Gartner发布2024年网络安全主要趋势：制定有效网络安全计划必须重视的9大趋势_网络安全有效性验证 gartner(1)

• 与 Gartner 客户的对话表明，他们越来越多地使用 IAM 的结果驱动指标 (ODM)来鼓励更好的安全性。这些指标侧重于通过影响特定于身份的变量（例如身份数据的准确性）来增强弹性和安全性，并使组织更接近最小特权原则。

基于这些观点，Gartner 认为 IAM 在组织安全计划中的作用越来越大。因此，组织的 IAM 实践需要不断发展。

影响：

• 组织必须加倍努力实施更好的身份卫生。这一点至关重要，因为不良的身份卫生会破坏 ITDR 的许多潜在收益。Misset 权限为不良行为者提供了切入点，为横向移动创造了机会，并可能加剧简单错误造成的附带损害。鉴于存在大量的权利、帐户甚至本地帐户存储库，全面实施卫生是一项重大任务。ODM 可以帮助定义实施更好卫生的方向性指导，但也需要自动化。
• ITDR需要额外的努力和技能。只有注重卫生，它才能有效发挥作用。使用其他安全检测和响应流程的组织，甚至可能拥有自己的安全运营中心 (SOC)，可以从 ITDR 中受益，但这需要对 SOC 团队进行 IAM 培训。
• IAM 基础设施必须进行变革，以加深对安全功能的支持。目前使用的许多传统 IAM 基础设施都过于复杂并且存在巨大差距。IAM 技术债务是次优或低效 IAM 技术决策的技术积累，是一个普遍存在的问题。
• IAM 基础设施必须发展成为一个身份基础设施，旨在实现身份优先的安全性。它必须使用并代理上下文，以一致的方式为任何适用的人员或机器提供和支持自适应、连续、风险意识和弹性访问控制。

行动：

• 加倍努力实施适当的身份卫生。将此定义为安全计划的优先事项，并使用ODM提供方向指导并设定改进标准。
• 通过对 IAM 中的安全操作人员进行培训，将 ITDR扩展为一种实践。为关键企业身份系统（例如 Microsoft Active Directory 和云交付的访问管理服务）实施安全态势评估以及威胁检测和响应功能。
• 通过向身份结构演进，重构身份基础设施以支持身份优先的安全原则。首先通过使用可组合工具策略来改进 IAM 工具之间的集成。

弹性驱动、资源高效的第三方网络安全风险管理

描述：

第三方不可避免地会遭遇网络安全事件，这迫使 SRM 领导者更多地关注以弹性为导向的投资，并放弃前期的尽职调查活动。积极进取的SRM 领导者正在优先考虑弹性驱动的活动，例如实施补偿控制和加强事件响应计划。与此同时，他们还为业务合作伙伴提供有针对性的支持，以告知第三方签约并影响控制决策。

为什么热门：

SRM 领导者越来越多地将资源投入到合同前的尽职调查活动中。与 2021 年相比，近三分之二 (65%) 参与 2023 年 Gartner 重新构想第三方网络安全风险调查的受访者表示增加了预算，76% 的人在第三方网络安全风险管理计划上花费了更多时间。

尽管本意是好的，但这种不断增长的投资并没有产生预期的结果。在同一项调查中，4-5 % 的受访者表示，与两年前相比，第三方网络安全相关事件造成的业务中断数量有所增加。SRM 领导者对传统 TPCRM 实践在保护企业免受第三方网络风险方面的低效感到失望，因此正在寻找替代方案来提供更好的投资回报。

影响：

采用弹性驱动、资源高效的 TPCRM 方法的组织已经取得了切实的成功。他们超出执行领导者对最大限度地减少第三方事件影响的预期的可能性是其两倍多。他们还取得了更好的业务成果：在采用这种 TPCRM 方法的受访者组织中，近 80% 在推出新数字化计划的速度方面领先于同行。

想要采用这种方法的 SRM 领导者必须认识到：

• 业务优先级会影响 TPCRM 的工作，反之亦然。企业领导者对于 TPCRM 的成功至关重要。通过与他们接触以了解他们的优先事项，SRM 领导者能够阐明所涉及的价值并调整计划。同时，这种参与使企业能够做出更好的基于风险的决策，并促进实施可提供弹性的安全控制。
• TPCRM 需要通力协作。着眼于安全团队的资源效率，有效的 SRM 领导者认识到 TPCRM 需要与在第三方风险管理（即采购、法律和企业风险管理）中发挥作用的所有风险职能部门建立合作伙伴关系。必须共同制定政策、程序和实践，以确保跨职能的一致性并最大限度地减少工作流程中的摩擦。例如，初始网络安全风险分类需要纳入采购流程。这种方法有助于确保网络安全团队的专业知识应用于对网络安全风险结果影响最大的计划。
• 关键的第三方是你的盟友。SRM 领导者必须将其参与策略从监管转向与第三方合作。这将有助于确保关键第三方接触的所有企业最有价值的资产（例如材料数据、网络和业务流程）得到持续保护。建立互利关系可以提高透明度，促进第三方实施控制，并在发生网络安全事件时改善协作。

行动：

• 加强针对构成最高网络安全风险的第三方活动的应急计划。创建特定于第三方的事件手册，进行桌面练习并定义明确的退出策略，例如及时撤销访问和销毁数据。
• 通过提高尽职调查的效率，将资源重新分配给弹性驱动的活动。不要广泛定制风险调查问卷，而应使用行业标准风险调查问卷。投资自动化技术，帮助网络安全团队大规模分析问卷答复。
• 与重要的第三方建立互惠互利的关系。在高度互联的环境中，供应商的风险也是您的风险。帮助 SRM 领导者成熟符合 SRM 领导者的利益，这样他们就可以更好地维护企业。首先，制定安全要求基线，以评估供应商在风险管理实践方面的成熟度。其次，与能够访问您的关键资产（例如系统、数据集、网络和业务流程）的不太成熟的供应商合作，与他们分享事件管理的最佳实践，并建议管理风险的控制措施。

隐私驱动的应用程序和数据解耦，以增强碎片化世界中的运营

**战略规划假设：**到 2025 年，10% 的全球企业将运营多个受特定主权数据战略约束的离散业务部门，从而在相同业务价值的情况下使其业务成本增加一倍或更多。

描述：

几十年来一直依赖单租户应用程序的跨国公司 (MNC) 面临着不断增长的合规性要求和业务中断风险。这是由于民族主义隐私和数据保护以及本地化要求的不断提高，导致企业应用程序架构和数据本地化实践强制分散。具有前瞻性思维的组织正在通过规划和实施各种级别的应用程序和数据解耦策略来做出响应。其中包括减少 IT 资源依赖性、采用模块化和可组合架构（包括行业云平台），以及为高度监管的市场隔离应用程序、数据存储库和基础设施。这有助于降低合规风险并创造竞争优势。

为什么热门：

由于日益复杂的地缘政治风险和合规义务阻碍了全球一致的企业架构，跨国运营变得更具挑战性。与个人数据相关的“主权”考虑已演变为个人和关键业务信息的本地化要求。需求数量和范围的扩大促使跨国公司调整其云采用策略。跨国公司已转向模块化应用程序架构设计或在其全球总部对其集中式应用程序（例如 ERP、CRM 以及数据和分析平台）进行解耦，以应对其拥有大量业务运营的高风险市场。2022年Gartner 首席信息官和技术高管调查发现，7% 的受访者已经投资创建可组合企业，另有 61% 的受访者预计到2024年将这样做。

影响：

脱钩工作对网络安全和数据安全的影响涉及：

• 监管合规性。由于目标地区的新法规提出了新的且常常相互冲突的要求，合规工作和审计的复杂性大大增加。
• 数据迁移和集成实践。应用程序和数据存储的解耦可能会导致隔离和互操作性挑战，从而降低信息保真度并阻碍业务连续性和创新。跨国公司可以整合边缘操作和可组合架构来缓解其中一些挑战。
• 数据架构和存储。数据本地化要求正在导致应用程序和数据托管的快速发展，这进一步扩大了攻击面。与此同时，需要重新构想数据访问和威胁管理编排，因为对数据本地化的相同要求使得从一个中心位置执行此类活动变得困难。
• 安全的开发实践。随着应用程序的改进，出现了将安全要求“融入”开发实践的机会，而不是后来“附加”。如果应用需要解耦，不同辖区之间的安全标准可能会有所不同。因此，如果存在此类差异，则需要在开发应用程序时对它们进行协调。

行动：

• 与业务、IT 和法律团队持续合作，为组织已运营的国家和计划扩展的国家制定数据本地化要求。法律部门必须识别任何不合规和法律冲突的情况，并制定联合制定的缓解策略，其中包括成本效益分析。
• 维护数据清单和地图，以识别符合本地化要求的信息资产。优先投资能够持续发现云中敏感数据和个人数据的工具。这将为数据安全策略提供信息，并作为数据或信息治理设置的输入，以最大限度地提高业务利益相关者的知识和支持。
• 将安全开发实践（例如安全软件开发框架 (SSDF) 和 LINDDUN 注重隐私的威胁建模框架中的实践）纳入软件开发生命周期。通过采用模块化方法来应用安全架构控制，以配合向可组合应用程序、微服务架构、云/容器部署等的整体转变。

生成式人工智能引发短期怀疑，但激发长期希望

**战略规划假设：**到 2025 年，生成式 AI 将导致保护其安全所需的网络安全资源激增，导致应用程序和数据安全方面的支出增加超过 15%。

描述：

ChatGPT 等大型语言模型 (LLM) 应用程序已将生成式人工智能 (GenAI) 提上议程，纳入许多业务、IT 和网络安全路线图。GenAI 一词描述了从数据和模型工件的表示中学习以生成新工件的技术。

GenAI 引入了需要保护的新攻击面。这需要改变应用程序和数据安全实践以及用户监控。GenAI 还将改变网络安全市场的动态。

GenAI 已经以多种方式影响 SRM 领导者：

• 直接且紧急：首先，需要解决 ChatGPT 不受管理和不受控制的使用，以最大程度地降低风险。最值得注意的问题是在第三方 GenAI 应用程序中使用机密数据，以及使用未经审查的生成内容可能导致的版权侵权和品牌损害。很快，业务计划推动了对保护 GenAI 应用程序的需求，为传统应用程序安全保护的攻击面增加了新的攻击面。
• 直接且大肆宣传为紧迫：网络安全提供商发布了一波双曲线人工智能公告，旨在激发人们对 GenAI 可能做的事情的兴趣。这些早期的公告大多涉及交互式提示。这些提高了人们对安全团队生产力的好处的期望（主要来自安全领域之外的领导者），尽管这些公告大多数只是早期预览，有时接近“人工智能清洗”。我们已经看到 GenAI 功能用于安全操作和应用程序安全，但尚未观察到网络安全产品直接使用 GenAI 技术来检测或预防威胁。
• 间接且可怕：随着 SRM 领导者对 2024 年的计划，由于隐私问题和威胁行为者获得了 LLM 技术，他们正在提出有关新风险和威胁的合理问题。他们需要忽略“恐惧、不确定性和怀疑”，并通过监控现有安全控制中的检测性能偏差，并加倍加强弹性和暴露管理举措，应对GenAI 可能导致的威胁环境中不可预测的变化。
• 间接和潜在：随着组织内越来越多的团队（可能几乎每个团队）抓住机会将 GenAI 功能集成到其系统中，网络安全团队将必须不断适应流程的变化。例如，人力资源团队可能会将 GenAI 纳入招聘流程，采购团队可能在选择或续签产品合同时使用 GenAI。即将出台的法规和合规要求也将影响安全团队。

为什么热门：

GenAI的使用增加是不可避免的。在2024 年Gartner CIO 和技术高管调查中，只有 3% 的受访者表示他们对 GenAI 不感兴趣。SRM 领导者如果推迟采用 GenAI 应用程序的新安全实践，或者忽略 GenAI 的安全用例（即使基于当今的基本实现和示例），则可能会在其他公司效仿时失去其组织的竞争优势。同一项调查发现，三分之一 (34%) 的组织计划在未来 12 个月内部署 Gen AI 。

SRM领导者还需要为快速发展做好准备，因为 ChatGPT 等 LLM 应用程序只是 GenAI 颠覆的开始。多模式 GenAI（涉及不同类型数据的训练模型）已经将 GenAI 用例的范围扩展到文本之外。“大型动作模型”——可以自动执行动作的基础模型——也即将出现。

影响：

安全团队定期证明他们适应范式变化的能力。然而，旨在保护 GenAI 应用程序安全的新兴安全工具（例如，它们的模型和提示）的不成熟，加上 GenAI 应用程序架构的动态变化，使得开发最佳实践和提出建议变得困难。

根据 2024 年 Gartner大型企业技术采用路线图调查，与使用 GenAI 相关的三大风险问题是：

1.    第三方访问敏感数据（近一半的网络安全领导者对此表示担忧）。

2.    GenAI 应用程序和数据泄露（响应的网络安全领导者中有五分之二）。

3.    错误的决策（超过三分之一的受访网络安全领导者）。

GenAI 的炒作缩短了安全领导者的时间范围。他们陷入了不得不对整个组织中发生的许多 GenAI 计划做出紧急反应的境地——这与企业开始迁移到云时的情况类似。SRM 领导者不能等到一切稳定下来才准备和计划，因为：

• 尽管拥有现有人工智能项目的组织可以调整其现有的治理政策，但那些转向 GenAI 的组织将需要从头开始制定政策。除此之外，确定GenAI应用程序的数据机密性、输出偏差和漂移、版权侵权、可信度和可解释性的责任需要新的或更新的治理原则。
• 应用程序安全实践必须迅速发展为：

o   集成新的开发工具，例如 GenAI 代码助手。

o   在运行时（例如提示）和整个开发周期（例如管理训练数据）保护新的攻击面。

o   满足隐私和数据安全要求，特别是通过评估和实施隐私增强技术。

o   在应用程序安全工具中评估和使用新的 GenAI 技术，例如降低误报率、提供开发人员友好的可解释性并实现半自动修复。

• 技能要求将会不断变化，因为新工具将增强现有工作流程并缩短安全团队内的学习曲线。随着执行某些关键工作所需的技能不断发展，风险水平也会发生变化。
• 技术市场将看到以 GenAI 为中心的新工具的出现，并且其竞争动态可能会发生变化。这将改变供应商格局，但首先需要新的评估要求来评估新 GenAI功能的价值及其带来的风险。

在网络安全实践中，安全运营和应用程序安全是提供商通过使用 GenAI 添加功能的两个主要领域。早期的实现采用助手的形式，本质上是一个旨在回答问题的交互式提示。太多的此类实施可能很快就会产生“即时疲劳”，因此与 GenAI 的交互需要取得进展。我们还预计使用经过专门训练的模型的新用例很快就会出现。

行动：

• AI 消费：对第三方 GenAI 应用程序和现有应用程序中嵌入的 GenAI 功能的新用例进行工业化盘点、监控和管理。将 IT 和软件供应链依赖性纳入风险评估。
• 提供商和技术选择要求：更新这些要求以解决隐私、版权、可追溯性和可解释性挑战。为进入组织的基于 GenAI 的产品制定政策并进行监督，以便想要使用该技术的内部团队能够理解一套商定的协调政策。
• AI 应用程序的安全性：更新应用程序和数据安全实践以集成新的攻击面，例如用于检测 AI 模型的提示或编排层。评估支持人工智能信任、风险和安全管理 (TRiSM) 框架的技术。
• 生成网络安全人工智能：在将 GenAI 集成到网络安全计划之前运行概念验证，从应用程序安全和安全操作开始。旨在增强人类的工作，而不是取代他们，并确保新工具在自身改进的同时，还能增加团队的知识。
• 威胁形势的变化：监控现有安全控制的检测准确性和总体性能的下降。确保能够获得有关不断变化的威胁形势的正确情报。承认并传达，未来 GenAI 攻击的场景规划很棘手，而且可能不是最有利可图的资源利用方式。

安全行为和文化计划越来越受到人们的关注，以减少人为网络安全风险

战略规划假设：

• 到 2025 年，40% 的网络安全项目将部署社会行为原则（例如助推技术）来影响整个组织的安全文化，而 2021 年这一比例还不到 5%。
• 到 2027 年，50% 的大型企业 CISO 将采用以人为本的安全设计实践，以最大限度地减少网络安全引起的摩擦并最大限度地提高控制采用率。

描述：

安全行为和文化计划 (SBCP) 封装了一种企业范围内的方法，可最大程度地减少与员工行为（无论是无意的还是故意的）相关的网络安全事件。

SBCP 的主要目标是改变行为。它涵盖传统实践，例如意识培训和网络钓鱼模拟，以及一系列影响行为的学科，包括：

• 组织变革管理。
• 以人为本的用户体验（UX）设计。
• 开发安全运营。

SBCP 还考虑一系列影响程序设计的因素，并鼓励基于平台的架构，以帮助：

• 降低员工对社会工程的敏感度并提高他们在受到攻击时的反应。
• 改进安全控制的采用。
• 最大限度地减少系统采购过程中引入的漏洞。
• 在不增加安全风险的情况下制定敏捷的、业务主导的数字决策。

为什么热门：

客户和供应商已经认识到，普遍只注重提高员工的网络安全意识，这在很大程度上无法有效减少因员工行为而导致的安全事件的数量。2022年Gartner 安全行为驱动因素调查发现：

• 69% 的受访员工承认在过去 12 个月内故意绕过安全控制。
• 93% 的员工知道他们的行为会增加组织的风险，但还是采取了这些行动。

GenAI 的民主化加剧了这一挑战，因为它使员工可以不受限制地访问强大的技术功能，如果不小心使用，可能会导致数据泄露。

自 Gartner 于 2022 年推出 SBCP 概念和相关的 PIPE（实践、影响、平台、推动者）框架以来，针对该主题向 Gartner 客户咨询服务的请求增加了四倍多。SRM 领导者认识到，将重点从提高意识转向促进行为改变将有助于降低网络安全风险。此外，这种转变使 SRM 领导者能够应对“安全疲劳”、控制摩擦以及无论风险如何优先考虑速度和利润的组织文化等挑战。领先的供应商正在做出响应并快速转变解决方案，以支持行为改变并增强客户企业文化的安全意识。

影响：

桑坦德银行和“SevenHills”等已采用 SBCP 相关实践的组织已经看到：

• 提高员工对安全控制的采用。
• 减少不安全行为。
• 速度和敏捷性提高。
• 当员工有能力做出独立的网络风险决策时，可以更有效地利用网络安全资源。

然而，当前的投资往往不足以实现上述成果。2022 年Gartner网络安全意识调查发现，虽然 84% 的受访组织表示其意识计划的主要目标是改变行为，但 80% 的组织拥有的全职员工 (FTE) 不足，50%与他们的意识计划相关的FTE 低于 0.6 。

为了执行有效的 SBCP，SRM 领导者需要更多的FTE容量和能力、更加以平台为中心的技术架构以及提高项目设计的复杂性。鉴于对整体企业方法的要求，与传统的意识活动相比，SBCP 还需要整个组织内更多的高级管理人员支持和更多的时间投入。因此，毫不奇怪的是，在接受 Gartner 另一项调查的网络安全领导者中，有 68% 的人表示，他们发现为 SBCP 获得高管支持比之前的安全意识活动更具挑战性。16尽管如此，组织高级管理人员的明显和持续的倡导对于优化该计划提供显着改进的安全行为的机会以及根深蒂固更具安全意识的企业文化至关重要。

行动：

• 通过定期审查过去网络安全事件的可靠样本，确定与不安全员工行为相关的网络安全事件的数量和类型，将 SBCP 的工作重点放在最危险的员工行为上。
• 通过采用 Gartner PIPE 框架，使用适合可用资金和资源的可扩展方法，指导有效且高效地实施 SBCP。
• 通过使用结果驱动、以行为为中心的指标来帮助向执行利益相关者和董事会展示 SBCP 的业务价值，从而培养更高水平的持续和可见的执行支持。

网络安全结果驱动的指标弥合董事会的沟通差距

描述：

网络安全结果驱动指标（ODM ）是具有特殊属性的运营指标——它们使网络安全的利益相关者能够在网络安全投资和投资产生的提供的保护级别之间划清界限。ODM对于制定可防御的网络安全投资策略至关重要。它们以简单的语言反映了具有强大属性的商定保护级别，以便：

• 提供可信且合理的风险偏好表达，支持直接投资。
• 能够向没有技术背景的非 IT 管理人员进行解释。
• 充当支持直接投资以改变保护水平的价值杠杆。

ODM 协助解决许多几十年来一直存在问题的任务。例如，它们可以帮助：

• 制定业务决策以接受第三方风险而不承担责任。
• 支持 SRM 领导者使用多个半自主操作单元来管理安全保护级别，同时保持自主性。
• 支持并购中“买方”的网络安全尽职调查。
• 向高管解释重大网络事件，并指导具体投资来修复这些事件。
• 支持透明度，以教育高管、业务线和公司职能部门了解不适当或漫不经心的风险接受情况。
• 暴露矩阵管理问题，例如IT 团队在修补问题中所扮演的角色，而安全组织通常负责解决这些问题。

为什么热门：

2023 年 Gartner 网络安全领导者演变调查向首席信息安全官 (CISO) 提出了以下问题：“不断变化的业务目标对您的网络安全战略有何影响？”对此，60% 的人表示有一些影响或重大影响。当业务发生转变时，我们需要能够以可衡量且可防御的方式阐明剩余风险的变化。尽管对网络安全人员、流程和技术进行了大量投资，但网络安全事件对跨部门组织的频率和负面影响仍在持续上升。这削弱了董事会成员和 C 级领导者对其网络安全组织战略的信心。美国证券交易委员会 (SEC)的新监管、欧盟第二版网络和信息系统指令 (NIS2) 以及澳大利亚证券和投资委员会 (ASIC) 的最新信号凸显了政府对高管持续施加的压力，要求他们满足这一要求需要。

SRM 领导者继续努力传达网络安全投资的价值，超越监管合规性和“缩小功能和技术成熟度方面的差距”的重要性，而这两者与保护都没有有意义的相关性。将网络安全投资与商业价值联系起来的传统方法同样有限。支出不等于保护。网络风险量化仍处于起步阶段，成本高昂，并且仅支持广泛的战略决策。热图是非常主观的。

组织正在寻求一种衡量网络安全价值的方法，该方法能够与高管产生共鸣，并支持符合业务需求的实际投资决策。ODM 越来越多地被视为最有前途的候选者之一。

影响：

• ODM 改变网络安全治理，以支持通过保护级别协议 (PLA)与非 IT 高管直接谈判资金和所需的保护级别。
• 管理结果取代了与高管讨论工具和技术的任何需要，同时在交付方法方面保持完全的灵活性。
• ODM 提供了“风险偏好”的另一种定义，该定义较少涉及接受损失的意愿，而更多涉及实现商定的保护水平以及证明是否正在实现的愿望。
• ODM 使 SRM 领导者能够重新设定他们的责任，这样就不再是为了防止违规，而是为了“让风险所有者保持在他们的风险偏好范围内”。
• SRM 领导者必须鼓励非 IT 领导者减少对威胁场景和基于可能性的投资理由的兴趣，而更多地关注持续暴露的保护级别。
• 需要投资来准备系统和流程，以便为 ODM 持续收集新数据。

行动：

• 使用 Gartner 的工具：风险和安全性业务协调结果驱动指标目录来选择能够全面了解当前绩效与企业最大风险的 ODM。
• 与业务线和公司职能领导者协商每个 ODM 的保护级别（所需性能）。PLA 可能因运营组和部门而异。
• 使用 Gartner 的网络安全商业价值基准为利益相关者提供有关 ODM 绩效的外部视角。
• 开始在董事会层面报告 ODM 绩效，以支持董事会在监督风险偏好管理和决策方面的作用。

去中心化：不断发展的网络安全运营模式

描述：

技术的获取、创建和交付继续从中央 IT 职能转移到业务线。这种转变打破了传统的网络安全运营模式。SRM 领导者正在调整网络安全运营模式，以满足自主、创新和敏捷性的业务需求。决策权正在变得分散，策略细节现在由边缘拥有，一些治理正在集中和正式化，以更好地支持边缘的风险所有者，SRM 领导者角色正在演变为价值推动者角色。

为什么热门：

企业使用技术的方式正在发生转变：在 Gartner 调查中，三分之二 ( 67%) 的首席执行官和高级业务主管表示希望直接在业务职能范围内完成更多技术工作。此外，许多企业正在经历数字化转型和云迁移，将工作分散在远程或混合模式中，并面临着将隐私、合规性和网络安全纳入业务运营的监管压力。因此，技术的获取、创建和交付的责任正在从中央 IT 职能转移到业务线、公司职能、融合团队甚至员工个人。

传统的网络安全运营模式无法适应这一新现实。网络安全需要与业务建立更紧密的联系，以保持数据资产的可见性并支持控制实施。自上而下的治理或控制将无法扩展，因为工作流程的异构性和技术所有权的分散意味着安全职能部门无法监督每一个涉及网络安全风险的决策。SRM领导者需要提高业务决策者的网络素养和网络判断力，以便员工能够将网络安全考虑融入到日常工作中，并实施协作风险管理流程。

影响：

Gartner 的研究表明，SRM 领导者正在采用各种策略来发展其网络安全运营模式：

• 他们正在“从中心化到去中心化”。这意味着集中和简化网络安全监督和协作决策，同时推动分散资源所有者的地方自治和问责制。先进的 SRM 领导者认识到，边缘的本地化网络判断可以降低风险并支持创造业务价值。
• 他们正在集中策略治理，同时使策略实施（例如标准和指南）更加灵活和本地管理，以适应边缘的控制所有权。事实上，Gartner 调查的 45% 的 CISO 正在整合或减少策略，而不是扩大策略政策。为了使策略更加用户友好，SRM 领导者及其团队现在正在与最终用户共同制定策略，并为风险和数据所有者提供对特定标准和实施的更多控制。
• 他们正在创建新流程并添加新功能来支持新的运营模式。例如，在 Gartner 调查中，64% 的 CISO 创建了新的网络安全流程，60% 在过去 24 个月内创建了新的团队或职能。

SRM 领导者在转变其角色和转变网络安全运营模式方面发挥着主导作用。在接受 Gartner 调查的 CISO 中，至少有 85% 的人领导或共同领导了其运营模式的变革，而不是从 CIO、CTO 或首席风险官等其他领导者那里接受变革。

行动：

• 通过与风险和业务职能部门的利益相关者建立代表指导委员会，促进协作、集中决策和网络判断（即员工自主做出风险知情决策的能力），并确保协作风险决策流程。

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！