2022年,，在日趨實戰(zhàn)化,、高動態(tài),、高強(qiáng)度對抗的網(wǎng)絡(luò)安全環(huán)境中,，網(wǎng)絡(luò)安全廠商和企業(yè)用戶都在重新思考和評估新的安全技術(shù),、安全戰(zhàn)術(shù)和安全策略,。

　　2023年，將是企業(yè)數(shù)字化發(fā)展的關(guān)鍵年,，隨著企業(yè)面臨越來越大的發(fā)展壓力,，唯有優(yōu)化網(wǎng)絡(luò)安全建設(shè)與運(yùn)營工作，才能更好地適應(yīng)宏觀經(jīng)濟(jì)形勢挑戰(zhàn),，實現(xiàn)預(yù)期增長目標(biāo),。日前，IT領(lǐng)域?qū)I(yè)媒體VentureBeat采訪了多家知名科技公司的CISO,，就2023年企業(yè)網(wǎng)絡(luò)安全威脅發(fā)展態(tài)勢和重點工作進(jìn)行了展望和預(yù)測,。

　　對短期的安全態(tài)勢保持悲觀

　　—— Phil Venables  | 谷歌云 CISO

　　2023年，如何保護(hù)國家技術(shù)基礎(chǔ)設(shè)施免受惡意攻擊將受到主管機(jī)構(gòu)的更多關(guān)注,，因此我們預(yù)計,，將會有更多的安全防護(hù)政策頒布實施。

　　作為業(yè)務(wù)覆蓋全球的科技巨頭企業(yè),，Google的安全管理部門將會和有關(guān)政府機(jī)構(gòu)進(jìn)行更深層次的協(xié)調(diào)與溝通,，有效落實政府部門對于大型科技企業(yè)的保護(hù)性安全機(jī)制要求。在此背景下,，公共部門和私營組織需要進(jìn)一步加強(qiáng)知識共享,，提高透明度，并增強(qiáng)防護(hù)新型威脅攻擊的能力,。

　　2023年,，由于惡意攻擊引發(fā)的威脅形勢可能會變得更糟糕，這需要在技術(shù)基礎(chǔ)設(shè)施方面相應(yīng)的增加投入,。惡意網(wǎng)絡(luò)攻擊在2023年只會有增無減,。盡管我們對長期的網(wǎng)絡(luò)安全建設(shè)發(fā)展抱以樂觀，但對短期的態(tài)勢卻需要保持悲觀預(yù)期,。受到宏觀經(jīng)濟(jì)態(tài)勢的影響,，可能很多企業(yè)組織在明年的安全建設(shè)投入會更謹(jǐn)慎，這對遏制越來越多的網(wǎng)絡(luò)威脅將是一個難題。

　　打造積極的安全文化

　　—— CJ Moses  | AWS CISO

　　AWS在構(gòu)建安全服務(wù)時一貫會高度重視客戶的應(yīng)用體驗,，我們認(rèn)為,，安全建設(shè)不只是使用最好的安全工具，更需要打造積極的安全文化,。展望2023年,，AWS安全團(tuán)隊將繼續(xù)為組織和用戶提供創(chuàng)新的網(wǎng)絡(luò)安全服務(wù)，以解決業(yè)務(wù)健康發(fā)展問題,，同時幫助客戶確立安全第一的數(shù)字化發(fā)展觀念,。

　　為此，我們需要向所有人普及安全意識,，同時吸引背景各異的一流網(wǎng)絡(luò)人才,，通過導(dǎo)師輔助、實習(xí)生計劃和認(rèn)證機(jī)會來培養(yǎng)更多的網(wǎng)絡(luò)安全人才,，進(jìn)一步提高安全防護(hù)的自動化程度,，并致力于建設(shè)充滿活力的網(wǎng)絡(luò)安全員工隊伍。

　　應(yīng)著眼更長遠(yuǎn)的未來

　　—— Bret Arsenault  | 微軟 CISO

　　網(wǎng)絡(luò)安全建設(shè)是一個持續(xù)的,、系統(tǒng)性的工作,，因此作為安全專業(yè)人員，如果僅僅關(guān)注和預(yù)測2023年的威脅挑戰(zhàn)是不夠的,，我們需要展望未來5年到10年的發(fā)展態(tài)勢,，為新型安全威脅出現(xiàn)做好準(zhǔn)備。如果安全建設(shè)長期處于被動追趕和已發(fā)生的事件處置,，那么只會更容易受到攻擊,。

　　在微軟之前的發(fā)展預(yù)測中，我們認(rèn)為云時代會很快到來,，傳統(tǒng)密碼技術(shù)將面臨挑戰(zhàn),，因此我們提前做好了計劃和準(zhǔn)備。現(xiàn)在,，我們認(rèn)為目前廣泛應(yīng)用的MFA可能變得不再安全,，企業(yè)組織需要盡快做好應(yīng)對計劃和準(zhǔn)備，企業(yè)的安全管理者需要站在攻擊者的角度去思考,。

　　攻擊面管理將更加復(fù)雜

　　—— Koos Lodewijkx  | IBM CISO

　　2023年將至，我們的團(tuán)隊正在積極致力于適應(yīng)不斷變化的威脅環(huán)境,，我們看到勒索軟件攻擊和針對關(guān)鍵基礎(chǔ)設(shè)施的破壞性攻擊正在成倍增長,，這種趨勢在短期內(nèi)不會改變。同時,，隨著企業(yè)組織的網(wǎng)絡(luò)攻擊面變得更復(fù)雜,、更分散，做好攻擊面管理工作變得更重要。關(guān)注并加強(qiáng)攻擊面管理以發(fā)現(xiàn)和修復(fù)高優(yōu)先級漏洞,，并及時進(jìn)行企業(yè)環(huán)境中的威脅檢測和響應(yīng),，這樣可以搶在攻擊者得逞之前迅速發(fā)現(xiàn)和阻止對方。

　　展望2023年,，我們會迎來更多非常新穎的人工智能技術(shù)創(chuàng)新應(yīng)用,，這些創(chuàng)新在網(wǎng)絡(luò)防御領(lǐng)域有很大潛力。我們正在與IBM研究部門,、IBM安全產(chǎn)品部門的同事密切合作,，探索網(wǎng)絡(luò)安全領(lǐng)域中全新的人工智能應(yīng)用場景。

　　繼續(xù)做好安全的基本面

　　—— Kevin Cross  | Dell CISO

　　展望2023年,，我和戴爾公司安全團(tuán)隊的首要任務(wù)并不是關(guān)注當(dāng)下的最新安全技術(shù)應(yīng)用趨勢,，而是會繼續(xù)做好公司內(nèi)部的網(wǎng)絡(luò)安全基本功。我們必須做好安全防護(hù)的基本面,，因為威脅分子善于利用并不復(fù)雜的安全弱點發(fā)起攻擊,。

　　如果基本面沒做到位，安全防護(hù)也將無從談起,。我們會首先確?；A(chǔ)性的攔截和應(yīng)對機(jī)制能夠充分發(fā)揮功效，以便在應(yīng)對層出不窮的威脅時保持從容狀態(tài),。

　　網(wǎng)絡(luò)安全人才匱乏阻礙了許多公司做好安全基本面,。如今，沒有多少員工擁有防護(hù),、檢測和應(yīng)對網(wǎng)絡(luò)威脅的專業(yè)安全技能,。因此，我們將注重提升安全團(tuán)隊的專業(yè)能力培養(yǎng),，提供持續(xù)培訓(xùn)和教育,，同時支持他們的職業(yè)道路和興趣愛好。

　　倡導(dǎo)開放式的安全建設(shè)

　　—— Mandy Andress  | Elastic CISO

　　網(wǎng)絡(luò)安全并不只是技術(shù)性的工作,。2023年,，網(wǎng)絡(luò)安全團(tuán)隊的一種重要工作就是要更好地了解組織在技術(shù)層面和人員層面協(xié)同配合方面的薄弱環(huán)節(jié)。因為,，當(dāng)前的惡意攻擊者越來越多的利用這些弱點來開展攻擊,。事實再三證明，人是安全鏈條中最薄弱的一環(huán),，企業(yè)應(yīng)重視對IT專業(yè)人員進(jìn)行適當(dāng)?shù)呐嘤?xùn),，同時為他們配備合適的系統(tǒng)以實現(xiàn)流程自動化。

　　為了克服那些在技術(shù)層面難以解決的問題,，企業(yè)組織需要進(jìn)一步倡導(dǎo)開放式的安全建設(shè),，讓安全從業(yè)人員能夠查看應(yīng)用系統(tǒng)的底層代碼,，并了解其在實際工作環(huán)境中的工作狀態(tài)。這將幫助安全團(tuán)隊識別潛在盲點,，并堵住安全技術(shù)架構(gòu)的缺口,，同時更好的剖析安全威脅風(fēng)險。

　　由于新冠疫情和遠(yuǎn)程工作環(huán)境等因素影響,，企業(yè)員工需要使用新技術(shù)來實現(xiàn)數(shù)字化的辦公方式,，但他們的安全意識卻可能滯后，這就需要進(jìn)一步加強(qiáng)網(wǎng)絡(luò)安全意識培養(yǎng),，并在公司中構(gòu)建網(wǎng)絡(luò)安全文化,。

　　提前做好網(wǎng)絡(luò)安全預(yù)防措施

　　—— John McClurg  | BlackBerry  CISO

　　根據(jù)美國政府頒布的14028號行政令，為政府部門提供軟件的公司首先要考慮的是編制軟件材料清單（SBOM）,，因為針對軟件供應(yīng)鏈的攻擊通常是從訪問最薄弱的環(huán)節(jié)開始的,。在2023年，新的安全軟件開發(fā)實踐將會不斷涌現(xiàn),，如何確保各種類型的企業(yè)組織遵循這些實踐很重要,。

　　2023年，我們還將致力于克服網(wǎng)絡(luò)安全建設(shè)中普遍存在的專業(yè)技能短缺問題,。面對人才儲備告急的形勢,，提前采取網(wǎng)絡(luò)安全預(yù)防措施將成為企業(yè)防范惡意攻擊的有效手段之一，這樣在面對突發(fā)性的安全事件時,，不會因為一線安全員工數(shù)量不足導(dǎo)致慌亂和失誤,。

　　簡化安全運(yùn)營流程和人工操作

　　—— Jason Clark  | Netskope CISO

　　隨著網(wǎng)絡(luò)威脅的發(fā)展以及企業(yè)數(shù)字化轉(zhuǎn)型的深入，現(xiàn)代企業(yè)的網(wǎng)絡(luò)安全運(yùn)營工作正變得無比復(fù)雜,，超過了很多企業(yè)安全團(tuán)隊的實際承受能力,。在2023年，通過應(yīng)用自動化技術(shù),，簡化安全運(yùn)營中的人工操作將幾乎是所有CISO及其團(tuán)隊的工作重心,。在此過程中，我們會優(yōu)先評估以下方面因素：

　　安全建設(shè)的頭號敵人是復(fù)雜性,，因此在策略設(shè)計時就要關(guān)注并考慮運(yùn)營流程的簡化性,；

　　組織在實施安全控制措施的時候，應(yīng)該同時考慮其給帶來安全運(yùn)營帶來的阻力,；

　　重新梳理安全流程,，擯棄那些并不必要的安全控制措施。

　　保障安全控制措施的覆蓋面和有效性

　　—— Brian Spanswick  | Cohesity CISO

　　2023年,，我們的工作重心將側(cè)重于提升主要安全控制措施的覆蓋面和有效性,。最近幾起影響重大的安全事件表明，攻擊者只需要利用安全環(huán)境中的基本漏洞,，就可以訪問關(guān)鍵系統(tǒng)和敏感數(shù)據(jù),。我們同時將繼續(xù)致力于為所有員工提供安全意識培訓(xùn)和社會工程攻擊方面的教育，通過加強(qiáng)安全意識來形成和保持減小威脅暴露面所需的“肌肉記憶”,。

　　我們另一個重心是繼續(xù)關(guān)注憑據(jù)管理,，這包括加強(qiáng)基于角色的訪問控制、最低權(quán)限訪問和適當(dāng)?shù)拿艽a管理,。這個方面需要不斷加強(qiáng)管理,，才能確保環(huán)境變化后，憑據(jù)管理依然保持在預(yù)期的應(yīng)用水平,。

　　加強(qiáng)軟件供應(yīng)鏈安全建設(shè)

　　—— Niall Browne  | Palo Alto Networks CISO

　　在過去幾年中,，企業(yè)組織的數(shù)字化轉(zhuǎn)型快速發(fā)展，數(shù)字化程度大大提高,，這讓軟件供應(yīng)鏈安全防護(hù)受到廣泛的關(guān)注,。Log4j漏洞攻擊已經(jīng)表明了這類攻擊的危害性，一個脆弱的代碼庫就能影響成數(shù)千家公司,。而這類攻擊不會銷聲匿跡,，并會在今后幾年急劇增多。

　　2023年,，我們不僅要確保自身的軟件應(yīng)用系統(tǒng)安全可靠,，還要確保合作伙伴的軟件供應(yīng)鏈也很安全。企業(yè)CISO的當(dāng)務(wù)之急是,，為組織使用的所有代碼庫,、應(yīng)用程序和第三方應(yīng)用提供安全防護(hù)。

更多信息可以來這里獲取==>>電子技術(shù)應(yīng)用-AET<<