2022年Gartner安全与风险管理峰会热点汇总

2022年Gartner安全与风险管理峰会伦敦站于9月14日结束。该活动讨论了许多企业界非常关注的网络安全和风险管理热点议题,例如:

  • 解决关键的战略要务,例如制定敏捷的安全战略
  • 培养以人为本的安全意识文化
  • 风险责任权力下放
  • 建立一个新的简化的网络安全网格架构

随着全球企业加速向数字化和敏捷运营转型,企业的风险状况正在发生巨变。Gartner此次会议重点讨论了企业必须在2023年之前建立的新安全环境,这包括重新审视和思考当前的安全和风险评估思维,简化程序和组织层面的安全保障,并建立安全意识文化。

以下是为期三天的安全会议的主要亮点。

十个核心风险管理实践

安全和风险管理(SRM)高管正在努力推动其网络和IT风险管理流程超越风险评估。Gartner副总裁分析师Jie Zhang认为SRM高管可以使用以下十个核心风险管理实践来确保其公司IT风险管理目标的成功:

  • 确定控制要求
  • 进行业务影响分析
  • 定义风险参数和风险管理策略
  • 进行风险评估和评估控制
  • 在风险登记册中记录风险并持续沟通
  • 在项目生命周期中嵌入风险评估、安全测试和治理
  • 投资于减少技术债务
  • 确定范围
  • 监控损失风险和其他指标
  • 嵌入组织范围内的风险处理态度

云安全的关键战略和要点

云安全是一项关键责任。然而,公共云服务提供商自身导致了许多独特的威胁。在本次会议上,Gartner高级总监分析师Charlie Winckless强调了解决基础设施即服务(IaaS)和软件即服务(SaaS)的主要安全难题。Gartner提出了企业云安全战略的四个关键步骤:

云安全的关键要点

  • 在采用云计算的早期阶段,一些企业开始在云中采用传统的安全技术。这种策略可能在短期内有效,但是当应用程序和DevOps团队采用云原生服务时,传统的安全技术可能无法服务于这些用例。
  • 资源保护、云配置、工件扫描和DevSecOps支持都必须在云原生安全中得到解决。
  • 云原生企业及其安全投资可以提供对未来安全状况的洞察。
  • 使安全性与底层架构和业务的重要性保持一致,没有万灵药。
  • 由于云安全功能可能会更新且适应性更强,因此请在适当的时候将它们整合到您的本地系统中。
  • 更多地考虑云安全愿景,未来的技术和趋势可能包含:云提供商成为安全提供商、安全或策略即代码、数据和云主权、机密计算等。

如何有效地准备和应对不断变化的威胁环境

攻击者正在根据企业的发展动态调整他们的方法和计划,威胁环境也在演变。Gartner副总裁分析师Jeremy D’Hoinne为安全和风险管理高管提供了重要的建议,以应对顶级、高级和新兴威胁。Gartner建议安全和风险管理人员关注三类风险:公认的常见主要威胁、高动量威胁以及新出现的、独特的和不可预测的危险。

  • 主要威胁:公司敏锐地意识到由于潜在发展而年复一年仍然存在的威胁。
  • 高动量威胁:正在上升但其意识还不能与顶级威胁相提并论的威胁。
  • 新兴威胁:较罕见、不太明显但严重到足以引起安全和风险管理主管关注的威胁。

关键要点

  • 在与主流威胁作斗争时,请密切关注那些导致脆弱面扩大的微观趋势。通过汇报这些主要威胁的微观趋势,安全团队可以争取到管理层对安全控制升级的持续投资和支持。
  • 在安全运营部门内建立系统,以分析新兴和高动量威胁的影响。从API、供应链和网络物理系统(CPS)风险开始,重点关注风险意识、暴露管理、状态验证和基本安全卫生。
  • 对于新兴和未来的威胁,专注于网络弹性并将安全与组织领导者(的战略)联系起来,以预见由于业务转型而导致的攻击面的增长。

2022年安全运营的巨变

安全运营的规划和输出方式正在发生巨大变化。Gartner副总裁分析师Pete Shoard在网络研讨会期间列举了2022年影响企业安全运营变革的关键技术、程序和服务。

企业制订2022年安全运营战略时需要重点关注以下三个方面:

  • 如何优化威胁情报和威胁搜寻的价值。
  • 能见度提升的重点是如何最大限度地减少暴露。
  • 自动化和人工智能对您的安全运营是否有现实意义。

关键要点

  • 评估威胁情报听起来很困难,事实往往也是如此。但是,您可以给情报源制订评估指标,以评估它们产生了多少可操作的指示,并衡量其是否有助于减少误报。
  • 初期可以考虑用威胁情报帮助威胁狩猎,或者填补体系空白。将威胁狩猎正式化并使之成为SecOps计划的基本功能,在日程中安排时间来完成它。
  • 攻击面、漏洞和验证是暴露控制的三大支柱。
  • 多种暴露管理技术可用于增强检测分析的广度、自动化和准确性。
  • 在投资自动化或人工智能解决方案之前,必须首先设计一个流程并配合一些资源来监控成效。

2022-2023年隐私前景预测

隐私显著影响着企业的数字化转型计划,并且是企业开发新客户参与模式和团队成员关系的核心。在会议上,Gartner副总裁分析师Nader Henein回顾了2022年及以后隐私领域的法律和技术演变,提出隐私治理的三个起点:

  • 隐私体验:隐私体验包含通知与政策、cookie管理、CPM、对象权益管理等。
  • 隐私管理:隐私管理包括隐私映射、ROPAs、PIA自动化;关注中央数据库合规问题的可以此为起点。
  • 隐私控制:隐私控制包括发现、分类、PEC工具;试图控制流程活动的可以此为起点。

关键要点

  • 法律隐私环境正变得越来越复杂,面对这样的限制,企业不能仅仅使用清单来追求合规性,必须适应并变得更有效率。
  • 隐私部门的平均预算为220万美元,不太可能独占太多预算。因此,隐私主管必须找出合理路径并寻求其他业务部门的帮助。
  • 锁定能够帮助推进隐私计划的关键人物,然后确定这些利益相关者在未来两到三年内的重要目标,看看您是否可以与之匹配的一项或多项(隐私)功能。
  • 隐私控制是以数据为中心的工具,可以在数据级别获得洞察力并实现管理,例如自动数据查找和映射工具,类似于计时器或健身追踪器。
  • 它们通常被称为隐私平台或隐私管理系统,是合规相关文书工作的主要存储库。这些技术有助于评估风险、处理运营文档以及创建隐私计划报告。
  • 隐私用户体验包括显示和管理通知和政策声明、记录消费者同意和偏好以及处理主体权利请求的功能。

前一篇淬炼显真章|云山雾隐获首届CSA西塞杯零信任攻防挑战赛“最佳防御”
后一篇周刊 | 网安大事回顾(2022.9.12—2022.9.18)