本文來自微信公眾號“GoUpSec”。
隨著人工智能技術(shù)的野蠻生長，網(wǎng)絡(luò)安全行業(yè)正面臨史上最為劇烈的一次大變革，“人的因素”超越技術(shù)，成為未來CISO安全戰(zhàn)略的核心議題，而虛假信息則超過惡意軟件，成為網(wǎng)絡(luò)安全的新戰(zhàn)場。
Gartner近期發(fā)布的網(wǎng)絡(luò)安全預測報告指出，隨著生成式人工智能(Generative AI，以下簡稱GenAI)的應(yīng)用，網(wǎng)絡(luò)安全技能缺口有望消失，員工引發(fā)的網(wǎng)絡(luò)安全事件也將大幅減少，與此同時“人的因素”將成為網(wǎng)絡(luò)安全的核心議題。
“隨著GenAI技術(shù)的不斷發(fā)展，其在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用前景廣闊，有望幫助解決長期困擾該行業(yè)的諸多難題，尤其是人才短缺和員工安全意識不足等問題，”Gartner研究總監(jiān)Deepti Gopal表示，“今年的網(wǎng)絡(luò)安全預測報告將重點放在人為因素上，而非單純的技術(shù)層面。任何希望建立有效、可持續(xù)網(wǎng)絡(luò)安全項目的信息安全主管都應(yīng)將此視為重中之重。”
除了“人的因素”外，GenAI還將對企業(yè)網(wǎng)絡(luò)安全資源預算、應(yīng)用安全和數(shù)據(jù)安全實踐產(chǎn)生重大影響。Gartner預測，到2025年，保護GenAI安全所需的網(wǎng)絡(luò)安全資源將激增，導致應(yīng)用程序和數(shù)據(jù)安全方面的支出增加超過15%。“CISO必須更新應(yīng)用程序和數(shù)據(jù)安全實踐，以集成新的攻擊面，例如提示或編排層來檢測人工智能模型。”
Gartner報告指出，CISO未來兩年安全戰(zhàn)略中需重點關(guān)注八大新要素：
一、網(wǎng)絡(luò)安全招聘門檻大幅降低，選材標準轉(zhuǎn)向“重能力輕專業(yè)”
到2028年，GenAI的普及將快速填補網(wǎng)絡(luò)安全技能缺口，50%的入門級網(wǎng)絡(luò)安全職位不再需要特定的專業(yè)教育背景。
GenAI將徹底改變組織招聘和培養(yǎng)網(wǎng)絡(luò)安全人才的方式，不再僅僅局限于教育背景，而是更加注重候選人的能力和悟性。主流安全大模型平臺已經(jīng)提供了對話式增強功能，未來還將進一步發(fā)展。Gartner建議網(wǎng)絡(luò)安全團隊應(yīng)關(guān)注內(nèi)部用戶支持用例，并與人力資源部門合作，為關(guān)鍵網(wǎng)絡(luò)安全崗位發(fā)掘合適人才。
二、GenAI徹底改變安全意識和文化
到2026年，將GenAI與基于平臺架構(gòu)的集成安全行為和文化項目(SBCP)相結(jié)合的企業(yè)，員工引發(fā)的網(wǎng)絡(luò)安全事件將減少40%。
個性化參與日益成為高效SBCP項目的重要組成部分。GenAI能夠生成根據(jù)員工個人特質(zhì)量身定制的內(nèi)容和培訓材料。根據(jù)Gartner的研究，這將提高員工在日常工作中采取安全行為的可能性，從而減少網(wǎng)絡(luò)安全事件的發(fā)生。
“尚未采用GenAI技術(shù)的組織應(yīng)評估其當前的外包安全意識培訓合作伙伴，了解其解決方案路線圖中如何利用GenAI，”Gopal說道。
三、零信任清除盲區(qū)
到2026年，75%的組織將把非托管、遺留和網(wǎng)絡(luò)物理系統(tǒng)排除在零信任策略之外。
零信任策略的核心是，用戶和終端僅獲得完成其工作所需的最少訪問權(quán)限，并會根據(jù)不斷演變的威脅形勢對其持續(xù)監(jiān)控。然而，在生產(chǎn)或任務(wù)關(guān)鍵型環(huán)境中，零信任的理念并不完全適用于非托管設(shè)備、遺留應(yīng)用程序和專為在特定安全性和可靠性環(huán)境下執(zhí)行任務(wù)而設(shè)計的網(wǎng)絡(luò)物理系統(tǒng)(CPS)。
四、緩解CISO職業(yè)風險
到2027年，由于面臨個人法律風險，全球100強企業(yè)中的三分之二將為首席信息安全官(CISO)提供董事及高級職員(D&O)保險。
美國證券交易委員會(SEC)的網(wǎng)絡(luò)安全披露和報告規(guī)定等新法律法規(guī)使網(wǎng)絡(luò)安全領(lǐng)導者面臨個人責任。CISO的角色和職責需要根據(jù)相關(guān)的報告和披露要求進行更新。Gartner建議組織探索為CISO提供D&O保險以及其他保險和補償計劃，以減輕其個人責任、職業(yè)風險和法律支出。
五、虛假信息是網(wǎng)絡(luò)安全新戰(zhàn)場
到2028年，企業(yè)對抗虛假信息方面的支出將超過5000億美元，這將占到營銷和網(wǎng)絡(luò)安全預算的一半左右。
人工智能、分析、行為科學、社交媒體、物聯(lián)網(wǎng)和其他技術(shù)的結(jié)合使惡意分子能夠創(chuàng)建和傳播高效、大規(guī)模定制的虛假信息。Gartner建議首席信息安全官明確治理、設(shè)計和執(zhí)行全企業(yè)反虛假信息計劃的職責，并投資相關(guān)工具和技術(shù)，利用混沌工程測試組織的應(yīng)對能力。
六、IAM能力越大責任越大
到2026年，40%的身份和訪問管理(IAM)負責人將承擔檢測和響應(yīng)IAM相關(guān)漏洞的主要責任。
IAM負責人往往不善于闡明網(wǎng)絡(luò)安全的商業(yè)價值，難以推動準確的投資，也常常無法參與安全資源和預算討論。隨著IAM負責人重要性的不斷提升，他們的職責將發(fā)生分化，并肩負起更多的責任、擁有更高的知名度和更大的影響力。Gartner建議CISO打破傳統(tǒng)IT和安全孤島，通過協(xié)調(diào)IAM計劃和安全計劃，讓利益相關(guān)者了解IAM所扮演的角色。
七、DLP與IAM整合控制
到2027年，70%的組織將把數(shù)據(jù)丟失防護和內(nèi)部風險管理規(guī)則與IAM環(huán)境相結(jié)合，以更有效地識別可疑行為。
對整合控制的興趣日益濃厚，促使供應(yīng)商開發(fā)代表以用戶行為為中心的控制和數(shù)據(jù)丟失預防之間重疊的功能。這為安全團隊引入了一套更全面的功能，可以創(chuàng)建用于數(shù)據(jù)安全和內(nèi)部風險緩解雙重用途的單一策略。Gartner建議組織識別數(shù)據(jù)風險和身份風險，并將它們結(jié)合使用作為戰(zhàn)略數(shù)據(jù)安全的主要指令。
八、應(yīng)用安全管理的去中心化
到2027年，30%的網(wǎng)絡(luò)安全部門將重新設(shè)計應(yīng)用安全方案，使其可以直接被非網(wǎng)絡(luò)安全專家使用，并由應(yīng)用程序所有者負責。
業(yè)務(wù)技術(shù)人員和分布式交付團隊創(chuàng)建的應(yīng)用程序數(shù)量、種類和上下文意味著潛在的風險敞口遠遠超出了專門的應(yīng)用程序安全團隊所能處理的范圍。
“為了彌合差距，網(wǎng)絡(luò)安全部門必須在這些團隊中構(gòu)建最低有效專業(yè)知識，利用技術(shù)和培訓的結(jié)合，使其具備做出自主網(wǎng)絡(luò)風險決策所需的能力。”Gopal總結(jié)道。
