大多數(shù)人都會(huì)有幾個(gè)新年計(jì)劃，減肥、鍛煉、多陪陪家人等等，從企業(yè)戰(zhàn)略集團(tuán)(ESG)的調(diào)查研究和網(wǎng)絡(luò)安全從業(yè)者的反饋來(lái)看，安全主管必須更貼近公司業(yè)務(wù)，提升員工生產(chǎn)力，現(xiàn)代化安全技術(shù)基礎(chǔ)設(shè)施。以下5點(diǎn)是企業(yè)CISO們的新年規(guī)劃：

[[216043]]

1. 讓網(wǎng)絡(luò)安全成為企業(yè)文化的一部分

ESG/ISSA(信息系統(tǒng)安全協(xié)會(huì))研究表明，24%的企業(yè)，其業(yè)務(wù)經(jīng)理依然不能正確認(rèn)識(shí)/支持網(wǎng)絡(luò)安全。2018年，CISO必須扭轉(zhuǎn)對(duì)網(wǎng)絡(luò)安全的這種無(wú)知和漠然。那么，該怎樣扭轉(zhuǎn)呢?

齊心協(xié)力爭(zhēng)取CEO的支持。與所有業(yè)務(wù)經(jīng)理建立經(jīng)常性聯(lián)系。以業(yè)務(wù)經(jīng)理能理解并據(jù)此行動(dòng)的方式，更好地量化風(fēng)險(xiǎn)。在軟件開(kāi)發(fā)人員開(kāi)始寫(xiě)代碼之前，參與到業(yè)務(wù)過(guò)程計(jì)劃中來(lái)。敦促人力資源部進(jìn)行更多實(shí)踐訓(xùn)練。經(jīng)常到一線向員工了解情況。

2018年，CISO們必須盡力施為。能推動(dòng)轉(zhuǎn)變的人，就能對(duì)公司風(fēng)險(xiǎn)緩解產(chǎn)生個(gè)人影響。推動(dòng)失敗，那2019年可能就得另謀高就了。

2. 加大對(duì)網(wǎng)絡(luò)安全人員的時(shí)間與資源投入

從ESG/ISSA研究報(bào)告《網(wǎng)絡(luò)安全人員的生活與時(shí)代》可以看出，網(wǎng)絡(luò)安全團(tuán)隊(duì)任務(wù)繁重，人手不足，且沒(méi)有足夠的培訓(xùn)以跟上技術(shù)革新步伐。49%的網(wǎng)絡(luò)安全人員至少每周都有一次換工作的想法，如果他們沒(méi)有得到公平的對(duì)待，留不住人才是必然的結(jié)果。

為緩解這些問(wèn)題，CISO得盡全力保證網(wǎng)絡(luò)安全人員工作開(kāi)心，富有成效，活力滿滿。這意味著要在培訓(xùn)、指導(dǎo)項(xiàng)目和職業(yè)發(fā)展上做投入。為招募到新鮮血液，CISO還得盡力讓自家企業(yè)成為網(wǎng)絡(luò)安全上的卓越中心。這包括建立網(wǎng)絡(luò)安全文化，與專(zhuān)業(yè)機(jī)構(gòu)合作，讓公司更多地參與到網(wǎng)絡(luò)安全研究上來(lái)，以及確保員工時(shí)時(shí)受到激勵(lì)。

3. 尋找引入高級(jí)威脅預(yù)防的機(jī)會(huì)

提升生產(chǎn)力的方法之一，就是采用新型高級(jí)威脅預(yù)防技術(shù)，盡可能地減小攻擊界面?？刹捎玫募夹g(shù)有：下一代終端安全軟件、微分隔、安全DNS服務(wù)、威脅情報(bào)網(wǎng)關(guān)等等。高級(jí)威脅預(yù)防可減小安全噪音，讓信息安全人員專(zhuān)注在高優(yōu)先級(jí)事件上，為策略規(guī)劃和技術(shù)發(fā)展投入更多時(shí)間。

4. 將安全技術(shù)導(dǎo)向集成和高級(jí)情報(bào)

2018年，CISO應(yīng)專(zhuān)注在安全技術(shù)的合理化、整合及鞏固上，目標(biāo)是建立一個(gè)能收集、規(guī)范化、處理、分析并應(yīng)對(duì)大量安全遙測(cè)數(shù)據(jù)的安全運(yùn)營(yíng)及分析平臺(tái)架構(gòu)(SOAPA)。

同時(shí)，企業(yè)應(yīng)研究、測(cè)試、應(yīng)用和部署人工智能安全工具。ESG研究表明，通過(guò)在現(xiàn)有安全工具中應(yīng)用機(jī)器學(xué)習(xí)算法，比如在終端安全軟件、網(wǎng)絡(luò)安全分析、威脅情報(bào)平臺(tái)和數(shù)據(jù)泄露防護(hù)(DLP)中應(yīng)用，CISO的投資能獲得最大的回報(bào)。人工智能可幫助企業(yè)在不引入新復(fù)雜項(xiàng)目的情況下，提升舊有技術(shù)的安全效能。

5. 致力于自動(dòng)化并編配人工過(guò)程

網(wǎng)絡(luò)安全方面，能自動(dòng)化的都應(yīng)該自動(dòng)化。數(shù)據(jù)收集、可疑文件分析、簡(jiǎn)單緩解規(guī)則的應(yīng)用等等，都可以自動(dòng)化。比爾·蓋茨總結(jié)了企業(yè)應(yīng)用自動(dòng)化技術(shù)中的兩條規(guī)則：“企業(yè)所用任何技術(shù)的第一條規(guī)則是，對(duì)有效操作的自動(dòng)化，可放大該效率。第二條規(guī)則是，對(duì)低效操作的自動(dòng)化，會(huì)放大該無(wú)效性。”

換句話說(shuō)，CISO應(yīng)評(píng)估業(yè)務(wù)過(guò)程，追求過(guò)程改進(jìn)，否則就將陷入自動(dòng)化/編配低效過(guò)程的困境，發(fā)揮不出自動(dòng)化的好處。

最后，CISO應(yīng)對(duì)網(wǎng)絡(luò)安全采取資產(chǎn)組合管理方式，找出可通過(guò)云方案或完全外包給MSSP/SaaS安全提供商的方式進(jìn)行簡(jiǎn)化的領(lǐng)域。

CISO三大重點(diǎn)：安全功效、運(yùn)營(yíng)效率和業(yè)務(wù)支持。上述5個(gè)方面的計(jì)劃就很貼合這3個(gè)重點(diǎn)，應(yīng)可幫助CISO享受一個(gè)愉快的網(wǎng)絡(luò)安全新年景。