本文来自微信公众号“安全牛”。
日前，在Gartner年度网络安全和风险管理峰会上，Gartner高级总监分析师Richard Addiscott和高级顾问总监Lisa Neubauer，给出了对未来2-5年全球企业组织数字化风险发展和网络安全建设的主要趋势预测。Addiscott表示：企业的CISO及其团队必须在专注于当前建设工作的同时，抽出时间来关注未来，看看今后几年可能会影响组织网络安全计划的变革因素会有哪些。以下预测是Gartner数字化研究团队在目前看到的一些主要趋势，我们建议企业管理者在制定新的网络安全发展战略时，应充分考虑并适应这些趋势。
预测一
到2024年底，尽管个人隐私保护的法规制度已经基本完善，能够覆盖大部分消费者数据，但或许只有不到10%的企业能够将隐私保护转化为业务竞争优势。
企业需要认识到，制定隐私保护计划不仅是为了法律合规，同时也可以让组织更广泛、更安全地使用数据，从而在商业情报分析中领先于竞争对手，并且赢得客户、合作伙伴以及投资者的信任。Gartner建议企业管理者要执行符合法规要求的全面隐私保护计划，突破传统增长阻碍因素，在竞争日益激烈的市场中脱颖而出。
预测二
到2025年，超过半数的CISO在尝试使用风险量化方法来推动网络安全决策时，会以失败而告终。
Gartner的调查数据显示，62%的网络风险量化采用者都认为这种方法会带来收益，但只有36%的采用者实际取得了基于行动的收益结果，包括降低风险、节省资金或获得实际的决策影响力。因此，企业安全领导者应该把精力集中在企业董事会要求的风险量化指标上，而不只是生成用于说服董事会的风险分析结果。
预测三
到2025年，超过半数的网络安全领导者可能会更换工作，主要原因是因为工作压力大，难以完成既定的工作目标。
由于新冠疫情和整个行业的人员短缺，网络安全专业人员的工作压力在持续加大，而且会让很多人觉得难以承受。Gartner表示，虽然完全消除安全管理者和分析师的工作压力不切实际，但他们迫切需要在一个能够理解和支持自己的企业文化中开展工作。改变网络安全处置规则以促进整体的网络安全意识形成，对提升安全团队的工作效率会有积极帮助。
预测四
尽管CISO的工作压力巨大，但企业对网络安全的重视度却会持续提升。到2026年，70%以上企业的董事会中都会包括一名具有网络安全专业知识的高级管理者。
要想让数字化转型稳定开展，就需要将网络安全建设被视为数字化业务发展的伙伴，并得到董事会的认可。这也意味着，制定网络安全计划不仅仅是为了防止各种网络安全攻击事件发生，更是为了提高企业有效承担数字化发展风险的能力。因此，Gartner建议CISO们需要走在这种变化发展的最前端，向董事会充分宣讲保障数字化系统安全的重要性，并建立一种更紧密的沟通关系，以加强对网络安全工作的信任和支持。
预测五
到2026年，企业组织60%以上的安全威胁检测、调查与响应能力将通过风险暴露面管理来实现和验证，并确定对威胁管理的优先级，而目前这个比例不到5%。
由于连接性增加、SaaS和云应用程序得到广泛使用，企业组织的安全攻击面持续变大，公司需要更广泛的可见性和统一策略来持续监控威胁和风险暴露情况。为了加强对威胁的检测和应对能力，企业组织需要一个统一的防护平台或生态系统，可以体系化的开展并管理对威胁的检测、调查和响应工作，让安全运营团队全面了解风险和潜在影响。
预测六
到2026年，将有超过10%的大型企业组织能够实际落地全面、成熟、可量化的零信任安全计划，目前这个比例还不到1%。
实施成熟的、全面的、有效的零信任安全计划需要集成和配置多个不同的能力组件，这可能在技术实现上会很复杂。只有能够帮助企业带来更大的商业价值，零信任计划的应用才会成功。因此，企业组织应遵循从小处入手、循序渐进的零信任建设与应用理念，这样更容易感受到零信任计划的价值和帮助，并逐步解决其中的建设复杂性。
预测七
到2027年，以人为本将会成为企业组织网络安全计划的基础性原则，安全管理者要尽量减小安全运营工作的阻力，并致力于提高安全管控措施的实际利用率率。
Gartner的研究显示，超过90%的受访人员承认，在明知自己的操作会增加组织的网络安全风险情况下，还是采取过一系列不安全的应用操作。因此，以人为本的网络安全规划设计要求将人（而不是技术、威胁或位置）作为实施安全控制措施的重心，这样才能最大化减小安全运营工作的阻力。
预测八
到2027年，有75%以上的企业员工将可以在不依赖IT部门的情况下添加、修改或应用数字化技术，而在2022年这个比例仅为41%。
研究人员认为，随着企业数字化转型的深入发展，组织CISO的角色和职责范围正从网络安全控制措施的所有者变成应对数字化发展风险的决策参与者和推动者。能够及时调整传统的网络安全运营模式将是应对这种变化的关键。Gartner建议，CISO不能只从技术和自动化的角度思考问题，应与各部门员工深度接触交流，以影响决策制定，并确保每个员工都能够掌握适当的信息，在保障安全的前提下开展数字化工作。
