2019年七大安全和风险管理趋势一览 – 作者:Freddy

前言

Gartner主办的安全与风险管理峰会将于6月17日至20日在美国马里兰州举行，峰会期间来自各个领域的分析师们将探讨企业安全管理者面临的风险，梳理风险和业务目标之间的关系。届时峰会将围绕Gartner预测的2019年七大新兴的安全和风险管理趋势展开，这些趋势将长期影响安全、隐私和风险管理者和安全运营中心在威胁检测和响应、安全投资、无密码认证和云安全领域的行动。

Gartner将这七大趋势列为“顶级（Top）”，依据是它们在安全生态体系中尚未广泛铺开，但作为可持续战略预计将产生巨大的行业影响并改变产业的面貌。

Gartner研究副总裁Peter Firstbrook表示：“外部因素和特定安全威胁同时影响整体的安全和风险状况，因此安全管理者必须做好充分准备，增强面对安全风险时的灵活兴，通过安全支持业务目标。”

七大安全和风险管理趋势

1、安全风险对业务的影响越来越高

IT战略与业务目标紧密结合已然成为各行各业的主要趋势，在这样的大环境下安全和风险管理（SRM）管理则能否有效地向业务决策者提出安全需求或者建议变得尤为重要。

对于安全管理者而言，仅仅解决和IT决策相关的问题还不够，需要真正理解安全之于业务能力和成果的地位，在创建报告时注意安全赋能于业务，而业务也引领业务。同时，企业的最高决策者也应当邀请安全管理者出席战略会议。

2、威胁的检测和响应逐渐成为安全运营中心的核心能力

安全警报的复杂性和弹出频率不断增加，企业对于安全的投资正在从威胁防御向威胁检测转变，需要对安全运营中心（SOC）进行进一步投资。Gartner的数据显示，到2022年50％的SOC将转变集事件响应、威胁情报和威胁搜索能力于一体的现代化SOC模式，而2015年这一比例不到10％。

能否自行建立或通过外包方式实现包含威胁情报处理、安全警报整合与问题自动响应的SOC，是未来检验安全管理者合格与否的标准之一。

3、数据安全投资成为数据安全管理框架的优先项

数据安全领域比较复杂，管理者需要对数据本身、数据创建、使用环境以及监管有着深入理解。企业的常规做法是购买数据保护产品、收购数据安全服务进行自定义来满足业务需求，而现在有一些领先的组织开始通过数据安全治理框架（DSGF）解决数据安全问题。

DSGF提供以数据为中心的架构，可以识别和分类数据资产并定义数据安全策略。然后，该框架还可以将技术带来的安全风险缩减至最低水平。解决数据安全问题的关键，是以业务风险为抓手，而不是按照供应商的能力和服务来组织架构。

4、无密码认证开始引领市场

无密码身份验证（例如智能手机上的指纹解锁）成为越来越多企业考虑部署的解决方案。改技术的供需双方比较匹配，正越来越多地被部署在企业面向消费者和员工的应用中。

通过无密码解决方案帮助员工访问基于云端的应用，可以打击黑客针对用户密码发起了的一系列攻击，带来更高的安全性和可用性，这对于企业的安全和员工的便利来说是一种难得的双赢。

5、更多安全供应商提供高级技能和培训服务

根据Gartner的报告，2018年网络安全岗位空缺为100万上下，预计到2020年底增长至150万。虽然人工智能和自动化技术的快速进步从一定程度上减轻了人类分析安全警报的工作，但敏感和复杂的警报仍需要人为识别。

随着人才缺口的增大，安全供应商除了通过提供整套的产品和运营服务加速产品的采用之外，能够帮助安全管理者提升技能水平并减少日常工作量的全面管理和支持服务和培训课程越来越受欢迎。

6、计算平台投资的主要方向转向云安全能力

随着云计算在各行各业的不断渗透，推动企业扩大安全团队的规模，而人才储备缺口导致组织根本没有为此做好准备。Gartner预计，到2023年大多数云计算用户都将发生云安全故障。

对于很多企业和组织而言，公共云是一种安全可行的选择，但保持安全是共同的责任，不能光指望服务提供商解决所有问题。企业和组织必须加大对安全技能和管理工具的投入，建立必要的知识库，以跟上云业务开发和创新的快速步伐。

7、传统证券市场加大Gartner CARTA策略的采用

Gartner的持续适应性风险和信任评估（CARTA）是一种消除数字商业信任评估中模糊性的方法论和策略。

CARTA经过多年的发展，已成为一种安全的战略方法，可以平衡安全摩擦与交易风险。CARTA的一个关键组成部分是，即使在延长访问权限后也要持续评估风险和信任。电子邮件和网络安全是安全领域朝着CARTA方向发展的两个实例，因为即使用户和设备经过身份验证，解决方案也越来越关注检测异常。

参考来源：Gartner，Freddy编译整理，转载请注明来自 FreeBuf.COM。

来源：freebuf.com 2019-03-08 15:19:50 by: Freddy