安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大戰(zhàn)略重點(diǎn)

導(dǎo)語(yǔ)當(dāng)前，CISO面臨著一系列快速變化的優(yōu)先事項(xiàng)、漏洞威脅、安全需求、監(jiān)管壓力和技術(shù)變革要求。因此，為應(yīng)對(duì)這一安全形勢(shì)，安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者需要采取下面這種結(jié)構(gòu)化方法。步驟1：統(tǒng)一網(wǎng)絡(luò)安全項(xiàng)目的戰(zhàn)略重點(diǎn)。例如：適應(yīng)因CISO來(lái)的運(yùn)營(yíng)模式的變化挖掘AI

步驟2：在您的網(wǎng)絡(luò)安全項(xiàng)目愿景中體現(xiàn)這些戰(zhàn)略重點(diǎn)。步驟3：確定為實(shí)現(xiàn)這些戰(zhàn)略重點(diǎn)而需采取的行為舉措。步驟4：更新您的網(wǎng)絡(luò)安全戰(zhàn)略，將這些行為舉措包含在您的網(wǎng)絡(luò)安全項(xiàng)目中。到到2027年，75%的員工將在IT部門之外獲取、修改或開(kāi)發(fā)技術(shù)，而2022年這一比例僅為41%。來(lái)源：Gartner2安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者可使用本指南，面向2024年及未來(lái)制定戰(zhàn)略計(jì)劃。2024年領(lǐng)導(dǎo)力前瞻：安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大戰(zhàn)略重點(diǎn)影響安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大趨勢(shì)網(wǎng)絡(luò)安全決策權(quán)變更技術(shù)的獲取、開(kāi)發(fā)和交付持續(xù)從IT部門轉(zhuǎn)向業(yè)務(wù)部門。在這種情況下，安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的控制權(quán)和監(jiān)管權(quán)逐漸削弱，安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者確保網(wǎng)絡(luò)安全的難度進(jìn)一步提升。除此之外，近一半的CIO表示，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)增加不利于數(shù)字化項(xiàng)目的執(zhí)行。

AI帶來(lái)安全挑戰(zhàn)基于大型語(yǔ)言模型的ChatGPT和Bard等工具在早期就給出了生成式AI將如何塑造大多數(shù)業(yè)務(wù)流程的信號(hào)。但新興的安全工具（例如其模型和提示）在確保生成式AI應(yīng)用的安全性方面還不夠成熟，無(wú)法應(yīng)對(duì)生成式AI應(yīng)用程序架構(gòu)的動(dòng)態(tài)變化。在這種背景下，企業(yè)很難制定最佳實(shí)踐并提供相關(guān)的建議。

安全重點(diǎn)錯(cuò)誤根據(jù)Gartner調(diào)研，93%的受訪者表示，他們的行為會(huì)增加企業(yè)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，但他們還是這么做了。事實(shí)上，《Verizon數(shù)據(jù)泄露調(diào)查報(bào)告》顯示，74%的安全漏洞與人為因素有關(guān)。不僅如此，在關(guān)注終端用戶的安全項(xiàng)目中，大多數(shù)導(dǎo)致數(shù)據(jù)泄露的錯(cuò)誤反而與開(kāi)發(fā)人員和系統(tǒng)管理員直接相關(guān)。2024年領(lǐng)導(dǎo)力前瞻：安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大戰(zhàn)略重點(diǎn)安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的三大戰(zhàn)略重點(diǎn)及相應(yīng)的行動(dòng)措施適應(yīng)變化的數(shù)字化運(yùn)營(yíng)模式1挖掘適應(yīng)變化的數(shù)字化運(yùn)營(yíng)模式1挖掘AI風(fēng)險(xiǎn)與機(jī)遇2開(kāi)展以人為本的網(wǎng)絡(luò)安全工作3近四分之三的網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者都發(fā)現(xiàn)了過(guò)去12個(gè)月在風(fēng)險(xiǎn)決策權(quán)和職責(zé)方面的變化。

2025年，生成式AI將導(dǎo)致用于保障網(wǎng)絡(luò)安全的資源大幅度激增，應(yīng)用和數(shù)據(jù)安全方面的支出將增加15%以上。

超過(guò)90%的網(wǎng)絡(luò)安全部門都制定了網(wǎng)絡(luò)安全意識(shí)提高項(xiàng)目，但69%的員工表示他們會(huì)故意避開(kāi)企業(yè)的網(wǎng)絡(luò)安全指導(dǎo)。 行動(dòng)措施行動(dòng)措施將安全部門從阻礙創(chuàng)新的部門轉(zhuǎn)變?yōu)橥苿?dòng)安全的數(shù)字化創(chuàng)新的部門。

確保企業(yè)以安全的方式構(gòu)建和使用生成式AI，控制生成式AI對(duì)網(wǎng)絡(luò)安全的影響。

組建“老虎隊(duì)”，評(píng)估當(dāng)前和未來(lái)的網(wǎng)絡(luò)安全戰(zhàn)略。責(zé)成該團(tuán)隊(duì)發(fā)現(xiàn)、調(diào)查和報(bào)告新的網(wǎng)絡(luò)安全機(jī)遇，在不帶來(lái)不必要風(fēng)險(xiǎn)的同時(shí)提高企業(yè)的安全能力。來(lái)源：Gartner行動(dòng)措施建議1

2024年領(lǐng)導(dǎo)力前瞻：安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大戰(zhàn)略重點(diǎn)了解當(dāng)前的網(wǎng)絡(luò)安全運(yùn)營(yíng)模式績(jī)效表現(xiàn)決策權(quán)績(jī)效表現(xiàn)決策權(quán)組織架構(gòu)財(cái)務(wù)采購(gòu)與聯(lián)盟工作方式人才工具場(chǎng)所財(cái)務(wù)。技術(shù)和安全投資的預(yù)算權(quán)轉(zhuǎn)移到業(yè)務(wù)和產(chǎn)品線負(fù)責(zé)人的手中。決策權(quán)。在協(xié)作式風(fēng)險(xiǎn)決策流程的支持下，決策權(quán)轉(zhuǎn)移到業(yè)務(wù)負(fù)責(zé)人的手中。如此一來(lái)，安全策略的限制性、原則性就有所減少，業(yè)務(wù)部門在選擇安全控制措施時(shí)就會(huì)擁有更多自主權(quán)?？?jī)效管理。從使用業(yè)務(wù)安全指標(biāo)轉(zhuǎn)變?yōu)槭褂脴I(yè)務(wù)成果和業(yè)務(wù)價(jià)值驅(qū)動(dòng)的指標(biāo)。人才管理。生成式AI等新技術(shù)需要員工獲得了解這些新技術(shù)風(fēng)險(xiǎn)的技能。為此，企業(yè)需要新的關(guān)系管理技能（如安全服務(wù)經(jīng)理）和行為科學(xué)技能，來(lái)改變安全行為和文化。行動(dòng)措施建議2了解生成式AI的影響

2024年領(lǐng)導(dǎo)力前瞻：安全風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者的3大戰(zhàn)略重點(diǎn)防御攻擊構(gòu)建使用技術(shù)不成熟供應(yīng)商大量涌入的風(fēng)險(xiǎn)隱私和效能挑戰(zhàn)技能增強(qiáng)攻擊自動(dòng)化內(nèi)容生成增量式推出在其他項(xiàng)目中重復(fù)使用多個(gè)選擇影子AI數(shù)據(jù)隱私和版權(quán)獲得授權(quán)，利用生成式AI機(jī)遇，改善安全風(fēng)險(xiǎn)管理，優(yōu)化資源，抵御新興的攻擊技術(shù)，甚至降低成本。

使用不斷發(fā)展的生成式AI工具和技術(shù)，應(yīng)對(duì)惡意行為者不斷演變的技術(shù)及新的攻擊載體。

AI應(yīng)用程序的攻擊面擴(kuò)大，帶來(lái)了新的潛在風(fēng)險(xiǎn)，CISO需要更新現(xiàn)有的應(yīng)用程序安全實(shí)踐。首先是使用ChatGPT，然后是在現(xiàn)有的應(yīng)用中嵌入生成式首先是使用ChatGPT，然后是在現(xiàn)有的應(yīng)用中嵌入生成式AI助手。這些應(yīng)用都有獨(dú)特的安全要求，但這些安全要求是遺留的安全控制措施所無(wú)法滿足的。行動(dòng)措施建議3“安全左移”，改變安全行為改變安全行為必須關(guān)注整個(gè)數(shù)字“供應(yīng)鏈”。這也就是說(shuō)，行為改變舉措的目標(biāo)受眾需要涵蓋參與開(kāi)發(fā)數(shù)字解決方案的所有角色，而不僅僅是終端用戶。其中，CEO和董事會(huì)發(fā)揮明顯的帶頭作用對(duì)推動(dòng)行為和文化變革至關(guān)重要。CEO/業(yè)務(wù)變革C級(jí)高管/CIO業(yè)務(wù)流程負(fù)責(zé)人業(yè)務(wù)分析師解決方案架構(gòu)師項(xiàng)目經(jīng)理開(kāi)發(fā)人員CEO/業(yè)務(wù)變革C級(jí)高管/CIO業(yè)務(wù)流程負(fù)責(zé)人業(yè)務(wù)分析師解決