网络安全预算依靠规划和谈判

企业已制定的业务计划可能会因很多原因而出问题-企业战略或竞争变化、法规变化或因疫情导致全球工作流程变化。但是，无论是否存在不可控制的因素，Gartner和Forrester公司的分析师都认为，企业有可能制定成功的网络安全预算。

[[347723]]

Gartner公司首席研究分析师Sam Olyaei在2020年Gartner安全与风险管理峰会上表示，今年的疫情导致攻击增加、政府指令变更、供应链中断以及社会影响(例如转移到远程办公)后，从而影响网络安全支出计划的时间表。

Olyaei说：“成本优化不仅仅是降低成本，成本优化可能意味着合同谈判、业务价值优化、提高效率……或者很可能意味着你必须重新分配资源或寻找替代方案来实现同一目标。”

IT经理首先需要了解优化预算的最佳方法，这主要取决于业务状况-企业是否要削减开支、保持不变或增长。在不同情况下，成本优化可能意味着与供应商协商最佳交易、重新分配支出或确保预算用于正确的资源。

中断的影响

Olyaei认为，无法预料的危机或疫情可能引发网络安全预算的变化，但这种反应通常遵循典型的模式。首先是响应阶段，该阶段的重点是确保基本服务继续运行，这包括远程访问和控制服务，并在必要时削减成本。

第二个是恢复阶段，主要集中在制定成本优化策略，以及对比成本管理当前风险。

最后是更新阶段，该阶段着眼于将来的产品和服务，这些产品和服务可以帮助企业变得更有效率和更优化。

Forrester公司高级分析师Paul McKay在2020年Forrester安全与风险会议上表示，企业通常会在疫情等极端情况下寻找削减成本的方法，在确定削减多少成本方面，企业可分类三类：

在疫情中受灾最严重的公司(例如旅游业和休闲业)可能处于生存模式，他们需要尽一切可能使成本最小化。

而以“自适应模式”运营的公司会有些中断，但是情况并不是特别严重，他们的重点是要灵活地适应客户的需求。速度和灵活性是这些企业的关键，因此他们可能需要采用新的软件或服务才能达到新的标准。

在某些情况下，有些公司处于增长模式。在这些企业中，他们看到对服务或产品的需求不断增长，并且需要扩大规模来满足该需求。在这种情况下，安全支出可能会增加。

创建灵活的预算计划

虽然无法提前知道中断的影响，但管理人员仍然可以为任何可能的情况制定计划，同时将网络安全作为预算重点。

Gartner公司研究与开发副总裁Thomas Scholtz在Gartner安全与风险管理峰会上说，无论是影响网络安全预算的外部危机还是领导层的决策，IT领导者都需要做好准备。

Scholtz说：“我们需要找到方法来理解企业领导者如何做出投资决策或改变组织决策。然后，只要在企业或业务环境中发生这些变化，我们就可以尽可能有效地做出反应。”

在安全决策方面，主要因素往往包括保护知识产权或数据资源、维护品牌声誉和信任、遵守法规要求、维护物理安全或保护创收业务。

Gartner公司的Olyaei建议IT主管根据以下内容使用数据驱动的决策流程来确定优先级列表：

听取财报电话会议，以了解高管领导公司的方向;

分析IT数据以确保每个环境都有适当数量的员工;

执行风险评估、控制部署评估以及流程成熟度评估;

对于数据驱动安全策略，IT领导者可以向董事会提出决策，并提供详细的理由来说明其决策的必要性，以及为何对公司而言是最佳举措。

Olyaei还指出，预算必须“具有适应性并切合实际”，因此IT团队应制定预算计划以应对任何可能的情况。

网络安全预算计划的一部分涉及了解每个安全投资的风险隐患。例如，如果低风险业务部分有大量的安全投资，则应将部分安全预算转移到需要更多保护的业务部门。

Scholtz说：“当你了解了业务价值，你就可以开始做出权衡决策。在低价值地区花太多钱会有机会成本。”

与供应商谈判以获得更好的合约

制定成功的网络安全预算还要求供应商不要增加任何不可预见的成本。同样，在与供应商谈判之前，需要进行有效的准备和研究。

Forrester公司McKay说，安全软件的谈判过程通常分为准备阶段、实际谈判本身以及在签订合同并部署产品或服务后对供应商进行的持续性能评估。

McKay主张与同行、分析师和外部采购专家交谈，以在准备谈判时了解市场、定价动态和业务需求。

McKay说：“有时候，与核心产品相比，供应商更愿意在部署服务方面提供商折扣。与此类似，渠道合作伙伴可以添加其他服务，并有能力获得更高的折扣率，而卖方自己可以提供服务。”

McKay补充说，最好在谈判初期就检查合同条款，因为合同条款有时会“非常繁琐，以至于使购买经验变得相当困难”。

在谈判中，IT经理就需要意识到可能表明机会或危险信号的短语。McKay说，如果供应商使用“白金客户”一词，这可能是一个好兆头，并表明该交易对该供应商的重要性。另一方面，如果销售人员要求企业成为“参考客户”或“大客户”，则可能表明该供应商还没有其他客户。

McKay建议与供应商谈判以压低价格，并询问在谈判合同时是否包括支持服务或折扣。

McKay说：“安全软件供应商在软件基准和合同灵活性方面可能会有些固化。如果他们不愿意让步，那就准备离开。”