在為未來一年制定網(wǎng)絡(luò)安全彈性計劃、優(yōu)先事項和路線圖時，一些安全和風(fēng)險專家對2023年的網(wǎng)絡(luò)安全趨勢進行了預(yù)測。

(資料圖)

(1)(ISC)2公司首席信息安全官 Jon France表示，對網(wǎng)絡(luò)安全保險的需求將會增加，但它將更難獲得

France說，“企業(yè)具有網(wǎng)絡(luò)安全意識有其優(yōu)點和缺點，其中一個缺點是網(wǎng)絡(luò)安全保險的保費較高。僅在2022年第一季度，網(wǎng)絡(luò)安全保險的保費與2021年第四季度相比上漲了近28%。這主要是由于人們對勒索軟件攻擊、數(shù)據(jù)泄露、漏洞利用等網(wǎng)絡(luò)事件的財務(wù)和聲譽風(fēng)險的認識有所提高。與此同時，網(wǎng)絡(luò)安全保險商對企業(yè)獲得保費的要求也更加嚴格，要求他們采用雙因素認證和采用EDR、XDR等特定技術(shù)。事實上，這些文件過去通常是兩頁的問卷調(diào)查，而現(xiàn)在它們是完整的審計報告，可能長達12頁以上。因此，提高網(wǎng)絡(luò)保險費用和提出更嚴格的保險要求將是2023年值得關(guān)注的障礙。

另一方面，由于供應(yīng)鏈問題的發(fā)生率不斷上升，我們也可能會看到需求的增加。由于這些問題，企業(yè)可能會開始越來越多地要求與他們合作的任何供應(yīng)商或第三方必須擁有網(wǎng)絡(luò)保險。正如我們已經(jīng)開始看到的那樣，隨著地緣政治問題加劇，除了企業(yè)不斷面臨的網(wǎng)絡(luò)威脅之外，還將優(yōu)先考慮保護他們最重要的資產(chǎn)(包括他們的聲譽)。2023年，網(wǎng)絡(luò)安全保險的需求將繼續(xù)增加，獲得這些保險的費用和要求也將繼續(xù)增加?！?/p>

(2)Jon France表示，經(jīng)濟衰退將導(dǎo)致培訓(xùn)項目開支的減少

France說，“盡管人們認為網(wǎng)絡(luò)安全可能是一個不受經(jīng)濟衰退影響的行業(yè)，但在經(jīng)濟衰退期間，網(wǎng)絡(luò)安全的人員和質(zhì)量很可能會受到影響。到目前為止，我們還沒有看到網(wǎng)絡(luò)安全的核心預(yù)算被削減，但在其他的領(lǐng)域(例如培訓(xùn)預(yù)算)可能會出現(xiàn)縮減。這既適用于各種規(guī)模的企業(yè)的安全意識培訓(xùn)，也適用于培訓(xùn)網(wǎng)絡(luò)安全專業(yè)人員如何充分保護其關(guān)鍵資產(chǎn)。該行業(yè)已經(jīng)面臨著技能短缺的情況，不幸的是，隨著經(jīng)濟衰退在2023年的持續(xù)，由于對熟練網(wǎng)絡(luò)安全人員的需求增加，技能短缺的情況可能會加劇?！?/p>

(3)舒達-席夢思集團信息安全和首席信息官副總裁Drew Perry表示，2023年將是動蕩的一年，因為各國和地方政府都在發(fā)布隱私法規(guī)

Perry說，“信息隱私的可見性和執(zhí)行力將會繼續(xù)提高，但各國和地區(qū)的法規(guī)并不總是相互一致。首席信息安全官將在企業(yè)風(fēng)險方面發(fā)揮更大的咨詢作用，因為他們被要求幫助瀏覽經(jīng)常相互競爭的隱私規(guī)則，以使企業(yè)盡可能接近歷史規(guī)范。明智的企業(yè)在保護收益時將會采取必要的措施，所以首席信息安全官應(yīng)該了解各種意見。在接下來的幾年里，在這些道路上游刃有余的首席信息安全官將受到追捧?！?/p>

(4)Zoom公司的首席信息官Michael Adams表示，安全領(lǐng)導(dǎo)者將加大對網(wǎng)絡(luò)彈性的關(guān)注

Adams說，“保護企業(yè)免受網(wǎng)絡(luò)威脅始終是安全計劃的核心重點領(lǐng)域，同時，我們可以預(yù)期，網(wǎng)絡(luò)彈性將得到越來越多的關(guān)注，這不僅包括安全保護，還包括在發(fā)生網(wǎng)絡(luò)事件時的恢復(fù)和連續(xù)性。企業(yè)需要不僅在防范網(wǎng)絡(luò)威脅方面投入資源，還要對人員、流程和技術(shù)進行投資，以減輕影響，并在發(fā)生網(wǎng)絡(luò)攻擊事件時繼續(xù)運營?！?/p>

(5)CardinalOps公司的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Michael Mumcuoglu表示，自動化與安全運營至關(guān)重要

Mumcuoglu說，“在2023年，我們將看到自動化進入仍然依賴人工流程的安全運營的少數(shù)剩余領(lǐng)域。這些領(lǐng)域包括威脅暴露管理，這有助于全面解決諸如‘我們?nèi)绾螠蕚鋪頇z測和響應(yīng)最有可能針對企業(yè)的對手?’的問題。另一個變得更加自動化的領(lǐng)域是檢測工程，它仍然高度依賴專業(yè)知識和部落知識。自動化不僅會降低這些風(fēng)險，還會將安全運營中心(SOC)人員從日常任務(wù)中解放出來，使他們能夠?qū)Ｗ⒂谡嬲枰祟悇?chuàng)造力和創(chuàng)新的更有趣的挑戰(zhàn)，例如威脅搜索和理解新的攻擊行為?！?/p>

(6)Solvo公司的首席執(zhí)行官Shira Shamban表示，云原生漏洞將會增加

Shamban說，“我們不僅會看到整體安全事件的增加，而且具體來說是云原生漏洞將會增加。根據(jù)2022年進行的研究，將近一半的數(shù)據(jù)泄露發(fā)生在云中。隨著企業(yè)不斷將部分或整個基礎(chǔ)設(shè)施遷移到云端，我們將看到存儲在云端的數(shù)據(jù)泄露事件的增加，從而導(dǎo)致更多的云原生安全事件發(fā)生。應(yīng)用程序必須以一種第三方可以信任的方式構(gòu)建。由于這條供應(yīng)鏈并不安全，在網(wǎng)絡(luò)攻擊者看來，在云中進行網(wǎng)絡(luò)攻擊的價值越來越大?！?/p>

(7)Theon Technology咨詢委員會成員Bryan Cunningham表示，量子解密將帶來威脅

Cunningham 說，“到2023年底，企業(yè)可能都將與量子解密的能力作斗爭。人們對未來量子解密威脅的認識在2022年有所增加，到2023年底，所有企業(yè)都將意識到他們將不得不面對這一威脅?！?/p>

(8)Hoxhunt公司的聯(lián)合創(chuàng)始人兼首席執(zhí)行官Mika Aalto表示，需要加強網(wǎng)絡(luò)安全培訓(xùn)

Aalto說，“2023年，我們將看到網(wǎng)絡(luò)安全培訓(xùn)的持續(xù)進步。人類并沒有進化到能夠發(fā)現(xiàn)數(shù)字世界中的危險，而學(xué)校也沒有教授如何防御網(wǎng)絡(luò)攻擊的方法。讓所有人具備防范網(wǎng)絡(luò)釣魚攻擊的技能是網(wǎng)絡(luò)安全人員的責任。

自動化、自適應(yīng)學(xué)習(xí)和人工智能/機器學(xué)習(xí)可以幫助企業(yè)大規(guī)模提供個性化培訓(xùn)。為什么這很重要?因為人們需要經(jīng)常參加相關(guān)的培訓(xùn)，以保持和提高他們的技能水平。觀看枯燥的相關(guān)視頻，然后進行基于懲罰的網(wǎng)絡(luò)釣魚模擬，這些措施已經(jīng)被證明不起作用。當人們在動態(tài)的學(xué)習(xí)環(huán)境中獲得技能時給予獎勵，將會帶來可衡量的技能提高。這種方法的成功基于行為科學(xué)和商業(yè)的既定原則，并將成為未來一年保護各種規(guī)模企業(yè)的關(guān)鍵。”

(9)Tigera公司的總裁兼首席執(zhí)行官Ratan Tipirneni表示，網(wǎng)絡(luò)攻擊者日益職業(yè)化

Tipirneni說，“勒索軟件即服務(wù)的可用性不斷增加，這種模式為網(wǎng)絡(luò)攻擊者提供了復(fù)雜的漏洞分布，同時將他們與交易風(fēng)險隔離開來，這將導(dǎo)致毫無準備的企業(yè)的安全狀況惡化。隨時可用的威脅和不安全的部署的綜合影響肯定會導(dǎo)致引人注目的網(wǎng)絡(luò)攻擊。在理想的情況下，這些網(wǎng)絡(luò)攻擊行為最終將使企業(yè)超越基準法規(guī)，并將安全作為一項基本工作?！?/p>

(10)Delinea公司的首席安全科學(xué)家和首席信息安全官Joseph Carson表示，人們要具備網(wǎng)絡(luò)安全知識和意識

Carson說，“構(gòu)建網(wǎng)絡(luò)安全社會的需求將會增加基本的權(quán)利。這意味著網(wǎng)絡(luò)安全知識和意識將成為2023年的首要任務(wù)。隨著越來越多的企業(yè)希望獲得網(wǎng)絡(luò)保險作為金融安全防護網(wǎng)，以保護他們的業(yè)務(wù)免受數(shù)據(jù)泄露和勒索軟件攻擊造成的嚴重財務(wù)風(fēng)險，需要制定可靠的網(wǎng)絡(luò)戰(zhàn)略才能獲得這樣的保險。

這意味著企業(yè)將在2023年持續(xù)提升網(wǎng)絡(luò)安全性。持續(xù)的遠程工作和云計算轉(zhuǎn)型意味著需要強大的訪問管理策略，并得到多因素身份驗證、密碼管理和持續(xù)驗證的支持，以降低風(fēng)險。

除了實施更好的訪問安全控制之外，企業(yè)雇主還需要增強員工更好的網(wǎng)絡(luò)安全意識。這意味著持續(xù)的培訓(xùn)和教育，以確保隨著網(wǎng)絡(luò)威脅的演變，員工了解情況并做好準備，成為網(wǎng)絡(luò)戰(zhàn)略的捍衛(wèi)者?！?/p>

(11)SlashNext公司的首席執(zhí)行官Patrick Harr表示，移動工作場所趨勢將為企業(yè)創(chuàng)造新的盲點

Harr說，“個人溝通渠道(游戲、LinkedIn、WhatsApp、Signal、Snapchat等)將在網(wǎng)絡(luò)攻擊者針對企業(yè)的攻擊路徑中發(fā)揮更大的作用。一旦個人用戶被泄露，網(wǎng)絡(luò)攻擊者就可以橫向移動，進入企業(yè)。由于電子郵件現(xiàn)在有一些保護措施，網(wǎng)絡(luò)攻擊者正把更多的注意力轉(zhuǎn)向其他通信渠道，并看到了更高的成功率。

在新的混合工作中，網(wǎng)絡(luò)安全的最大缺口來自員工的個人數(shù)據(jù)。隨著企業(yè)采用新的個人信息、交流和協(xié)作渠道，這些盲點變得越來越明顯。網(wǎng)絡(luò)攻擊者通過保護較少的個人通信渠道(例如WhatsApp、Signal、Gmail和Facebook Messenger)針對員工進行攻擊。然后，這就變成了一個從外部立足點橫向穿透企業(yè)的問題。

此外，越來越多的人同時在同一臺設(shè)備上完成工作和生活事項，這是一個重要的盲點。我認為這一趨勢將在今年加速。這一切都回到了：‘我如何驗證你是我正在與之交流的人?’或者這是可信的文件或公司網(wǎng)站鏈接嗎?

對任何企業(yè)來說，最大的威脅不再是機器安全，而是真正的人員安全因素。這就是為什么這些針對人類的網(wǎng)絡(luò)攻擊會繼續(xù)增加，因為人類容易犯錯，他們會分心，許多威脅不容易被識別為惡意的?！?/p>

(12)Keeper Security的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Darren Guccione表示，互聯(lián)設(shè)備將需要更強大的安全性

Guccione說，“物聯(lián)網(wǎng)設(shè)備的數(shù)量多年來一直在增長，并且沒有放緩的跡象。在過去三年中，由于2019年新冠疫情導(dǎo)致數(shù)字化轉(zhuǎn)型的加速以及云計算的普及，物聯(lián)網(wǎng)設(shè)備的數(shù)量呈指數(shù)級增長。2022年，全球物聯(lián)網(wǎng)市場規(guī)模預(yù)計將增長18%，物聯(lián)網(wǎng)設(shè)備將達到144億臺。隨著越來越多的消費者和企業(yè)依賴物聯(lián)網(wǎng)設(shè)備，這些設(shè)備變得更容易受到網(wǎng)絡(luò)攻擊。因此，物聯(lián)網(wǎng)設(shè)備制造商制造的數(shù)十億臺設(shè)備將需要更高的開箱即用安全性，以降低惡意軟件入侵的風(fēng)險及其對分布式拒絕服務(wù)(DDoS)攻擊的貢獻。為了防止和減輕毀滅性的網(wǎng)絡(luò)攻擊，制造商和供應(yīng)商必須在設(shè)備內(nèi)部設(shè)計安全性，將其嵌入到連接設(shè)備的每一層?！?/p>

(13)Dig Security公司的首席執(zhí)行官和聯(lián)合創(chuàng)始人Dan Benjamin表示，企業(yè)需要加強數(shù)據(jù)可見性和合規(guī)性

Benjamin說，“在2023年，首席信息安全官將優(yōu)先考慮采用解決方案，為其企業(yè)持有的數(shù)據(jù)、數(shù)據(jù)所在位置以及數(shù)據(jù)帶來的風(fēng)險提供可見性。對于安全領(lǐng)導(dǎo)者來說，這種可見性至關(guān)重要，因為他們要在高度監(jiān)管的世界中構(gòu)建項目，以滿足合規(guī)要求，并在日益具有挑戰(zhàn)性的威脅環(huán)境中保護數(shù)據(jù)。”

(14)Coalfire公司的副總裁Caitlin Johanson表示，要關(guān)注供應(yīng)鏈安全

Johanson說，“在2022年，美國面臨更多的來自國外創(chuàng)建、開發(fā)和運行的B2B和B2C技術(shù)的風(fēng)險和漏洞。這引發(fā)了許多問題，包括代碼和應(yīng)用程序來自哪里，哪些數(shù)據(jù)被放入這些應(yīng)用程序中，以及這些數(shù)據(jù)的主權(quán)是什么。2023年，我們將開始看到更多關(guān)于開發(fā)人員在哪里以及代碼來自哪里的審查，更多的企業(yè)將專注于軟件組合分析和安全代碼開發(fā)(應(yīng)用程序安全)?；旧?，就是質(zhì)疑供應(yīng)鏈的每一個環(huán)節(jié)。新冠疫情給供應(yīng)鏈帶來了問題，在2023年，我們將開始更多地關(guān)注與國外軟件開發(fā)相關(guān)的供應(yīng)鏈安全風(fēng)險?！?/p>

(15)Hexagon Asset Lifecycle Intelligence公司的網(wǎng)絡(luò)生態(tài)系統(tǒng)全球總監(jiān)Edward Liebig表示，ICS/OT技能差距將因前所未有的需求而擴大

Liebig 說，“研究表明，在過去一年半左右的時間里，絕大多數(shù)電力、石油和天然氣以及制造行業(yè)的企業(yè)都經(jīng)歷過網(wǎng)絡(luò)攻擊。研究還表明，由于對熟練專業(yè)人員的高需求，網(wǎng)絡(luò)安全勞動力缺口正在擴大。除了多年來一直普遍存在的對關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的嚴重威脅，隨著美國政府發(fā)布的更多法規(guī)，還需要更多專業(yè)的人員。此外，許多企業(yè)目前缺乏能夠成功整合IT和OT部門的安全實踐和嚴謹性的員工，隨著工業(yè)4.0在2023年的興起，這一點變得越來越重要?！?/p>

(16)VMware公司的首席網(wǎng)絡(luò)安全策略師Rick McElroy表示，元宇宙可能是下一個大事件，需要面對現(xiàn)實

McElroy說，“元宇宙的未來發(fā)展相對未知，因為它的采用仍處于起步階段，但企業(yè)將其推向市場的速度仍然快于安全社區(qū)所能接受的速度。在當前的數(shù)字世界中，我們已經(jīng)看到了身份盜竊和深度偽造攻擊的例子，其中網(wǎng)絡(luò)攻擊者以企業(yè)高管為目標，在企業(yè)外部進行數(shù)十萬美元的電匯或交易。在虛擬現(xiàn)實的元宇宙中，類似的騙局不會增加。當我們開始展望2023年的時候，企業(yè)在提供這種新興技術(shù)的方法上需要謹慎和思考。將密碼引入到元宇宙中是一種違規(guī)行為。但如果我們仔細考慮用于識別用戶和部署持續(xù)身份驗證的控制措施，利用生物識別和密切監(jiān)控用戶行為等不同因素，這將有助于緩解元宇宙的安全問題。”

(17)VMware公司的高級網(wǎng)絡(luò)安全策略師Karen Worstell表示，網(wǎng)絡(luò)風(fēng)險管理將成為企業(yè)領(lǐng)導(dǎo)者的首要任務(wù)

Worstell說，“在網(wǎng)絡(luò)風(fēng)險的治理和監(jiān)督方面，我們的系統(tǒng)已經(jīng)崩潰。它不再是15年前的樣子——我們正在處理更高的風(fēng)險和脆弱的企業(yè)聲譽。因此在2023年，我們將看到企業(yè)加倍重視網(wǎng)絡(luò)風(fēng)險管理。在確保充分控制和報告網(wǎng)絡(luò)攻擊的過程中，企業(yè)董事會需要有更明確的角色和責任。網(wǎng)絡(luò)風(fēng)險治理不僅是首席信息安全官的領(lǐng)域，現(xiàn)在顯然是董事和高級管理人員的關(guān)注點?！?/p>

(18)惠普公司的系統(tǒng)安全研究與創(chuàng)新首席技術(shù)專家Boris Balacheff表示，2023年，復(fù)雜的固件攻擊將變得更加普遍，網(wǎng)絡(luò)犯罪分子將繼續(xù)投資于利用端點設(shè)備的物理訪問的攻擊

Balacheff說，“2023年，企業(yè)應(yīng)該控制固件安全。在過去的一年，我們已經(jīng)看到了網(wǎng)絡(luò)犯罪社區(qū)能力發(fā)展和交易的跡象——從入侵BIOS密碼的工具，到針對設(shè)備BIOS和統(tǒng)一可擴展固件接口 (UEFI)的rootkit和木馬。我們現(xiàn)在在網(wǎng)絡(luò)犯罪市場上可以看到售價幾千美元的固件rootkit。

復(fù)雜攻擊能力與不斷增長的需求齊頭并進。我們可以預(yù)見在網(wǎng)絡(luò)犯罪中看到更多這類產(chǎn)品的銷售，進而引發(fā)更多固件攻擊。

對固件級別的訪問使網(wǎng)絡(luò)攻擊者能夠獲得持久控制，并隱藏在設(shè)備操作系統(tǒng)之下，使它們很難被發(fā)現(xiàn)，更不用說移除和收回控制權(quán)。企業(yè)應(yīng)該了解設(shè)備硬件和固件安全方面的行業(yè)最佳實踐和標準。他們還應(yīng)該了解和評估可用于保護、檢測和從此類攻擊中恢復(fù)的最先進技術(shù)?！?/p>

關(guān)鍵詞： 網(wǎng)絡(luò)安全 網(wǎng)絡(luò)攻擊 信息安全 首席執(zhí)行官 應(yīng)用程序