2022年，在日趨實戰(zhàn)化、高動態(tài)、高強度對抗的網(wǎng)絡安全環(huán)境中，網(wǎng)絡安全廠商和企業(yè)用戶都在重新思考和評估新的安全技術、安全戰(zhàn)術和安全策略。
2023年，將是企業(yè)數(shù)字化發(fā)展的關鍵年，隨著企業(yè)面臨越來越大的發(fā)展壓力，唯有優(yōu)化網(wǎng)絡安全建設與運營工作，才能更好地適應宏觀經(jīng)濟形勢挑戰(zhàn)，實現(xiàn)預期增長目標。日前，IT領域專業(yè)媒體VentureBeat采訪了多家知名科技公司的CISO，就2023年企業(yè)網(wǎng)絡安全威脅發(fā)展態(tài)勢和重點工作進行了展望和預測。
對短期的安全態(tài)勢保持悲觀
—— Phil Venables | 谷歌云 CISO
2023年，如何保護國家技術基礎設施免受惡意攻擊將受到主管機構的更多關注，因此我們預計，將會有更多的安全防護政策頒布實施。
作為業(yè)務覆蓋全球的科技巨頭企業(yè)，Google的安全管理部門將會和有關政府機構進行更深層次的協(xié)調與溝通，有效落實政府部門對于大型科技企業(yè)的保護性安全機制要求。在此背景下，公共部門和私營組織需要進一步加強知識共享，提高透明度，并增強防護新型威脅攻擊的能力。
2023年，由于惡意攻擊引發(fā)的威脅形勢可能會變得更糟糕，這需要在技術基礎設施方面相應的增加投入。惡意網(wǎng)絡攻擊在2023年只會有增無減。盡管我們對長期的網(wǎng)絡安全建設發(fā)展抱以樂觀，但對短期的態(tài)勢卻需要保持悲觀預期。受到宏觀經(jīng)濟態(tài)勢的影響，可能很多企業(yè)組織在明年的安全建設投入會更謹慎，這對遏制越來越多的網(wǎng)絡威脅將是一個難題。
打造積極的安全文化
—— CJ Moses | AWS CISO
AWS在構建安全服務時一貫會高度重視客戶的應用體驗，我們認為，安全建設不只是使用最好的安全工具，更需要打造積極的安全文化。展望2023年，AWS安全團隊將繼續(xù)為組織和用戶提供創(chuàng)新的網(wǎng)絡安全服務，以解決業(yè)務健康發(fā)展問題，同時幫助客戶確立安全第一的數(shù)字化發(fā)展觀念。
為此，我們需要向所有人普及安全意識，同時吸引背景各異的一流網(wǎng)絡人才，通過導師輔助、實習生計劃和認證機會來培養(yǎng)更多的網(wǎng)絡安全人才，進一步提高安全防護的自動化程度，并致力于建設充滿活力的網(wǎng)絡安全員工隊伍。
應著眼更長遠的未來
—— Bret Arsenault | 微軟 CISO
網(wǎng)絡安全建設是一個持續(xù)的、系統(tǒng)性的工作，因此作為安全專業(yè)人員，如果僅僅關注和預測2023年的威脅挑戰(zhàn)是不夠的，我們需要展望未來5年到10年的發(fā)展態(tài)勢，為新型安全威脅出現(xiàn)做好準備。如果安全建設長期處于被動追趕和已發(fā)生的事件處置，那么只會更容易受到攻擊。
在微軟之前的發(fā)展預測中，我們認為云時代會很快到來，傳統(tǒng)密碼技術將面臨挑戰(zhàn)，因此我們提前做好了計劃和準備。現(xiàn)在，我們認為目前廣泛應用的MFA可能變得不再安全，企業(yè)組織需要盡快做好應對計劃和準備，企業(yè)的安全管理者需要站在攻擊者的角度去思考。
攻擊面管理將更加復雜
—— Koos Lodewijkx | IBM CISO
2023年將至，我們的團隊正在積極致力于適應不斷變化的威脅環(huán)境，我們看到勒索軟件攻擊和針對關鍵基礎設施的破壞性攻擊正在成倍增長，這種趨勢在短期內不會改變。同時，隨著企業(yè)組織的網(wǎng)絡攻擊面變得更復雜、更分散，做好攻擊面管理工作變得更重要。關注并加強攻擊面管理以發(fā)現(xiàn)和修復高優(yōu)先級漏洞，并及時進行企業(yè)環(huán)境中的威脅檢測和響應，這樣可以搶在攻擊者得逞之前迅速發(fā)現(xiàn)和阻止對方。
展望2023年，我們會迎來更多非常新穎的人工智能技術創(chuàng)新應用，這些創(chuàng)新在網(wǎng)絡防御領域有很大潛力。我們正在與IBM研究部門、IBM安全產(chǎn)品部門的同事密切合作，探索網(wǎng)絡安全領域中全新的人工智能應用場景。
繼續(xù)做好安全的基本面
—— Kevin Cross | Dell CISO
展望2023年，我和戴爾公司安全團隊的首要任務并不是關注當下的最新安全技術應用趨勢，而是會繼續(xù)做好公司內部的網(wǎng)絡安全基本功。我們必須做好安全防護的基本面，因為威脅分子善于利用并不復雜的安全弱點發(fā)起攻擊。
如果基本面沒做到位，安全防護也將無從談起。我們會首先確?；A性的攔截和應對機制能夠充分發(fā)揮功效，以便在應對層出不窮的威脅時保持從容狀態(tài)。
網(wǎng)絡安全人才匱乏阻礙了許多公司做好安全基本面。如今，沒有多少員工擁有防護、檢測和應對網(wǎng)絡威脅的專業(yè)安全技能。因此，我們將注重提升安全團隊的專業(yè)能力培養(yǎng)，提供持續(xù)培訓和教育，同時支持他們的職業(yè)道路和興趣愛好。
倡導開放式的安全建設
—— Mandy Andress | Elastic CISO
網(wǎng)絡安全并不只是技術性的工作。2023年，網(wǎng)絡安全團隊的一種重要工作就是要更好地了解組織在技術層面和人員層面協(xié)同配合方面的薄弱環(huán)節(jié)。因為，當前的惡意攻擊者越來越多的利用這些弱點來開展攻擊。事實再三證明，人是安全鏈條中最薄弱的一環(huán)，企業(yè)應重視對IT專業(yè)人員進行適當?shù)呐嘤?，同時為他們配備合適的系統(tǒng)以實現(xiàn)流程自動化。
為了克服那些在技術層面難以解決的問題，企業(yè)組織需要進一步倡導開放式的安全建設，讓安全從業(yè)人員能夠查看應用系統(tǒng)的底層代碼，并了解其在實際工作環(huán)境中的工作狀態(tài)。這將幫助安全團隊識別潛在盲點，并堵住安全技術架構的缺口，同時更好的剖析安全威脅風險。
由于新冠疫情和遠程工作環(huán)境等因素影響，企業(yè)員工需要使用新技術來實現(xiàn)數(shù)字化的辦公方式，但他們的安全意識卻可能滯后，這就需要進一步加強網(wǎng)絡安全意識培養(yǎng)，并在公司中構建網(wǎng)絡安全文化。
提前做好網(wǎng)絡安全預防措施
—— John McClurg | BlackBerry CISO
根據(jù)美國政府頒布的14028號行政令，為政府部門提供軟件的公司首先要考慮的是編制軟件材料清單（SBOM），因為針對軟件供應鏈的攻擊通常是從訪問最薄弱的環(huán)節(jié)開始的。在2023年，新的安全軟件開發(fā)實踐將會不斷涌現(xiàn)，如何確保各種類型的企業(yè)組織遵循這些實踐很重要。
2023年，我們還將致力于克服網(wǎng)絡安全建設中普遍存在的專業(yè)技能短缺問題。面對人才儲備告急的形勢，提前采取網(wǎng)絡安全預防措施將成為企業(yè)防范惡意攻擊的有效手段之一，這樣在面對突發(fā)性的安全事件時，不會因為一線安全員工數(shù)量不足導致慌亂和失誤。
簡化安全運營流程和人工操作
—— Jason Clark | Netskope CISO
隨著網(wǎng)絡威脅的發(fā)展以及企業(yè)數(shù)字化轉型的深入，現(xiàn)代企業(yè)的網(wǎng)絡安全運營工作正變得無比復雜，超過了很多企業(yè)安全團隊的實際承受能力。在2023年，通過應用自動化技術，簡化安全運營中的人工操作將幾乎是所有CISO及其團隊的工作重心。在此過程中，我們會優(yōu)先評估以下方面因素：
安全建設的頭號敵人是復雜性，因此在策略設計時就要關注并考慮運營流程的簡化性；
組織在實施安全控制措施的時候，應該同時考慮其給帶來安全運營帶來的阻力；
重新梳理安全流程，擯棄那些并不必要的安全控制措施。
保障安全控制措施的覆蓋面和有效性
—— Brian Spanswick | Cohesity CISO
2023年，我們的工作重心將側重于提升主要安全控制措施的覆蓋面和有效性。最近幾起影響重大的安全事件表明，攻擊者只需要利用安全環(huán)境中的基本漏洞，就可以訪問關鍵系統(tǒng)和敏感數(shù)據(jù)。我們同時將繼續(xù)致力于為所有員工提供安全意識培訓和社會工程攻擊方面的教育，通過加強安全意識來形成和保持減小威脅暴露面所需的“肌肉記憶”。
我們另一個重心是繼續(xù)關注憑據(jù)管理，這包括加強基于角色的訪問控制、最低權限訪問和適當?shù)拿艽a管理。這個方面需要不斷加強管理，才能確保環(huán)境變化后，憑據(jù)管理依然保持在預期的應用水平。
加強軟件供應鏈安全建設
—— Niall Browne | Palo Alto Networks CISO
在過去幾年中，企業(yè)組織的數(shù)字化轉型快速發(fā)展，數(shù)字化程度大大提高，這讓軟件供應鏈安全防護受到廣泛的關注。Log4j漏洞攻擊已經(jīng)表明了這類攻擊的危害性，一個脆弱的代碼庫就能影響成數(shù)千家公司。而這類攻擊不會銷聲匿跡，并會在今后幾年急劇增多。
2023年，我們不僅要確保自身的軟件應用系統(tǒng)安全可靠，還要確保合作伙伴的軟件供應鏈也很安全。企業(yè)CISO的當務之急是，為組織使用的所有代碼庫、應用程序和第三方應用提供安全防護。
更多信息可以來這里獲取==>>電子技術應用-AET<<
