，并根据不断变化的威胁态势进行持续监控。在生产环境或关键任务环境中，这种“零信任”的概念并不普遍适用于非托管设备、遗留应用程序和线上线下系统（CPS），这些系统更适合在注重安全性和可靠性的特定网络环境中执行特定任务。
预测4、到2028年，全球企业组织用于打击虚假信息的支出将超过5000亿美元，这将占用企业50%以上的网络安全预算。
随着大模型技术的应用，那些不法分子也会广泛结合人工智能、数据分析、行为科学、社交媒体、物联网及其他技术，以快速生成和传播大规模定制的虚假或错误信息。在此背景下，Gartner建议CISO应立即启动治理、设计和执行面向整个企业的反虚假信息计划，明确相关的管理要求和责任，并购置使用基于混沌工程测试弹性的先进工具和技术来帮助解决这个问题。
预测5、到2026年，40%的身份和访问管理（IAM）领导者，将进一步增强其在身份安全威胁检测和响应方面的管理责任。
企业的IAM领导者经常竭力阐明身份安全的重要性以及对业务发展的价值，以争取相应投资，但他们却并不能实际参与到资源采购和预算决策的讨论中。随着企业IAM领导者越来越重要，他们将往不同的方向发展，在组织中也将会有更大的责任、知名度和影响力。Gartner建议CISO应通过有机整合身份安全管理计划和网络安全防护计划，让所有利益相关者深入了解IAM的应用价值和作用，从而打破传统的IT安全孤岛。
预测6、到2027年，70%的企业将把数据防泄漏、内部风险管理、IAM管理机制有效整合起来，以便更有效地识别网络中的可疑行为。
随着数字化应用的不断深入，企业对实现全面网络风险控制的需求越来越大，这将促使网络安全服务商开发出更加系统化的风险控制和数据防泄漏综合解决方案。这也将为组织的网络安全团队提供一系列更完整的安全防护能力，以创建同时适用于数据安全、身份安全、内部风险防护的统一安全策略。Gartner建议企业应重点关注如何识别业务发展中的数据风险和身份风险，并将它们作为未来网络安全策略制定的主要指导。
预测7、到2027年，30%的网络安全管理团队将能够实现安全能力左移，他们会重新设计可供非网络安全人员直接使用，并由应用程序本身自带的应用安全防护机制。
企业的技术人员和分布式交付团队会创建数量、种类和环境各异的应用程序，这意味着应用系统潜在的风险远远超出了专门应用程序安全团队的能力范围。Gopal表示，为了弥补这个缺口，网络安全职能部门必须确保应用开发和技术支持团队拥有最基本的安全专业知识，将技术和培训相结合，以打造根据网络风险自动做出合理决策所需的强大能力。
预测8、到2027年，三分之二的全球100强企业组织将为其网络安全领导者提供董事和高管（D&O）险，以应对法律监管风险。
新的网络安全法律法规要求组织的网络安全领导者也要承担个人责任，比如美国证券交易委员会的网络安全披露和报告规则。CISO的角色和职责需要根据相关的报告和披露予以更新。Gartner建议企业应为该职位投保D&O险以及其他保险和补偿，以减轻个人的法律责任、职场风险和处罚费用。
