2023年 CISO 需要高度关注的任务和趋势

在过去的几年中，企业一直忙于应对远程办公模式下的安全要求。展望2023年，疫情局面将与过去3年大不相同。根据目前的趋势，未来一年的网络攻击的数量和严重程度都将增加，这将对各规模企业，尤其是未做好准备的企业产生重大影响。本文将结合 BlackBerry 2022威胁报告的关键结果，谈谈 CISO 们在充满挑战的2023年应当关注哪些趋势以及做好哪些准备。  

软件供应链攻击趋势递增

如果 CISO 们回顾过去几年中一些最突出的软件供应链攻击事件，无一例外地想到SolarWinds、Kaseya 和 Okta 等名字。以软件供应链为目标的攻击者经常利用在行业内和跨地域广泛使用的系统和服务来发起攻击。  

BlackBerry 的报告结果揭示了当今企业中软件供应链网络安全漏洞的严重性。80% 的 IT 决策者表示，他们所在的企业在过去12个月内收到了各种软件供应链中的攻击或漏洞通知，其中操作系统和网络浏览器产生的影响最大。在遭受攻击后，受访者报告了严重的运营中断 (59%)、数据丢失 (58%) 和声誉影响 (52%)，90%的企业甚至需要长达一个月的时间才能恢复。  

这种攻击向量通常需要技巧和计划才能执行，威胁行为者常常利用其现有资源创建定制工具和漏洞利用，执行 APT（Advanced Persistent Threat，APT）攻击，从而最大限度地提高其活动的隐蔽性和影响范围。在2022年，24×7 全天候监控和缓解能力，特别是通过托管扩展检测和响应 (XDR)，仍然是 CISO 们寻求更有效地监控和管理其软件供应链时所缺失的环节，因此在未来几年企业需要这几个方面着重强化。此外，建议 CISO 们选择同样具有创新精神的软件供应商，可以尝试与使用人工智能和机器学习等先进技术的供应商合作，以更快地消除监控及管理盲点。  

预防为主缩小安全技术差距

BlackBerry 研究显示，80%的安全领导者认为，填补专业角色在未来仍然是一个严峻的挑战，因为许多企业缺乏或不具备事件响应、云安全和恶意软件分析方面的内部专业知识。如果企业缺乏有效管理经验，即便拥有最完美的网络安全工具，也无法做到缓解或消除企业的安全风险。这个问题对于难以招聘且留住安全专业人员的小型企业来说更加严重。  

不得不提的是，全球仍有数百万个网络安全职位空缺，人才市场上根本没有足够的专家来填补这些岗位空缺，尤其是拥有人工智能和机器学习方面深厚背景的专家。面对全球人才短缺，CISO 们应采取以预防为主的方法来防范恶意攻击和网络威胁。随着面临的威胁与安全人员数量之间的差距越来越大，这一点将变得越来越重要。  

更复杂的勒索软件攻击

随着网络威胁形势越来越严峻，恶意攻击者将在下一年尝试实施更加复杂的攻击。因此 CISO 们应该做好应对准备，不断开发新的策略、技术和程序 (TTP)。此外，恶意攻击者可能会利用量子计算的网络力量来实施攻击行为。量子计算定义了一个全新且不断发展的数据进步时代，但同时也为恶意攻击者提供了新的机会与手段。因此企业的安全领导者必须确保其团队保持警惕和积极主动，努力寻找创新和创造性的方法来解决网络安全问题，永远领先攻击者一步。  

投资零信任降低人为风险

灵活工作模式的持续进行使得 CISO 们不得不持续寻找更好的解决方案来管理在不同地点进行办公的员工及其办公设备。根据Gartner 估计，信息安全和风险管理支出的总市场规模到 2023 年将超过 1880 亿美元。  

这里不得不提的是，人为因素仍然是网络安全最大的风险，这在很大程度上是由于缺乏意识、疏忽或不适当的访问控制造成的。然而单靠培训并不能解决这些问题，试图将每个人都变成网络安全专家也无济于事。因此，CISO 需要高度关注这一问题，并尝试从利用专注于缓解和阻止网络攻击的智能解决方案，过渡到预防为主的安全策略，让员工无论选择在哪里工作，都可以专注于自己的工作而不是网络安全。  

随着攻击面的扩大，建议 CISO 优先投资零信任安全措施。零信任模型假定不再有传统的网络边缘，而是采用更严格、连续和动态的用户身份验证方法，同时无缝执行此操作来避免影响用户体验。用户对资源的访问也将根据对其当前行为的实时风险评估进行动态控制，同时在每个企业网络和云应用程序入口点部署以用户为中心的安全控制，防止远程员工意外或故意违反安全策略。  

加强紧急事件管理

如之前的文章提到在今年 Uber 遭遇数据泄露事件，黑客通过在暗网市场上购买 Uber 员工的被盗凭证，成功连接到 Uber 内网并获取了 VPN 访问权限。尽管这名黑客无意造成 Uber 巨大损失，但这也暴露出一个巨大的问题，当黑客破环了企业内部通信系统，安全领导人如何与员工沟通呢？随之发生的就是企业服务台收到无数工单，员工因网络攻击而无法访问他们的电子邮件帐户。更严重些，企业在接下来的12个月内可能需要面临内部系统或运营中断的后果，例如生产力损失、对员工工作情绪的负面影响、员工流失、收入损失和工作成本增加。

鉴于此，企业应当考虑将紧急事件沟通计划作为其企业事件响应策略的重要部分，并充分了解可能影响安全或员工工作的任何运营威胁。同时加强企业内部通信系统，在紧急事件发生时及时关闭网络通知和警报，并提供可靠和安全的方式让员工保持联系，并在正确的时间共享正确的信息。  

参考链接： https://www.intelligentciso.com/2022/12/14/top-ciso-priorities-and-trends-for-2023/