Gartner指引：四大误区大揭秘，打造高效安全管理体系

安全管理体系是一个复杂的生态系统，定义了企业的关键信息、安全原则、资源和活动（见图1）。企业机构所构建和运行的安全体系往往难以既对员工实用，又能有效管理快速发展的数字风险。因此，首席信息官（CIO）必须了解并避免陷入误区，构建强韧的安全体系，应对中国数字业务面临的网络安全挑战。CIO及其安全团队在构建切实可行的安全体系时，容易陷入四个常见误区。这些误区包括：

• 设定不切实际的目标，希望抵御所有攻击
• 安全策略引发摩擦的同时并未有效降低风险
• 高层汇报沟通时，传递过多未与业务挂钩的安全技术运营层面的信息
• 采用传统的中心化方法来支持分布式风险决策，这种方法在应对敏捷数字项目时无法有效扩展

图1  安全管理体系的组成

误区1：设定不切实际的目标，希望抵御所有攻击

在当今的数字化环境和威胁环境中，企业机构要设定一个旨在遏制所有攻击的安全目标是既不现实，也不合适的。目前不存在完美的防护机制，在多边的业务和风险环境中，企业机构应在防护措施与业务运营需求之间取得平衡。这种平衡需要与业务领导者进行讨论和决定，而不是由IT部门单独决定（见图2）。

图2 安全是一种选择：何为适度风险？

当高管询问“我们能否达到百分之百安全”时，CIO及其安全团队应将谈话引向对风险的讨论。投入大量资金来预防对业务影响较小的安全事件，并不符合成本效益。企业机构应明确可能影响业务战略目标和绩效实现的安全风险，并定义风险控制衡量指标。在业务目标、影响业务成功的安全风险和跟踪指标之间建立明确联系，这一点至关重要。

误区2：安全策略引发摩擦但并未降低安全风险

安全策略的根本目的是通过识别、评估和控制风险，鼓励促进安全的行为，阻止不利行为。尽管如此，员工可能发现安全团队独立制定的一些策略难以遵守，对其角色而言并不合理，并且与其工作目标相冲突。因此，员工会选择忽略这些策略，继续采取不安全的行为。

2022年Gartner安全行为驱动因素调研发现，过去12个月中有69%的员工有意绕过企业机构的网络安全策略。此外，74%的受访者表示，如果有助于个人或团队实现业务目标（例如，再即将到来的截止日期前完成任务和/或完成营收目标），则会选择绕开网络安全策略。这种对安全策略的漠视产生的原因往往是由于安全因素引发的摩擦阻碍了员工高效开展工作。

为了避免陷入这一误区，企业应使用基于场景的方法进行测试，确保策略切实可行。再工作人员面对的许多实际场景中测试安全策略，并确定该策略是否为这些场景提供支持或造成妨碍。同时，可以考虑开发用户手册，使用通俗易懂的业务语言，而非专业术语来解释所有这些常见场景的安全要求。最后，发现、理解并解决员工所经历的摩擦。

误区3：传递的信息无法引起利益相关者的共鸣

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！