本文来自微信公众号“GoUpSec”。
随着人工智能技术的野蛮生长，网络安全行业正面临史上最为剧烈的一次大变革，“人的因素”超越技术，成为未来CISO安全战略的核心议题，而虚假信息则超过恶意软件，成为网络安全的新战场。
Gartner近期发布的网络安全预测报告指出，随着生成式人工智能(Generative AI，以下简称GenAI)的应用，网络安全技能缺口有望消失，员工引发的网络安全事件也将大幅减少，与此同时“人的因素”将成为网络安全的核心议题。
“随着GenAI技术的不断发展，其在网络安全领域的应用前景广阔，有望帮助解决长期困扰该行业的诸多难题，尤其是人才短缺和员工安全意识不足等问题，”Gartner研究总监Deepti Gopal表示，“今年的网络安全预测报告将重点放在人为因素上，而非单纯的技术层面。任何希望建立有效、可持续网络安全项目的信息安全主管都应将此视为重中之重。”
除了“人的因素”外，GenAI还将对企业网络安全资源预算、应用安全和数据安全实践产生重大影响。Gartner预测，到2025年，保护GenAI安全所需的网络安全资源将激增，导致应用程序和数据安全方面的支出增加超过15%。“CISO必须更新应用程序和数据安全实践，以集成新的攻击面，例如提示或编排层来检测人工智能模型。”
Gartner报告指出，CISO未来两年安全战略中需重点关注八大新要素：
一、网络安全招聘门槛大幅降低，选材标准转向“重能力轻专业”
到2028年，GenAI的普及将快速填补网络安全技能缺口，50%的入门级网络安全职位不再需要特定的专业教育背景。
GenAI将彻底改变组织招聘和培养网络安全人才的方式，不再仅仅局限于教育背景，而是更加注重候选人的能力和悟性。主流安全大模型平台已经提供了对话式增强功能，未来还将进一步发展。Gartner建议网络安全团队应关注内部用户支持用例，并与人力资源部门合作，为关键网络安全岗位发掘合适人才。
二、GenAI彻底改变安全意识和文化
到2026年，将GenAI与基于平台架构的集成安全行为和文化项目(SBCP)相结合的企业，员工引发的网络安全事件将减少40%。
个性化参与日益成为高效SBCP项目的重要组成部分。GenAI能够生成根据员工个人特质量身定制的内容和培训材料。根据Gartner的研究，这将提高员工在日常工作中采取安全行为的可能性，从而减少网络安全事件的发生。
“尚未采用GenAI技术的组织应评估其当前的外包安全意识培训合作伙伴，了解其解决方案路线图中如何利用GenAI，”Gopal说道。
三、零信任清除盲区
到2026年，75%的组织将把非托管、遗留和网络物理系统排除在零信任策略之外。
零信任策略的核心是，用户和终端仅获得完成其工作所需的最少访问权限，并会根据不断演变的威胁形势对其持续监控。然而，在生产或任务关键型环境中，零信任的理念并不完全适用于非托管设备、遗留应用程序和专为在特定安全性和可靠性环境下执行任务而设计的网络物理系统(CPS)。
四、缓解CISO职业风险
到2027年，由于面临个人法律风险，全球100强企业中的三分之二将为首席信息安全官(CISO)提供董事及高级职员(D&O)保险。
美国证券交易委员会(SEC)的网络安全披露和报告规定等新法律法规使网络安全领导者面临个人责任。CISO的角色和职责需要根据相关的报告和披露要求进行更新。Gartner建议组织探索为CISO提供D&O保险以及其他保险和补偿计划，以减轻其个人责任、职业风险和法律支出。
五、虚假信息是网络安全新战场
到2028年，企业对抗虚假信息方面的支出将超过5000亿美元，这将占到营销和网络安全预算的一半左右。
人工智能、分析、行为科学、社交媒体、物联网和其他技术的结合使恶意分子能够创建和传播高效、大规模定制的虚假信息。Gartner建议首席信息安全官明确治理、设计和执行全企业反虚假信息计划的职责，并投资相关工具和技术，利用混沌工程测试组织的应对能力。
六、IAM能力越大责任越大
到2026年，40%的身份和访问管理(IAM)负责人将承担检测和响应IAM相关漏洞的主要责任。
IAM负责人往往不善于阐明网络安全的商业价值，难以推动准确的投资，也常常无法参与安全资源和预算讨论。随着IAM负责人重要性的不断提升，他们的职责将发生分化，并肩负起更多的责任、拥有更高的知名度和更大的影响力。Gartner建议CISO打破传统IT和安全孤岛，通过协调IAM计划和安全计划，让利益相关者了解IAM所扮演的角色。
七、DLP与IAM整合控制
到2027年，70%的组织将把数据丢失防护和内部风险管理规则与IAM环境相结合，以更有效地识别可疑行为。
对整合控制的兴趣日益浓厚，促使供应商开发代表以用户行为为中心的控制和数据丢失预防之间重叠的功能。这为安全团队引入了一套更全面的功能，可以创建用于数据安全和内部风险缓解双重用途的单一策略。Gartner建议组织识别数据风险和身份风险，并将它们结合使用作为战略数据安全的主要指令。
八、应用安全管理的去中心化
到2027年，30%的网络安全部门将重新设计应用安全方案，使其可以直接被非网络安全专家使用，并由应用程序所有者负责。
业务技术人员和分布式交付团队创建的应用程序数量、种类和上下文意味着潜在的风险敞口远远超出了专门的应用程序安全团队所能处理的范围。
“为了弥合差距，网络安全部门必须在这些团队中构建最低有效专业知识，利用技术和培训的结合，使其具备做出自主网络风险决策所需的能力。”Gopal总结道。
