近日，IT領域的專業媒體采訪了一些頂級技術公司的CISO，就2023年的網絡安全優先事項和預測做出了概述。
1. 谷歌云CISO Phil Venables
惡意行為會進一步加劇，而對技術基礎設施的投資也會相應地增加。
2023年，如何保護國家技術基礎設施免受惡意攻擊將受到聯邦政府的更多關注。在未來一年里，我預計拜登政府將在2021年《關于改善國家網絡安全的行政命令》和2022年《國家安全備忘錄》之后實施一系列連貫的政策。
盡管公共和私營部門的合作最近有所增長，但各機構和大型技術機構之間必須進行更深層次的協調與溝通。可以合理地預期，政府可能會在機構和大型技術組織之間實施更多的安全檢查點，以反映其滿足合規性的進展。隨著這些措施的實施，我們預計將看到公共和私營組織之間的知識共享進一步加強，從而提高透明度并增強防護新型威脅攻擊的能力。
考慮到惡意行為會進一步加劇，對技術基礎設施方面的投資也會相應地增加。2022年惡意活動不斷增加的情況將繼續延續到2023年。盡管我們對長期的網絡安全建設發展抱以樂觀，但對短期的態勢卻需要保持悲觀預期。受到宏觀經濟態勢的影響，可能很多企業組織在明年的安全建設投入會更謹慎，這對遏制越來越多的網絡威脅將是一個難題。
2023年，我們預計在IT現代化方面的投資將會增加，特別是隨著惡意活動的復雜性持續上升。在現代化的IT環境中，安全將成為基礎設施的“內置”元素，而非“附加組件”，因此，即便面臨短期挑戰，IT現代化的長期利益還是可觀的，是緩解不斷演變的網絡威脅的關鍵所在。
2. AWS CISO CJ Moses
安全不僅要從使用最好的安全工具開始，還要從建立安全文化開始。
AWS在構建安全服務時一貫會高度重視客戶的應用體驗，我們認為，安全不僅始于使用最好的安全工具，還始于構建安全文化。
展望2023年，AWS安全團隊將繼續為用戶提供創新的網絡安全服務，幫助客戶優先建立安全第一的思維，具體建議如下：
對每個人進行安全教育——無論他們的角色或職稱——對安全運營而言至關重要。這包括從軟件開發人員到客戶代表，再到高管層的所有人。
使用一種共同的語言談論安全意味著積極地教育每個人了解安全最佳實踐、期望和風險。當人們接受安全教育時，他們就有能力做出更好的決策，從而產生積極的安全結果和更好的客戶體驗。
教育只是一個開始。建立安全第一的文化還需要將知識與行為結合起來。在安全第一的文化中，開發人員在編寫一行代碼之前會考慮安全問題;產品經理在設計新產品或服務之前會考慮安全問題;高層決策者考慮的是安全風險會如何影響利潤。最重要的是，安全第一的文化使他們所有人都能思考安全對他們的客戶體驗有多么重要，以及為什么適當的安全投資對業務至關重要。
吸引來自不同背景的優秀人才，培養安全領袖，加強安全第一的文化。如今的員工希望公司提供明確的職業發展道路、技能提升和領導力發展的機會。通過指導、學徒計劃和認證機會來提升人才技能，建立一個包容和協作的環境，改善業務，為客戶提供更多價值。
盡可能地實現自動化有助于構建者專注于為客戶解決高價值問題。像自動推理和機器學習這樣的技術不僅可以為構建者節省時間，而且還可以快速發現未知的安全風險，幫助企業更好地保護他們的基礎設施、應用程序和客戶。
投資一支充滿活力的員工隊伍。過去兩年的經歷告訴我們，人們希望在工作地點上保持靈活性和選擇權。確保員工使用的工具和環境的安全——無論他們位于何處——有助于保證企業的安全。但需要強調的是，確保所有員工的安全應該是簡單的、無摩擦的、盡可能自動化的。
總之，這些優先事項可以幫助企業通過關注團隊中的人員和文化來改善其安全態勢。使用最好的安全工具有助于為安全運營打下堅實的基礎。但是，提高安全的門檻意味著要在這個基礎上建立支柱，使有安全意識的人得到授權，并能夠在一種安全第一的文化中工作。
3. 微軟 CISO Bret Arsenault
作為安全專業人士，僅僅關注和預測2023年將發生什么是不夠的。我們需要展望未來5年到10年的發展態勢，并為這些威脅做好準備，因為如果你一味追趕，只能落入下風，很容易受到攻擊。
在微軟之前的發展預測中，我們認為云時代會很快到來，傳統密碼技術將面臨挑戰，因此我們提前做好了計劃和準備。現在，我們認為目前廣泛應用的MFA可能變得很脆弱，企業組織需要為此制定計劃。總之，你得像個黑客一樣思考。
4. IBM CISO Koos Lodewijkx
過去兩年發生的事件清楚地提醒我們，我們的安全在多大程度上依賴于其他國家的安全——供應鏈、合作伙伴和開源。
在為2023年做準備時，我們的團隊正專注于適應不斷變化的威脅環境，因為勒索軟件攻擊和針對關鍵基礎設施的破壞性攻擊正在成倍增長，而且這種趨勢在短期內不會改變。
隨著攻擊面變得越來越復雜和分散，更重要的是關注攻擊面管理，以發現和修復高優先級漏洞，并及時進行企業環境中的威脅檢測和響應，這樣可以搶在攻擊者得逞之前迅速發現和阻止對方。
展望未來，我們會迎來更多非常新穎的人工智能技術創新應用，這些創新在網絡防御領域擁有巨大潛力。我們正在與IBM研究部門和IBM安全產品部門的同事密切合作，探索網絡安全領域的新穎AI用例，這些用例遠遠超出了目前已付諸實踐的那些。
5. Elastic CISO Mandy Andress
一個關鍵的優先事項將是更好地了解組織在其安全態勢的技術和人員方面的交叉點的脆弱性。
考慮到最近和過去的網絡攻擊，就像我們在SolarWinds、Okta和其他公司身上看到的那樣，安全團隊的一個關鍵優先事項將是更好地了解其組織在安全態勢的技術和人員間的交叉點的脆弱性。當前的漏洞和惡意行為者都越來越專注于利用技術和人員交叉的拐點。
為了解決任何技術弱點，我相信更多的組織將需要開始在開放環境中開發安全，這使安全從業者能夠看到產品的底層代碼，并理解其在他們的環境中是如何運行的。這將幫助安全團隊識別潛在的盲點，并解決安全技術堆棧中的空白，同時為新的和正在出現的威脅開發風險預測。
安全中的人員因素要稍微微妙一些，因為它更難以預測。某些因素(如大流行和遠程工作環境)使人們比以往任何時候都更多地與技術聯系和互動，但這并不一定使他們更具安全意識。
6. 黑莓CISO John McClurg
對網絡安全采取“預防優先”的方法將成為企業防范惡意行為者的最佳方法之一。
根據拜登總統頒發的14028號行政命令，為美國政府提供軟件的公司首先要考慮的是制定軟件材料清單(SBOM)，因為他們要管理這些新要求的細節和影響。
對軟件供應鏈的攻擊往往是從訪問最薄弱的環節開始的。隨著我們步入新的一年，根據新的安全軟件開發實踐的要求，讓各種規模的企業參與進來至關重要。
安全領域的領導者也將專注于填補他們的網絡安全技能短缺。面對不斷擴大的網絡安全人才缺口，在網絡安全方面采取“預防優先”的方法最終是企業防范惡意行為者的最佳方式之一，因為我們所面臨的威脅與所需安全人員之間的差距將越來越大。
7. Palo Alto Networks CISO Niall Browne
最重要的是，不僅要確保您自己組織的軟件供應鏈是安全的，還要確保與您有業務往來的公司的軟件供應鏈也是安全的。
在過去的幾年里，我們看到每個組織都變成了數字企業。但另一方面，組織在數字化方面的顯著發展在一定程度上促進了惡意行為者利用脆弱的軟件供應鏈。Log4j攻擊向我們展示了這些攻擊的危害性，一個脆弱的代碼庫足以影響數千家公司。
糟糕的是，這些類型的攻擊非但不會消失，還將在未來幾年呈指數級增長。Gartner預測，到2025年，全球45%的組織的軟件供應鏈將遭遇攻擊，比2021年增加三倍。
因此，最重要的是，不僅要確保您自己組織的軟件供應鏈是安全的，還要確保與您有業務往來的公司的軟件供應鏈也是安全的。對于每一位CISO來說，最優先考慮的是對組織使用的每一個代碼庫、應用程序和第三方進行適當的安全防護。
8. Dell CISO Kevin Cross
我們必須出色地執行安全基礎操作，因為威脅行為者通常會利用這些漏洞侵入、橫向移動并破壞網絡環境。
展望2023年，我們的首要任務并不是關注當前的最新安全技術應用趨勢，而是會繼續做好網絡安全的基礎衛生工作。我們必須出色地執行這些基本操作，因為威脅行為者善于利用這些薄弱緩解侵入、橫向移動并破壞環境。
如果基本操作不健全，安全防護也將無從談起。我們會不斷地確保基礎性的攔截和應對機制能夠充分發揮功效，以便在應對層出不窮的威脅時保持從容狀態。
對許多組織來說，網絡安全人才匱乏阻礙了安全基本知識的獲取和執行。在現有的勞動力中，很少有人具備防護、檢測、響應和從網絡威脅中恢復所需的專業網絡安全技能。因此，我們將注重提升安全團隊的專業能力培養，提供持續培訓和教育，同時支持他們的職業道路和興趣愛好。
9. Arctic Wolf CISO Adam Marré
無論是供應商方面的團隊還是內部專家，擁有合適的團隊應該是所有公司的優先事項。
由于網絡攻擊持續影響全球各地的組織，領導者應該繼續投資于網絡安全人才，并關注網絡安全的基礎衛生工作。盡管新技術不斷涌現，旨在解決不同的攻擊載體，但專注于成功執行網絡安全的基礎衛生工作仍然是最有效的戰略。
《Verizon數據泄露調查報告》和其他安全事件報告顯示，大多數成功的攻擊都涉及使用憑據或利用已有安全補丁的軟件漏洞。這意味著大多數組織仍然沒有執行基礎的安全憑據處理和補丁/漏洞管理。
為了確保完成這些基礎操作，組織需要一支專注于安全的團隊。無論是供應商方面的團隊還是內部專家，擁有合適的團隊應該是所有公司的優先事項。
10. CyCognito CISO Anne Marie Zettlemoyer
和大多數公司一樣，我們必須最大化安全資源和投資;因此，安全“左移”——將安全盡早納入產品的開發流程中——至關重要。
作為一家技術公司，我們面臨著一項重要的責任，那就是確保我們所構建的東西及其構建方式對公司和我們所服務的每位客戶都是安全的。我們感謝客戶賦予我們的信任，并努力將安全構建到我們所做的每一件事中。
和大多數公司一樣，我們必須最大化安全資源和投資;因此，安全“左移”——將安全盡早納入產品的開發流程中——至關重要。這樣一來，我們將能盡早發現缺陷，以便更快、更有效的實施補救，從而減少MTTR并降低成本。
我們利用在安全和工程方面的專業知識，開發安全、可靠和值得信賴的工具;我們利用自己的平臺來確保我們不僅對自己的動態攻擊面有很好的了解，還會定期測試我們的應用程序、機器和云實例的可靠性，以便以主動的方式管理風險，并領先于攻擊者。
11. Tessian CISO Josh Yavor
在攻擊者眼中，并沒有所謂的工作和生活的界限。
2023年，CISO需要專注于如何在公司系統之外保護員工。我們越來越多地看到，攻擊者利用員工的個人網絡——通過領英、短信或個人電子郵件賬戶——進行社會工程詐騙，目標是破壞企業網絡環境。
例如，如果一名員工的筆記本電腦被侵入，攻擊者通常可以訪問該員工的個人電子郵件，然后試圖通過社會工程讓其雇主的IT團隊賦予他們訪問權限。
攻擊者并不會尊重員工工作和生活的界限，所以，很明顯，安全需要擴展到企業網絡之外，但有一個重要的平衡，CISOs和安全領導者需要達成。我們如何不僅在工作上支持員工，而且在他們的個人生活中也支持他們，同時還尊重他們的個人設備和賬戶隱私?
12. Netskope CISO Jason Clark
安全性最大的敵人是復雜性。
最近與我交談過的幾乎每一位首席信息官都有同樣的優先考慮事項：簡化安全操作。由于預算整合，技術堆棧變得過于復雜，無法長期可持續發展，它們正被迫簡化安全。以下是我建議你首先評估的幾個方面：
安全建設的頭號敵人是復雜性，因此在策略設計時就要關注并考慮運營流程的簡化性。在許多情況下，存在太多的安全控制，而沒有考慮到由此給業務帶來的摩擦。通過簡化流程，您還可以消除一些不必要的控制措施。
13. Lightspin CISO Jonathan Rau
由于社會工程攻擊，基于推送的MFA(即MFA疲勞攻擊)已被證明是MFA的一個薄弱實現。
2022年，一種稱為“MFA”疲勞攻擊(又名“MFA推送垃圾郵件”)的社會工程技術在威脅行為者中越來越受歡迎。Lapsus$和Yanluowang威脅行為者更是成功使用這種類型的社會工程技術攻破了微軟、思科和優步等大型知名組織。
到2023年，需要對MFA的實現方式和位置進行投資和深入分析，捕獲日志細節并制定基于風險的策略控制，以防止MFA疲勞攻擊。
14. ExtraHop CISO Jeff Costlow
民族國家行為體將會升級他們在憑據填充(credential stuffing)方面的企圖。
個人社交媒體賬戶的用戶名和密碼仍然占據泄露數據的很大一部分。2023年，使用這些泄露憑據(包括企業賬戶)的更具針對性的賬戶接管攻擊嘗試將會增加。更具體地說，民族國家行為體將會升級他們在憑據填充方面的企圖。
15. Cobalt CISO Andrew Obadiaru
幾乎每個組織都有收集和存儲客戶的敏感數據，這些數據的安全和防護將仍是2023年的一個關鍵優先事項。
由于勒索軟件仍然是企業數據安全的頭號威脅，CISO應該優先強化安全監控能力并建立防御機制。
另一個重點是安全分析。考慮到實時威脅的規模和速度，傳統的基于規則的安全信息和事件管理(SIEM)已遠遠不足。為了更好地應對2023年，CISO應將數據分析集成到安全監控和警報分析中。
擺脫不掉的問題，“我們是否已經竭盡全力來保護我們自己和我們的客戶?我們是否可以采取其他措施?”真的讓我夜不能寐。事實是，我們已經實施了一些安全措施，我們將繼續評估這些措施是否充分。
16. Darktrace CISO Mike Beck
鑒于日趨緊張的預算限制，CISO在建立有效的安全計劃方面將面臨一些艱難的選擇。
每年，網絡攻擊者都在不斷創新，以提高他們實施攻擊的能力和效率。
受到金錢利益誘惑的網絡犯罪分子，受到地緣政治緊張局勢驅動的民族國家行為體，情報收集的可能性，全球組織面臨的攻擊正在繼續擴大。全球企業的CISO在每一個網絡安全決策中都必須應對這種背景。
在全球經濟放緩的通貨膨脹環境下，鑒于預算日益緊張，CISO在建立有效的安全計劃方面將面臨幾個艱難的選擇。
許多公司將沒有能力繼續投資可以手動操作安全功能的大型安全團隊，而不得不將人工智能視為力量的乘數器。獲得全面的人工智能驅動的安全解決方案，整合作為網絡安全項目補充的外包服務，以及保留關鍵的安全人才，將是CISO在2023年的主要目標。
17. Corelight CISO Bernard Brantle
我在未來一年的首要任務是通過人員因素加強網絡安全。
2023年降至，面對不斷變化的威脅環境，我們當前“以控制為中心”的應對方法仍然是低效的，我們必須找到一種方法來發展我們最關鍵的資產：組織中的人員(人員網絡)的安全敏感性。
安全組織需要維持許多以技術為中心的功能，以識別結構缺陷并保護組織，但同時也要為“以人員為中心”的檢測、應對和恢復功能提供支持。
18. Wiz CISO Ryan Kazanciyan
組織將與為這些機制提供不一致或不完整支持的內部系統和供應商系統作斗爭。
大規模部署抗釣魚多因素認證，并管理不可避免的差距：2022年發生的事件強調了擺脫SMS、一次性密碼(TOTP)和基于推送的多因素認證(MFA)的必要性。
抗釣魚的FIDO2 Web認證(WebAuthn)比以往任何時候都更容易使用——通過硬件令牌、內置硬件如TouchID和Windows Hello，以及最近發布的PassKeys——但組織將與為這些機制提供不一致或不完整支持的內部系統和供應商系統作斗爭。
“尾大不掉”的不兼容系統將迫使許多組織在未來許多年里繼續使用不安全的MFA方法來支持他們的環境。
19. GoTo CISO Michael Oberlaender
GoTo正致力于監控并持續改進自身的安全、技術和組織措施，以保護客戶的敏感信息。
除了SOC和SOC 3合規外，我們正在執行一種“設計性防御(Security by Design，SbD)”方法，致力于最小權限和身份訪問管理(IAM)、增強的多因素認證(MFA)、零信任、資產管理和自動化功能，這也將繼續成為我們未來一年的優先事項。
考慮到數據泄露的平均成本已經達到了歷史最高水平，企業需要采取一切預防措施來保護自己免受外部或內部惡意人員的攻擊，而SbD模型是無可置疑的有效方法。
20. JupiterOne CISO Sounil Yu
就我們的軟件供應鏈而言，我們無異于正在吃“毒蘋果”。
我們最近看到了一些非常高調的攻擊行為，它們濫用了MFA實現，而這些實現仍然容易受到社交工程的影響。顯然，MFA并非萬靈藥，尤其是考慮到用戶仍然容易被攻擊者誘騙交出MFA令牌。
2023年，我們應該努力讓用戶意識到這些攻擊，并改進MFA實現，使他們更有效地抵抗網絡釣魚。借用Richard Danzig的比喻，就我們的軟件供應鏈而言，我們無異于正在吃“毒蘋果”。這種藥性并不會消失，所以我們需要學習如何在這些條件下生存和發展。
意識到風險(通過SOMS等努力)和管理風險(通過出口過濾等補償控制)將是2023年和未來的優先事項。
21. Digital Shadows CISO Rick Holland
CISO應該了解公司明年的戰略目標，并尋找最小化風險和實現業務主動性的方法。
現在是為2023年制定計劃的時候，大部分焦點都集中在CISO明年應該投資哪些安全工具上。CISO不應該優先考慮安全工具，而應優先考慮2023年的業務目標。
明年的業務計劃是什么?公司是否將發布一款新產品，以產生實現收入目標所需的可觀收入?公司要拓展到一個新的領域嗎?
CISO應該了解公司明年的戰略目標，并尋找最小化風險和實現業務主動性的方法。業務風險也應該驅動CISO 2023年的優先事項。美國證券交易委員會(SEC)10-K財務報表是很好的資源，概述了業務的主要風險。
22. Netenrich CISO Chris Morale
我們可以持續地對威脅可能性和業務影響進行評分，以便對資源的最佳集中位置做出明智的決定。
我對2023年有一個優先考慮的問題——實現數據驅動的風險決策。這意味著為業務部門提供一個儀表板和趨勢指標，以了解構成攻擊面的資產、漏洞和威脅的狀態。
由此，我們可以持續地對威脅可能性和業務影響進行評分，從而對資源最好集中在何處做出明智的決定。要做到這一點，需要一個緊密集成的安全堆棧，將數據共享到單個聚合數據湖。
23. ReliaQuest CISO John Burger
2023年，我希望提高我們的量化能力，這樣我們就可以向領導層展示風險和美元之間的關聯性。
風險量化是我2023年的首要任務，因為這對確保我所有安全舉措的資金至關重要。而且，正如大多數CISO所意識到的那樣，新的安全支出并不容易獲得。
為了獲得資金支持，CISO必須能夠用美元量化潛在風險。雖然量化丟失一天應用程序的實質性影響，甚至是一次勒索軟件攻擊通常更容易，但要量化這種影響發生的概率就困難得多。
2023年，我希望提高我們的量化能力，這樣我們就可以向領導層展示風險和美元之間的關聯性。風險量化有可能提高我們與業務溝通的清晰度。
24. NS1 CISO Ryan Davis
長久以來，安全問題一直被視為事后考慮事項和成本中心。
面對不穩定的經濟環境，CISO要尋找在無需大量額外成本或投資的情況下增強安全部門影響力的方法，其中一個切實可行的方法是在組織內部發展伙伴關系。
當CISO和安全團隊能夠帶頭與其他部門建立伙伴關系時，就可以降低組織安全的總體成本——無論是與HR合作在全公司范圍內提高安全意識，還是對開發團隊進行安全方面的培訓，或者與市場營銷合作使安全成為業務差異化因素。
25. Nile CISO Krishna Athur
CISO必須努力實現安全協議的零信任。
網絡安全方法將成為未來的法律：CISO 必須積極與州和聯邦官員合作，就業務和數據安全要求教育政策制定者和立法者，以積極影響新法規的制定方式。
更重要的是，由于不同的州以不同的速度和方法采取行動，CISO應該專注于倡導聯邦官員介入，創建數據隱私和保護的國家標準。
CISO必須努力實現安全協議的零信任。CISO還必須尋找解決方案和供應商，幫助他們將零信任從一個難以實現的目標提升到一個安全標準。
26. vArmour CISO Marc Woolward
我專注于幫助客戶從內到外地了解他們的IT供應鏈。
2023年，我的首要任務之一是解決軟件供應鏈中的網絡安全和運營風險，特別是在監管機構繼續制定有關保護這一領域關鍵業務功能和機密數據的指導方針的情況下。從PyPI到Lapsus$，攻擊者正在充分利用第三方應用程序中的漏洞，而且企業無法阻止他們。
我專注于幫助客戶從內到外地了解他們的IT供應鏈——無論是他們的應用程序、數據流、代碼還是人員——并制定動態策略來控制它。
只有通過這種由內而外的供應鏈視圖(通過可觀察性技術和軟件材料清單)，我們才能全面評估企業風險及其周圍的環境，選擇優先級的安全策略，然后關閉企業軟件中容易被攻擊者利用的日常漏洞。
27. SandboxAQ CISO Nikolai Chernyy
我們需要集中精力保持良好的安全態度和積極的文化，鼓勵報告可疑活動。
在2022年，Sandbox的員工從20人增加到近100人，我們預計在2023年將達到200-300人。隨著公司的發展，在維護安全規程(例如，繼續在所有地方強制SSO)的同時，支持越來越多的平臺的壓力也日益增加。
我們沒有邊界，用戶和技術復雜性的增加導致了更多的場景可以疊加起來，允許威脅行為者進行操作。因此，我們必須格外小心，以確保遙測和隨著基礎設施和安全政策的變化而變化的規模繼續得到執行。
最后，當組織規模超過“鄧巴數字”時——是對一個人能夠保持穩定社會關系的人數的認知極限，鄧巴數字的估計值一般在100至250之間——我們需要集中精力保持良好的安全態度和積極的文化，鼓勵報告可疑活動。
28. Cohesity CISO Brian Spanswick
攻擊者正在利用基本的漏洞訪問關鍵系統和敏感數據。
2023年，我們的工作重心將側重于提升主要安全控制措施的覆蓋面和有效性。最近幾起影響重大的安全事件表明，攻擊者只需要利用安全環境中的基本漏洞，就可以訪問關鍵系統和敏感數據。
我們同時將繼續致力于為所有員工提供安全意識培訓和社會工程攻擊方面的教育，通過加強安全意識來形成和保持減小威脅暴露面所需的肌肉記憶。
我們另一個重心是繼續關注憑據管理，這包括加強基于角色的訪問控制(RBAC)、最低權限訪問和適當的密碼管理。這個方面需要不斷加強管理，才能確保環境變化后，憑據管理依然保持在預期的應用水平。
29. Azion CISO Mauricio Pegoraro
我們期望CISO比以往任何時候都更重視代碼保護。
軟件供應鏈的安全性繼續困擾著組織。我們預計，供應鏈攻擊將變得更加復雜，但我們也希望看到組織開發出復雜的解決方案來挫敗這些攻擊。
隨著供應鏈攻擊的增加，我們預計CISO將在保護軟件開發生命周期和建立形式化的補丁管理程序方面投入更多資金，以維護干凈的軟件庫。開源代碼是軟件開發創新的命脈，因此我們期望CISO比以往任何時候都更重視代碼保護。
30. Red Canary CISO Robb Reck
攻擊者比以往任何時候都更善于找到入侵環境的方法。
CISO最重要的技能是對公司內外的了解，這意味著了解如何使用技術和數據來創造價值，并盡早參與新項目。這種程度的整合并不容易，也沒有結束日期，因此應該是每個CISO在2023年優先考慮的首要事項。
除此之外，CISO明年也確實有其他重要的優先事項。
•疫情永久地改變了員工對工作的看法。所有的領導者都需要重新評估他們對員工的期望，并通過外部合作伙伴和額外招聘來擴充團隊。
•攻擊者比以往任何時候都更善于找到入侵環境的途徑，并利用這種途徑進行勒索、知識產權盜竊或其他惡意目的。因此，組織需要專注于實現流程和技術，以幫助其快速發現并應對繞過公司安全控制的攻擊者。
31. Druva CISO Yogesh Badwe
事實一再證明，人是安全鏈條中最薄弱的一環。
2023年，領導者應該專注于培訓員工、自動化，并找到一個綜合解決方案，將安全和數據保護結合起來，以加固組織的數據安全。
將數據交給合適的人可能是棘手而復雜的事情。無數人員在數據泄露事件中扮演關鍵角色的例子證明：有人的地方就有風險，你永遠無法安全。
事實一再證明，人是安全鏈條中最薄弱的一環。為了確保在災難或攻擊后的數據恢復能力，組織應該優先考慮對IT專業人員進行適當的培訓，同時為他們配備正確的系統以實現流程自動化。
重要的是，組織應該拋棄團隊必須手動處理這些過程——從每晚備份數據到監視系統——的想法。使用非接觸式系統，團隊可以放心，他們的操作和數據總是安全的——即使災難來襲。
32. CafeX CISO Neil Ellis
生態系統的復雜性正在改變2023年的威脅格局。
我們認識到了這一點，并大力投資于監控、檢測和提供IT環境信息的解決方案。作為一名CISO，我看到安全團隊面臨的最大挑戰是如何利用這些信息并顯著減少補救時間。
我們使用我們的Challo平臺來編排和自動化事件響應，以此來加速內部和外部專家之間的協作，簡化對系統數據和文檔的安全訪問，并自動化與監測工具捕獲和報告的各種事件類型相關的工作流程。
對事件響應的投資直接解決了生態系統復雜性帶來的挑戰，并提高了過程中的敏捷性和網絡安全態勢。
關于企業網D1net(hfnxjk.com)：
國內主流的to B IT門戶，同時在運營國內最大的甲方CIO專家庫和智力輸出及社交平臺-信眾智（www.cioall.com）。同時運營18個IT行業公眾號（微信搜索D1net即可關注）。
版權聲明：本文為企業網D1Net編譯，轉載需注明出處為：企業網D1Net，如果不注明出處，企業網D1Net將保留追究其法律責任的權利。
京公網安備 11010502049343號