4月12日，Gartner發(fā)布了2023年9大主要網(wǎng)絡安全趨勢，重新關注人為因素。Gartner提出提出安全和風險管理（SRM）領導者在設計和實施網(wǎng)絡安全計劃時，必須重新考慮他們在技術、架構和以人為本要素之間的投資平衡。
Gartner 高級總監(jiān)兼分析師Richard Addiscott表示：“以人為本的網(wǎng)絡安全方法對于減少安全事故至關重要。關注安全控制手段設計和實施人員，以及通過業(yè)務通信和網(wǎng)絡安全人才管理，將有助于改善業(yè)務風險決策和網(wǎng)絡安全員工的穩(wěn)定。”
為解決網(wǎng)絡安全風險并維持有效的網(wǎng)絡安全計劃，SRM 領導者必須關注三個關鍵領域：
（1）人員對于安全計劃的成功和可持續(xù)性的重要作用；
（2）技術安全能力，在整個組織的數(shù)字生態(tài)系統(tǒng)中提供更大的可見性和響應能力；
（3）重組安全功能的運作方式，以在不損害安全性的情況下實現(xiàn)敏捷性。
核心建議
Gartner在報告首頁為SRM領導者提出三點建議：
1）采用攻擊者的思維方式，通過對攻擊面采取端到端的排查來確定網(wǎng)絡風險緩解工作的優(yōu)先級，并在適當情況下調整供應商產(chǎn)品組合。
2）通過采用新的安全運營模型和架構方法，優(yōu)化網(wǎng)絡安全能力與新的分布式工作方式的一致性，以提高敏捷性并在設計時嵌入安全。
3）優(yōu)先考慮并優(yōu)化對員工行為改進的投資，以增強和維持企業(yè)安全的有效性。
Gartner將9大安全趨勢分為響應性生態(tài)系統(tǒng)、重組途徑以及再平衡措施三類，通過這些趨勢的組合形成可持續(xù)的平衡性的網(wǎng)絡安全計劃。
重點解讀
1.安全驗證首次作為安全趨勢出現(xiàn)
“到2026年，超過40%的組織（包括三分之二的中型企業(yè)）將依靠整合平臺來運行安全驗證評估。”
對比近幾年Gartner網(wǎng)絡安全趨勢，安全驗證在2023年的報告中首次出現(xiàn)。
2021年Gartner在安全趨勢中提出入侵和攻擊模擬（BAS），在本次報告中，Gartner將BAS作為一項驗證工具囊括在安全驗證這一整體趨勢下。這與國內(nèi)新興安全驗證廠商塞訊驗證的理念不謀而合，塞訊驗證自2021年就在國內(nèi)率先提出安全驗證理念，前瞻性地將BAS技術進行擴展，向安全驗證演進。
Gartner定義安全驗證：
安全驗證是技術、流程和工具的融合，用于驗證潛在攻擊者如何利用已識別的威脅暴露，以及安全防御體系和流程的實際應對情況。藍隊和紅隊工具正朝著高度定制和靈活入侵的方向融合，以更有效地測試企業(yè)的防御能力，包括安全控制手段和監(jiān)控工具的有效性和配置。由此產(chǎn)生的驗證結果能夠讓跨團隊決策更輕松，也幫助組織決策者分配相關資源。
安全驗證為什么成為最新趨勢？
即使是領導一個有明確安全計劃的安全團隊，也必須優(yōu)先處理一長串問題。成熟的組織仍然無法找到一個有效的跨團隊協(xié)作方法來補救突出問題。安全驗證則可以評估攻擊者成功的可能性，評估潛在的影響，并確定目標響應流程是否按照預期運行。
安全驗證工具正在迅速發(fā)展，實現(xiàn)評估的高度可重復和可預測方面的自動化，從而實現(xiàn)攻擊技術、安全控制手段和流程的一致性，確立常規(guī)標準。
2.持續(xù)威脅暴露管理（CTEM）代替?zhèn)鹘y(tǒng)網(wǎng)絡安全評估
“到2026年，基于CTEM計劃優(yōu)先進行安全投資的組織將減少三分之二的違規(guī)行為。”
現(xiàn)代企業(yè)的攻擊面復雜而分散，傳統(tǒng)的網(wǎng)絡安全評估往往聚焦于發(fā)現(xiàn)和修復漏洞，對人為錯誤、供應鏈依賴性（SaaS平臺和第三方應用程序）以及安全措施的錯誤配置這類風險暴露卻束手無策。
CTEM作為一項務實有效的系統(tǒng)方法，可以不斷完善網(wǎng)絡安全優(yōu)化優(yōu)先級。CTEM將傳統(tǒng)的網(wǎng)絡安全評估擴展到以下幾方面：
1）使CTEM迭代的范圍與特定的業(yè)務風險和優(yōu)先級保持一致。
2）解決所有漏洞，無論是否存在補丁。這包括傳統(tǒng)的、可修補的漏洞，但也包括與這些業(yè)務風險和優(yōu)先級相關的更現(xiàn)代的、不可修補的威脅暴露。
3）通過攻擊者的視角進行權衡來驗證企業(yè)暴露和補救優(yōu)先級。
4）將預期結果從戰(zhàn)術和技術響應轉變?yōu)榛谧C據(jù)的安全優(yōu)化，并得到改進的跨團隊支持。
Gartner將CTEM與安全驗證都劃分在響應性生態(tài)系統(tǒng)這一類別中，即認為趨勢之間有著一定的共性，共同作用于對威脅的敏捷響應。因此可以看到，CTEM也包含了通過攻擊者視角來驗證企業(yè)威脅暴露和補救的優(yōu)先級這一舉措，與安全驗證的理念如出一轍。
3.新的趨勢對CISO提出了新的要求
“CISO必須審查過去的網(wǎng)絡安全事件、安全控制手段的違規(guī)配置和例外的請求，以確定網(wǎng)絡安全引發(fā)的摩擦的主要源頭，并確定在哪里可以通過更以人為中心的防御手段的重新設計來減輕員工的負擔，或者取消那些增加摩擦并對顯著降低風險的安全控制措施。”
“CISO必須修改其網(wǎng)絡安全的運營模式，以整合工作的完成方式。”
“為了滿足領導層的期望，網(wǎng)絡安全運營模式必須轉型以支持和加速業(yè)務成果，并且不給業(yè)務和IT帶來不必要的網(wǎng)絡安全風險或摩擦”。
SRM領導者必須鼓勵董事會積極參與網(wǎng)絡安全決策，擔任戰(zhàn)略顧問，為董事會采取的行動提供建議，包括安全預算和資源的分配。
Gartner的報告中多次用到了“CISO必須……”之類強調性的語句，無論是出于“以人為中心的安全設計”，還是從“轉變網(wǎng)絡安全運營模式以支持價值創(chuàng)造”這一趨勢出發(fā)，亦或是出于董事會對網(wǎng)絡安全的日益關注，必須承認，組織期望CISO在組織的價值創(chuàng)造中承擔更艱巨的任務，甚至已經(jīng)為CISO設定了一個成功的標準。
這些“必須”既是組織對CISO的期望，也是塞訊驗證的使命所在。塞訊安全度量驗證平臺為CISO提供決策所需的數(shù)據(jù)支撐，提供管理層視角的可視量化數(shù)據(jù)，幫助CISO定位安全防御措施的不足之處，優(yōu)化預算和資源配置。
Gartner年度安全趨勢作為行業(yè)風向標，對安全行業(yè)有著重要的指引意義。報告中所提出的多項趨勢，以及Gartner所強調的“攻擊者視角”、“安全計劃的可持續(xù)性和平衡性”“技術安全能力提供的可見性和響應能力”等關鍵詞，都與塞訊驗證的理念高度一致。塞訊驗證憑借其前瞻性的視角和業(yè)內(nèi)突出的技術水平，已經(jīng)為各行業(yè)多家頭部企業(yè)提供了安全驗證解決方案，幫助企業(yè)安全建設提質增效。
