2018：首席安全官的新年规划

大多数人都会有几个新年计划，减肥、锻炼、多陪陪家人等等，从企业战略集团(ESG)的调查研究和网络安全从业者的反馈来看，安全主管必须更贴近公司业务，提升员工生产力，现代化安全技术基础设施。以下5点是企业CISO们的新年规划：

[[216043]]

1. 让网络安全成为企业文化的一部分

ESG/ISSA(信息系统安全协会)研究表明，24%的企业，其业务经理依然不能正确认识/支持网络安全。2018年，CISO必须扭转对网络安全的这种无知和漠然。那么，该怎样扭转呢?

齐心协力争取CEO的支持。与所有业务经理建立经常性联系。以业务经理能理解并据此行动的方式，更好地量化风险。在软件开发人员开始写代码之前，参与到业务过程计划中来。敦促人力资源部进行更多实践训练。经常到一线向员工了解情况。

2018年，CISO们必须尽力施为。能推动转变的人，就能对公司风险缓解产生个人影响。推动失败，那2019年可能就得另谋高就了。

2. 加大对网络安全人员的时间与资源投入

从ESG/ISSA研究报告《网络安全人员的生活与时代》可以看出，网络安全团队任务繁重，人手不足，且没有足够的培训以跟上技术革新步伐。49%的网络安全人员至少每周都有一次换工作的想法，如果他们没有得到公平的对待，留不住人才是必然的结果。

为缓解这些问题，CISO得尽全力保证网络安全人员工作开心，富有成效，活力满满。这意味着要在培训、指导项目和职业发展上做投入。为招募到新鲜血液，CISO还得尽力让自家企业成为网络安全上的卓越中心。这包括建立网络安全文化，与专业机构合作，让公司更多地参与到网络安全研究上来，以及确保员工时时受到激励。

3. 寻找引入高级威胁预防的机会

提升生产力的方法之一，就是采用新型高级威胁预防技术，尽可能地减小攻击界面。可采用的技术有：下一代终端安全软件、微分隔、安全DNS服务、威胁情报网关等等。高级威胁预防可减小安全噪音，让信息安全人员专注在高优先级事件上，为策略规划和技术发展投入更多时间。

4. 将安全技术导向集成和高级情报

2018年，CISO应专注在安全技术的合理化、整合及巩固上，目标是建立一个能收集、规范化、处理、分析并应对大量安全遥测数据的安全运营及分析平台架构(SOAPA)。

同时，企业应研究、测试、应用和部署人工智能安全工具。ESG研究表明，通过在现有安全工具中应用机器学习算法，比如在终端安全软件、网络安全分析、威胁情报平台和数据泄露防护(DLP)中应用，CISO的投资能获得最大的回报。人工智能可帮助企业在不引入新复杂项目的情况下，提升旧有技术的安全效能。

5. 致力于自动化并编配人工过程

网络安全方面，能自动化的都应该自动化。数据收集、可疑文件分析、简单缓解规则的应用等等，都可以自动化。比尔·盖茨总结了企业应用自动化技术中的两条规则：“企业所用任何技术的第一条规则是，对有效操作的自动化，可放大该效率。第二条规则是，对低效操作的自动化，会放大该无效性。”

换句话说，CISO应评估业务过程，追求过程改进，否则就将陷入自动化/编配低效过程的困境，发挥不出自动化的好处。

最后，CISO应对网络安全采取资产组合管理方式，找出可通过云方案或完全外包给MSSP/SaaS安全提供商的方式进行简化的领域。

CISO三大重点：安全功效、运营效率和业务支持。上述5个方面的计划就很贴合这3个重点，应可帮助CISO享受一个愉快的网络安全新年景。